ISMS Verantwortlichkeiten definieren: Rollen und Aufgaben klären

Aufgaben, Entscheidungsrechte und Vertretungen festlegen

Klare ISMS-Verantwortlichkeiten zeigen, wer eine Aufgabe ausführt, wer fachlich entscheidet und wer informiert werden muss. Die Bezeichnung einer Rolle allein genügt nicht. Eine Person kann nur verantwortlich handeln, wenn sie die notwendigen Informationen und Befugnisse besitzt.

Die Unternehmensleitung trägt die Steuerungsverantwortung. Die ISMS-Koordination hält Abläufe und Informationen zusammen. Prozessverantwortliche kennen die betrieblichen Anforderungen, während Risikoeigner die ihnen zugeordneten Risiken bewerten und Entscheidungen innerhalb ihrer Befugnisse treffen.

Zuständigkeiten an konkreten Vorgängen beschreiben

Für wichtige Entscheidungen sollte erkennbar sein:

• Wer bewertet fachliche Auswirkungen?
• Wer kann eine Maßnahme beauftragen oder ein Budget freigeben?
• Wer setzt die Entscheidung um?
• Wer prüft das Ergebnis?
• Wer übernimmt bei Abwesenheit?

Eine einfache Zuständigkeitsmatrix kann diese Zuordnung unterstützen. Sie sollte jedoch nur Rollen enthalten, die im Unternehmen tatsächlich besetzt sind und miteinander arbeiten können.

Rollen sinnvoll bündeln und Konflikte beachten

In kleinen Unternehmen übernimmt eine Person häufig mehrere Aufgaben. Das ist organisatorisch möglich, muss aber transparent sein. Wo eine unabhängige Beurteilung erforderlich ist, braucht es eine passende zweite Perspektive. Eine Person sollte ihre eigene Umsetzung nicht ungeprüft als wirksam bestätigen.

Beispiel: Die IT-Leitung setzt eine Schutzmaßnahme um. Der fachlich zuständige Dienstverantwortliche beurteilt, ob die betrieblichen Anforderungen erfüllt sind. Über ein verbleibendes wesentliches Risiko entscheidet die dafür befugte Leitungsebene.

Berichtswege im Alltag nutzbar machen

Dringliche Fragen dürfen nicht bis zum nächsten regulären Termin liegen bleiben. Deshalb werden Eskalationswege und Vertretungen festgelegt. Bei Personalwechsel wird geprüft, ob Aufgaben tatsächlich übergeben wurden. Eine aktuelle Rollenliste ohne funktionierende Übergabe schützt nicht vor liegen gebliebenen Entscheidungen.

Beispiel einer Rollenverteilung im ISMS

Eine Rollenübersicht wird besonders nützlich, wenn sie konkrete Entscheidungen abbildet. Als Ausgangspunkt kann folgende Verteilung dienen; die tatsächlichen Befugnisse legt das Unternehmen fest:

• Geschäftsleitung: Ziele und Ressourcen festlegen, wesentliche Risiken und Eskalationen entscheiden sowie die Entwicklung des ISMS bewerten.
• ISB oder koordinierende Funktion: Informationen zusammenführen, Vorgehensweisen abstimmen, offene Punkte verfolgen und Entscheidungsbedarf sichtbar machen.
• Prozess- oder Serviceverantwortliche: Geschäftliche Auswirkungen bewerten, Anforderungen des Dienstes erläutern und die Umsetzung im eigenen Bereich verantworten.
• IT-Betrieb und Entwicklung: Vereinbarte technische und betriebliche Änderungen umsetzen und geeignete Nachweise bereitstellen.
• Interne Auditfunktion: Abläufe anhand festgelegter Kriterien und Stichproben prüfen; Objektivität und Unparteilichkeit der Prüfung sicherstellen.

Für den Fall „neuer Cloud-Dienst“ lässt sich daran prüfen, ob jemand Bedarf und Schutzanforderungen beschreibt, die Risiken bewertet, die Nutzung genehmigt und die Umsetzung kontrolliert. Wenn alle Aufgaben pauschal beim ISB landen, fehlen häufig die Fachinformationen oder die nötigen Entscheidungsrechte. Vertretungen und Eskalationswege gehören deshalb ebenfalls in die Rollenübersicht.

Wird eine externe ISMS-Funktion eingebunden, müssen deren Aufgaben zu den internen Befugnissen passen. Entscheidungen der Leitung werden in der Managementbewertung nachvollziehbar festgehalten und weiterverfolgt.

Quellen und fachliche Grundlagen

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO