Externer ISB: Kosten, Aufgaben und wann er Pflicht ist
Mit NIS2, DSGVO, ISO 27001 und TISAX steigt der Druck auf Unternehmen, einen Informationssicherheitsbeauftragten (ISB) zu benennen. Ein interner ISB bedeutet jedoch eine Vollzeitstelle, hohe Gehälter und schwer zu findende Fachkräfte. Genau deshalb entscheiden sich immer mehr KMU für einen externen ISB – auch vCISO (virtual Chief Information Security Officer) genannt. Dieser Artikel zeigt, was ein externer ISB konkret macht, was er kostet und wann er für Ihr Unternehmen Pflicht wird.
Was ist ein Informationssicherheitsbeauftragter (ISB)?
Ein Informationssicherheitsbeauftragter ist die zentrale Verantwortungsstelle für die IT- und Informationssicherheit eines Unternehmens. Er plant, steuert und überwacht alle Maßnahmen zum Schutz vor Cyberbedrohungen, Datenverlust und Compliance-Verstößen. Wichtig: Der ISB ist nicht dasselbe wie ein Datenschutzbeauftragter (DSB). Beide Rollen ergänzen sich, dürfen aus Interessenkonflikt-Gründen aber nicht von derselben Person ausgeübt werden.
Aufgaben eines externen ISB im Detail
Ein professioneller externer ISB übernimmt typischerweise folgende Aufgaben:
- Aufbau und Pflege eines ISMS nach ISO 27001 oder BSI IT-Grundschutz
- Risikoanalysen und Erstellung eines priorisierten Risikoregisters
- Erstellung und Pflege aller Sicherheitsrichtlinien (Passwort-, Backup-, Cloud-Richtlinie etc.)
- Schulung der Mitarbeiter und Geschäftsführung (gesetzlich vorgeschrieben unter NIS2)
- Audit-Vorbereitung – ISO 27001, TISAX, NIS2, Kundenaudits
- Vorfallmanagement – Meldung an Behörden, Koordination mit IT-Dienstleistern
- Lieferanten-Risikomanagement – Prüfung und Dokumentation der Sicherheit von Dienstleistern
- Regelmäßiges Reporting an die Geschäftsführung
Der externe ISB ist also nicht „der Hacker, der Pentests macht" – sondern der strategische Manager, der dafür sorgt, dass Ihre IT-Sicherheit organisatorisch sauber aufgestellt, dokumentiert und prüfbar ist.
Wann ist ein ISB Pflicht?
Eine direkte gesetzliche „ISB-Pflicht" wie beim Datenschutzbeauftragten gibt es nicht. Faktisch wird der ISB jedoch über mehrere Wege erzwungen:
| Auslöser | ISB faktisch erforderlich? |
|---|---|
| NIS2-Betroffenheit | Ja – jemand muss die Maßnahmen verantworten |
| ISO 27001 oder TISAX angestrebt | Ja – Norm verlangt benannte Verantwortliche |
| Kundenanforderungen (Automotive, Finanz, Gesundheit) | Sehr häufig vertraglich gefordert |
| Cyberversicherung mit niedriger Prämie | Voraussetzung bei vielen Versicherern |
| Behördliche Vorgaben (KRITIS, BaFin) | Ja |
Auch ohne formale Pflicht ist ein ISB für jedes KMU sinnvoll, das ernsthaft mit Cybersecurity umgeht – allein schon zur Entlastung von Geschäftsführung und IT-Leitung.
Externer ISB vs. interner ISB: der ehrliche Vergleich
| Kriterium | Interner ISB | Externer ISB |
|---|---|---|
| Jahreskosten | 80.000–130.000 € + Sozialabgaben + Tools | Ab ca. 4.700 € im Jahr (390 €/Monat) |
| Verfügbarkeit | 40 h/Woche, einzelne Person | Bedarfsgerecht, ganzes Team im Hintergrund |
| Know-how-Breite | Persönliche Erfahrung | Erfahrung aus vielen Kunden & Branchen |
| Ausfallrisiko | Krankheit, Kündigung, Urlaub | Vertretung im Team garantiert |
| Unabhängigkeit | Eingebunden in interne Politik | Neutral, weisungsunabhängig |
| Einarbeitung | 3–6 Monate | Produktiv ab Monat 1 |
Für die meisten KMU bis ca. 250 Mitarbeiter ist der externe ISB wirtschaftlich und qualitativ überlegen. Erst ab dieser Größenordnung lohnt sich häufig eine eigene Vollzeit-Stelle.
Was kostet ein externer ISB?
Die Preise für einen externen Informationssicherheitsbeauftragten sind transparenter, als viele vermuten. Üblich sind feste Monatspauschalen, die sich nach Unternehmensgröße und Aufwand richten:
- Kleine Unternehmen (1–30 Mitarbeiter): ab 390 € / Monat
- Mittelgroße Unternehmen (31–75 Mitarbeiter): ca. 700–1.200 € / Monat
- Größere KMU (76–150 Mitarbeiter): ca. 1.500–2.500 € / Monat
- Projekte (z.B. ISO-27001-Einführung): 100 € / Stunde oder Festpreis
Bei Valyros ist der externe ISB im Premium-Paket bereits enthalten. So bekommen Sie 24/7-Überwachung (SOC), MDR und ISB-Funktion in einem Vertrag.
So finden Sie den richtigen externen ISB
- Branchenerfahrung prüfen – Hat der ISB schon Mandanten in Ihrer Branche betreut?
- Zertifizierungen verlangen – ISO 27001 Lead Auditor, BSI-Grundschutz-Praktiker, CISSP, CISM, TÜV-zertifizierter ISB
- Vertretungsregelung klären – Ist ein zweiter Berater im Team eingearbeitet?
- Vertragslaufzeit prüfen – 12 Monate sind Standard, längere Bindungen ohne Mehrwert ablehnen
- Leistungsverzeichnis im Detail – Was ist inklusive, was kostet extra?
- Erreichbarkeit im Notfall – Gibt es eine 24/7-Hotline bei Sicherheitsvorfällen?
Fazit: Externer ISB als pragmatische Lösung
Ein externer Informationssicherheitsbeauftragter ist für die meisten KMU der wirtschaftlichste Weg, NIS2, ISO 27001 und Kundenanforderungen sauber zu erfüllen. Er liefert Erfahrung aus vielen Mandaten, ist sofort produktiv, neutral gegenüber internen Strukturen und kostet einen Bruchteil einer eigenen Stelle. Wer den ISB mit Managed Detection & Response kombiniert, deckt die meisten NIS2-Pflichten in einem einzigen Servicevertrag ab.
Weiterlesen: NIS2 Checkliste 2026 · Externer ISB & vCISO Service · Preise & Pakete
Nächste Schritte: Mehr zu unserem 24/7-Service auf der MDR-Pillar-Page – persönliches Erstgespräch über /kontakt.
Häufige Fragen
Was kostet ein externer Informationssicherheitsbeauftragter?
Externe ISB-Leistungen starten bei ca. 390 € pro Monat für kleine Unternehmen und liegen bei mittelgroßen KMU zwischen 700 und 2.500 € monatlich. Im Vergleich zu einer internen Stelle (80.000–130.000 € Jahresgehalt) ist das ein Bruchteil der Kosten.
Welche Aufgaben hat ein externer ISB?
Aufbau und Pflege des ISMS, Risikoanalysen, Sicherheitsrichtlinien, Mitarbeiterschulungen, Audit-Vorbereitung (ISO 27001, TISAX, NIS2), Vorfallmanagement, Lieferanten-Risikomanagement und regelmäßiges Reporting an die Geschäftsführung.
Ist ein ISB Pflicht für KMU?
Es gibt keine direkte gesetzliche ISB-Pflicht wie beim Datenschutzbeauftragten. Faktisch erzwingen aber NIS2, ISO 27001, TISAX, Kundenanforderungen und Cyberversicherungen die Benennung – damit ist der ISB für die meisten KMU im Mittelstand de facto Pflicht.
Was ist der Unterschied zwischen ISB und Datenschutzbeauftragtem (DSB)?
Der ISB verantwortet die Informationssicherheit im weitesten Sinne (Verfügbarkeit, Integrität, Vertraulichkeit aller Daten), der DSB ausschließlich den Datenschutz personenbezogener Daten nach DSGVO. Beide Rollen ergänzen sich, dürfen aus Unabhängigkeitsgründen aber nicht von derselben Person besetzt werden.
Was ist der Unterschied zwischen externer ISB und vCISO?
Die Begriffe werden in Deutschland meist synonym verwendet. vCISO (virtual CISO) stammt aus dem englischsprachigen Raum und betont die strategische Beratungsrolle auf C-Level-Niveau – inhaltlich deckt ein externer ISB dieselben Aufgaben ab.
MDR mit 24/7-SOC aus Deutschland
Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.
Weitere Artikel
NIS2 Checkliste für KMU 2026: Die 12 Schritte zur Konformität
Welche NIS2-Pflichten Sie 2026 erfüllen müssen – konkret, prüfbar und in 12 Schritten. Die Checkliste für Geschäftsführer und IT-Verantwortliche im Mittelstand.
NIS2-Registrierung verpasst? Das ist jetzt zu tun
Rund 11.000 Unternehmen haben die NIS2-Registrierung beim BSI versäumt. Welche Bußgelder drohen und wie Sie die Pflicht jetzt schnell nachholen.
MDR Anbieter Berlin: 24/7 Managed Detection & Response für Scale-ups, Behörden und Healthcare
Berlin verbindet Tech-Scale-ups, Bundespolitik, Charité und KRITIS. Warum NIS2, BSI-Grundschutz und DSGVO hier besonders ineinandergreifen und worauf bei der MDR-Auswahl zu achten ist.
MDR Anbieter Stuttgart: 24/7 Managed Detection & Response für Baden-Württemberg
Stuttgart ist das industrielle Herz Deutschlands – Mercedes, Porsche, Bosch, Trumpf, Festo und tausende Zulieferer. Warum TISAX-konformes MDR hier zur Pflicht wird und worauf Sie bei der Auswahl achten sollten.
MDR Anbieter München: 24/7 Managed Detection & Response für Bayern
Welcher MDR-Anbieter passt zu Unternehmen aus München? Auswahlkriterien, Kosten, regionale Besonderheiten und warum Valyros der richtige Sicherheitspartner für den Wirtschaftsraum München und Bayern ist.
SOC aufbauen oder MDR nutzen? Der ehrliche Vergleich
Eigenes SOC aufbauen oder MDR als Service einkaufen? Die Make-or-Buy-Entscheidung der IT-Sicherheit — nüchtern verglichen nach Personal, Kosten, Reaktionszeit und Versicherungseffekt, mit klarer Empfehlung für den Mittelstand.