Rollen und Aufgaben in der Informationssicherheit

Laut einer Bitkom-Studie vom September 2025 verursachten analoge und digitale Angriffe Schäden von 289 Milliarden Euro in der deutschen Wirtschaft. Davon entfielen 202,4 Milliarden Euro auf Cyberangriffe. Eine resiliente Informationssicherheit ist daher zentral für die Geschäfts- und Zukunftsfähigkeit eines Unternehmens. Eine der Voraussetzungen dafür ist eine klare Rollen- und Aufgabenverteilung.

Die IT-Sicherheit ist ein Teil der Informationssicherheit. Während es bei der IT-Sicherheit um den Schutz von Informationen mithilfe von Informationstechnologie (IT) – also um die technischen Aspekte – geht, ist die Informationssicherheit deutlich weiter gefasst. Hier sind unter anderem auch räumliche, personelle, organisatorische und andere Aspekte relevant. Dieses erweiterte Verständnis spiegelt sich auch in den verschiedenen Rollen, Aufgaben und Funktionen im Bereich der Informationssicherheit wider.

Informationen sind für jedes Unternehmen wertvolle Güter und müssen daher geschützt werden. Denn laut Christoph Thiel, Professor für Informationssicherheit an der FH Bielefeld, können Unternehmen, die ihre Daten nicht ausreichend schützen, langfristig nicht wettbewerbsfähig bleiben. Dabei spielt es keine Rolle, ob es sich um Personaldaten, das Know-how der Mitarbeitenden oder eine geheime Rezeptur handelt. Wie beim Schutz personenbezogener Daten ist auch bei allen anderen Informationen ein sicherer und verantwortungsvoller Umgang erforderlich.    

Damit ist nicht gemeint, dass ein Unternehmen ein bestimmtes Tool oder eine bestimmte Methode nutzen muss. Entscheidend ist vielmehr, dass ein Informationssicherheitsmanagementsystem (ISMS) eingeführt wird. Dieses umfasst alle Prozesse, Regeln und Maßnahmen, die zum Schutz von Informationen erforderlich sind. Das Unternehmen muss dabei den Überblick über seine Informationssicherheit behalten und die Umsetzung der festgelegten Maßnahmen sicherstellen können.

Informationssicherheit ist die Aufgabe aller Beschäftigten. Die Verantwortung reicht von der Unternehmens- oder Behördenleitung, die die strategischen Rahmenbedingungen festlegt, bis zu den Mitarbeitenden, die die entsprechenden Vorgaben im Arbeitsalltag umsetzen. Nach Auffassung des BSI (Bundesamt für Sicherheit in der Informationstechnik) sollen alle Beteiligten „auf den Sicherheitsprozess hinwirken und bei diesem mitwirken.“

Darüber hinaus gibt es verschiedene Rollen im Bereich Informationssicherheit. Zwar sind diese mit Ausnahme kritischer Infrastrukturen meist weder normiert noch gesetzlich vorgeschrieben. Dennoch kommt kaum ein Unternehmen ohne entsprechende Verantwortlichkeiten aus. „In dem Moment, in dem Informationen für Unternehmen wichtig sind, braucht man jemanden, der zumindest eine dieser Rollen übernimmt“, sagt Prof. Christoph Thiel.

• CISO (Chief Information Security Officer): Zu dieser Rolle gehören die strategische und taktische Verantwortung für die Informationssicherheit sowie eine beratende und steuernde Funktion gegenüber der Unternehmensleitung. Angesiedelt ist sie meist in größeren oder komplexen, oft auch räumlich verteilten Organisationen. Dort trennt man sie häufig von der Person des ISO. Allerdings können auch die Rollen CISO und ISO in einer Person vereint sein.
  Chief Information Security Officer – CISO (TÜV) buchen | TÜV NORD
• ISO (Information Security Officer): ISO, auch Beauftragte für Informationssicherheit genannt, sind verantwortlich für den Aufbau und den Betrieb eines Informationssicherheitsmanagementsystems (ISMS) im Unternehmen, etwa nach der Norm DIN ISO 27001 oder dem vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelten IT-Grundschutz. 
  Kurs Information Security Officer – ISO (TÜV) buchen | TÜV NORD
• IT-Grundschutz-Praktiker unterstützen Unternehmen dabei, ihre Informationssicherheit nach dem IT Grundschutz-Standard des BSI zu managen. Deutsche Behörden sind überwiegend dazu verpflichtet, aber auch Unternehmen aus der freien Wirtschaft können nach diesem Standard vorgehen.
  BSI Basisschulung – IT-Grundschutz-Praktiker (TÜV) | TÜV NORD
• IT-Grundschutz-Berater sind vom BSI zertifizierte (externe) Berater, die Organisationen beim Entwickeln von Sicherheitskonzepten und beim Einführen eines ISMS nach dem IT-Grundschutz begleiten.
  Seminar IT-Grundschutz-Berater online buchen | TÜV NORD
• BCM-Praktiker entwickeln, betreiben und optimieren Business-Continuity-Management-Systeme nach etablierten Standards wie BSI 200-4 oder ISO 22301. Sie koordinieren Business-Impact-Analysen (BIA) und Risikoanalysen sowie die Erstellung von Notfall- und Wiederaufbauplänen zur Sicherung des Geschäftsbetriebs. Sie testen und auditieren die Wirksamkeit der Maßnahmen und fördern eine gelebte Sicherheitskultur und Governance im Unternehmen.
  Schulung BCM-Praktiker BSI online buchen | TÜV NORD
• OT-Security-Manager schützen betriebliche Systeme wie Anlagensteuerungen (ICS/SCADA) und Produktionsnetzwerke, indem sie ein geeignetes Management für OT-Sicherheit aufbauen und steuern. Dazu gehören Schwachstellenanalysen, Sicherheitsstrategien, aber auch die Koordinierung von Schutzmaßnahmen für IT- und OT-Umgebungen nach einschlägigen Standards (z. B. IEC 62443 in Verbindung mit ISO 27001). Sie steuern Risikobewertungen, leiten Sicherheitsprojekte und arbeiten mit interdisziplinären Teams und externen Partner zusammen. Weitere Aufgaben umfassen die Dokumentation und Standardisierung von Systemen, Prozessen und Sicherheitsrichtlinien gemäß Best Practices und Compliance-Vorgaben sowie das Management und die Koordination von Sicherheitsvorfällen.
  Seminar OT-Security-Manager buchen | TÜV NORD
• Security-Incident-Manager planen und koordinieren den Umgang mit Sicherheitsvorfällen. Ihre Aufgabe besteht darin, das Unternehmen so vorzubereiten, dass es im Ernstfall strukturiert und zielgerichtet statt hektisch und unkoordiniert reagieren kann. Im Mittelpunkt steht dabei weniger das unmittelbare „Feuerlöschen“ als vielmehr die organisatorische Vorbereitung. Sie definieren klare Prozesse und Verantwortlichkeiten und beantworten Fragen wie: Wer übernimmt welche Aufgaben? Kurz gesagt: Wie sieht die Incident Response des Unternehmens aus? Diese Abläufe werden in einem Notfallplan dokumentiert – wie ein Brandschutzkonzept, das aber speziell auf Cyberangriffe zugeschnitten ist. Nach einem Sicherheitsvorfall analysieren Incident-Manager gemeinsam mit den Beteiligten, was passiert ist, welche Maßnahmen erfolgreich waren und wo Verbesserungsbedarf besteht. Dieser kontinuierliche Lernprozess stärkt die Widerstandsfähigkeit des Unternehmens und hilft dabei, künftige Vorfälle noch besser zu bewältigen.
  Seminar Security Incident Manager online buchen (TÜV) | TÜV NORD
• NIS-2-Experte unterstützen Unternehmen bei der Umsetzung der NIS-2-Richtlinie (in Deutschland umgesetzt durch das NIS2UmzuCG) und beim Aufbau einer dafür notwendigen Informationssicherheit. Sie koordinieren das Risikomanagement, die Implementierung geeigneter technischer und organisatorischer Maßnahmen, etablieren Melde- und Vorfallprozesse, entwickeln Sicherheitsrichtlinien und Compliance-Strukturen. Sie organisieren Schulungen, Awareness-Programme und schaffen klare Kommunikationswege. Eine fortlaufende Überwachung und Dokumentation, Schwachstellenmanagement sowie regelmäßige Reviews dienen der nachhaltigen Erfüllung der NIS-2-Anforderungen und der kontinuierlichen Sicherheitsoptimierung.
  Seminar zum NIS-2-Experten (TÜV) online buchen | TÜV NORD
• Information Security Coordinator koordinieren die Umsetzung von Maßnahmen zur Informationssicherheit. Sie entwickeln und prüfen Sicherheitsrichtlinien, führen Risikoanalysen, Schwachstellenmanagement und Audits durch und überwachen Incident-Response-Prozesse. Zudem schulen sie Mitarbeitende und sensibilisieren diese für aktuelle Bedrohungen. Sie stimmen sich mit verschiedenen Fachbereichen, Partnern und Behörden zur Einhaltung von Standards (wie z. B. ISO/IEC 27001) ab. Je nach Unternehmensgröße und abhängig von der Branche können sie auch Aufgaben aus IT-Compliance, Datenschutz und Business Continuity Management übernehmen.
  Seminar Information Security Coordinator | TÜV NORD
• Auditoren: Wer die Wirksamkeit seines ISMS und das Einhalten entsprechender Standards wie ISO/IEC 27001 oder IT-Grundschutz prüfen möchte, lässt entsprechende Audits durch geeignete Auditor:innen durchführen. Während interne Audits durch qualifizierte Beschäftigte des Unternehmens erfolgen können, dürfen Zertifizierungsaudits ausschließlich von akkreditieren Zertifizierungsstellen bzw. entsprechend qualifizierten Auditoren durchgeführt werden.
  ISO 27001 Lead Auditor (TÜV) Ausbildung | TÜV NORD

Neben diesen Rollen, die die grundlegenden Anforderungen der Informationssicherheit erfüllen, können abhängig von Größe, Struktur und Risikoprofil eines Unternehmens weitere Funktionen sinnvoll sein. Dazu zählen beispielsweise Risikomanger, Notfallbeauftragte beziehungsweise Business-Continuity-Manager sowie lokale Sicherheitsmanager an verschiedenen Standorten.

Um im Unternehmen Aufgaben im Bereich der Informationssicherheit zu übernehmen, sind bestimmte Soft Skills hilfreich. Verschiedene Fortbildungen helfen dabei, sich die erforderlichen Kenntnisse für die Aufgaben und Rollen in der Informationssicherheit anzueignen.

Die Person sollte:

• extrem kommunikativ sein, da sie mit allen Bereichen im Unternehmen zu tun hat und mit jedem Bereich über die Informationssicherheit und die Maßnahmen dafür sprechen muss
• sehr gut in Prozessen denken können, um alle Prozesse im Unternehmen zu verstehen und diese dann zu schützen
• ein guter Projektmanager sein, um Aufgaben zu koordinieren und nicht selbst zu übernehmen
• Leidenschaft aufweisen. Denn ein Informationsmanagementsystem bedeutet im ersten Schritt mehr Arbeit und Stress für die Mitarbeitenden. Doch als Ansprechperson muss man dennoch die Maßnahmen umsetzen können. 
• einen beruflichen Hintergrund aus der Informationsverarbeitung mitbringen. Dieser muss nicht unbedingt technischer Natur sein. Doch man sollte ein Verständnis dafür haben, was in der Informationsverarbeitung passiert. 

Durch verschiedene Fortbildungen, Praxiserfahrung und die genannten Soft Skills kann man die Aufgaben des Informationssicherheitsbeauftragten im Unternehmen übernehmen.

In vielen Rollenbereichen gibt es zahlreiche Aufgabenüberschneidungen, sodass es sinnvoll erscheinen kann, mehrere Funktionen in einer Person zu bündeln. Das sei nicht grundsätzlich falsch – es hänge aber stark von der Unternehmensgröße und -struktur ab. „In einem kleinen Unternehmen mit 20 Mitarbeitenden ist es vollkommen legitim und oft notwendig, dass eine Person gleichzeitig als CISO, ISO und Business Continuity Beauftragter agiert. Ab einer gewissen Unternehmensgröße – etwa ab 250 Mitarbeitenden oder sobald das Unternehmen in mehrere Standorte oder komplexe Organisationsbereiche aufgeteilt ist – wird die Rollentrennung sinnvoller und notwendiger“, gibt Prof. Christoph Thiel zu verstehen.

Das eigentliche Risiko liege in der entstehenden Überlastung: Wer zu viele Hüte trage, könne keine Rolle wirklich mit der erforderlichen Tiefe ausfüllen. Kritisch sei es vor allem, wenn Kontrollfunktionen und operative Funktionen in einer Hand lägen, z. B. wenn ein und dieselbe Person sowohl für die Umsetzung von Sicherheitsmaßnahmen als auch für deren Auditierung zuständig sei. An dieser Stelle bestehe ein strukturelles Potenzial für Interessenkonflikte.

„Als Faustregel gilt: Kleinere Unternehmen (bis etwa 50 Mitarbeitenden) können mehrere Rollen bündeln, sollten aber die Verantwortlichkeiten klar dokumentieren. Mittlere Unternehmen (zwischen 50 und 250 Mitarbeitenden) sollten zumindest ISO und CISO als Funktionen voneinander trennen, auch wenn es dieselbe Person bleibt. Große Unternehmen und KRITIs benötigen klar getrennte Rollen mit eigenen Stellenprofilen und ausreichend Ressourcen“, ergänzt der Experte. 

Neben einer effizienten Rollen- und Ressourcenverteilung spielt auch das Verhalten bei Hackerangriffen selbst eine große Rolle. Wie lässt sich aber Panik im Ernstfall vermeiden oder bewältigen? „Panik entsteht, wenn Menschen in einer Krise nicht wissen, was sie tun sollen“, warnt Prof. Christoph Thiel. „Ein gut ausgearbeiteter und regelmäßig geübter Incident-Response-Plan gibt allen Beteiligten klare Handlungsanweisungen für den Ernstfall. Wer weiß, was zu tun ist, handelt. Wer es nicht weiß, gerät in Panik.“

Konkret bedeute das: Unternehmen sollten im Vorfeld definieren, wer bei einem Sicherheitsvorfall welche Aufgaben übernimmt – von Security-Manager:innen über die Kommunikationsverantwortlichen bis hin zur Geschäftsführung. Diese Zuständigkeiten müssten bekannt sein, bevor ein Angriff stattfinde. Hinzu kämen regelmäßige Übungen, etwa sogenannte Tabletop-Exercises oder sogar simulierte Angriffe (Red-Team-Übungen), damit Teams unter Druck handlungsfähig blieben.

Der Experte nennt noch einmal drei Maßnahmen, die im Ernstfall helfen können. „1. Ruhe bewahren durch eine klare Führung. 2. Konsequente Kommunikation – intern wie extern –, um Gerüchte und Fehlinformationen zu vermeiden. 3. Das Einhalten des Incident-Response-Plans, auch wenn der Druck groß ist, spontan zu handeln.“ 

Die TÜV NORD Akademie bietet ein breites Spektrum an Weiterbildungen, die auf die oben beschriebenen Rollen vorbereiten. Die Angebote richten sich sowohl an Einsteiger als auch an erfahrene Fachkräfte, die ihr Wissen vertiefen oder zertifizieren möchten.

• IT-Grundschutz-Praktiker: Einstieg in die BSI-Methodik; Aufbau und Betrieb eines ISMS nach IT-Grundschutz; Vorbereitung auf die BSI-Zertifizierungsprüfung zum IT-Grundschutz-Praktiker.
• IT-Grundschutz-Berater: Vertiefung der BSI-Methodik; Begleitung von Organisationen bei der ISMS-Einführung; Vorbereitung auf die BSI-Zertifizierung zum IT-Grundschutz-Berater.
• ISO/IEC 27001 – Lead Implementer / Lead Auditor: Aufbau und Betrieb eines ISMS nach ISO/IEC 27001; Durchführung interner Audits; Vorbereitung auf externe Zertifizierungsaudits.
• CISO-Qualifizierung: Strategische und taktische Steuerung der Informationssicherheit; Governance, Risk & Compliance (GRC); Kommunikation mit der Unternehmensleitung.
• Business-Continuity-Beauftragte (BCM-Praktiker): Aufbau eines BCMS nach BSI 200-4 und ISO 22301; Business-Impact-Analyse; Notfallplanung und -übungen.
• NIS-2-Experte / NIS-2-Compliance: Anforderungen der NIS-2-Richtlinie und des NIS2UmsuCG; Umsetzung technischer und organisatorischer Maßnahmen; Meldepflichten und Incident Response im NIS-2-Kontext.
• OT/ICS Security Manager: Sicherheit in industriellen Steuerungssystemen; IEC 62443; Schwachstellenanalysen in OT-Umgebungen; Integration von IT- und OT-Sicherheit.
• Security Incident Manager: Aufbau und Betrieb eines Incident-Response-Prozesses; forensische Grundlagen; Kommunikation im Krisenfall; Nachanalyse und Lessons Learned.

Alle Schulungen können als offene Seminare oder als Inhouse-Training gebucht werden. Die TÜV NORD Akademie ist dabei als anerkannte Bildungseinrichtung für viele Förderprogramme qualifiziert, was die Finanzierung der Weiterbildung erleichtern kann.