Einen Informationssicherheitsbeauftragten, ohne ihn einstellen zu müssen
Feste Ansprechperson, planbarer Aufwand, monatlich kündbar – in drei Stufen, die zur Größe Ihrer Organisation passen.
Was ein ISB bei Ihnen verantwortet
Der Informationssicherheitsbeauftragte ist die zentrale Ansprechperson für alle Fragen der Informationssicherheit. Er entwickelt Richtlinien und sorgt für ihre Umsetzung, bewertet Risiken, berät bei Projekten und Beschaffungen und koordiniert die Schutzmaßnahmen. Vor allem aber ist er das Bindeglied zwischen Leitung, IT und Fachbereichen – die Stelle, an der Sicherheit aus einer Fachaufgabe eine Organisationsaufgabe wird.
Dazu kommt die Pflichtseite: NIS2, IT-Sicherheitsgesetz und ISO 27001 verlangen, dass jemand die Verantwortung trägt. Der ISB bereitet Audits vor, begleitet Sicherheitsvorfälle und sorgt dafür, dass Mitarbeitende wissen, worauf sie achten müssen.
Wann sich ein externer ISB gegenüber einer internen Stelle lohnt haben wir gesondert aufgeschrieben.
Drei Stufen, ein Prinzip
Jede Stufe besteht zur Hälfte aus einem festen Grundanteil und zur Hälfte aus Stunden nach Aufwand. Sie haben damit einen planbaren Sockel und wissen zugleich, wo die Obergrenze liegt.
| Paket | Stunden / Monat | Fest | Nach Aufwand |
|---|---|---|---|
| S – Basis | 8 h | 4 h | bis 4 h |
| M – Standard | 16 h | 8 h | bis 8 h |
| L – Erweitert | 32 h | 16 h | bis 16 h |
Nicht genutzte variable Stunden werden nicht berechnet. Die Konditionen nennen wir im Angebot.
Was in welcher Stufe steckt
S – Basis
- Regelmäßige Grundberatung und Abstimmungen
- Pflege von Richtlinien und Sicherheitsdokumentation
- Ansprechpartner bei sicherheitsrelevanten Fragen
- Unterstützung bei Awareness-Maßnahmen
M – Standard
Alles aus S, dazu:
- Kleine Risiko- und Schwachstellenanalysen
- Begleitung bei Audit-Vorbereitungen (ISO 27001, IT-Grundschutz, NIS2)
- Beratung bei Beschaffungen und Projekten mit Sicherheitsbezug
- Regelmäßiges Berichtswesen an Leitung und IT
L – Erweitert
Alles aus M, dazu:
- Intensive Begleitung bei Maßnahmen und Projekten
- Interne Audits und Compliance-Checks
- Unterstützung bei Sicherheitsvorfällen und Krisenübungen
- Management-Dashboards und Reporting
Die Rahmenbedingungen, ohne Kleingedrucktes
- Mindestlaufzeit
- Ein Monat. Danach monatlich kündbar.
- Paketwechsel
- Nach drei Monaten möglich, in beide Richtungen.
- Zusatzstunden
- Über die Stufe hinaus nach Absprache und mit Vorlaufzeit.
- Reaktionszeiten
- Auf Wunsch vereinbaren wir feste Reaktionszeiten.
- Transparenz
- Ein monatlicher Report zeigt, wofür die Stunden verwendet wurden.
- Arbeitsweise
- Remote oder vor Ort, wie mit Ihnen abgesprochen.
Warum halb fix und halb nach Aufwand
Ein reiner Stundenvertrag macht die Kosten unvorhersehbar, eine reine Pauschale bezahlt Leerlauf. Die Teilung löst beides:
Planungssicherheit
Der feste Grundanteil steht im Budget, und der Aufwand ist nach oben gedeckelt. Sie wissen im Voraus, was schlimmstenfalls kommt.
Fairness
Ruhige Monate kosten weniger. Was an variablen Stunden nicht gebraucht wird, wird nicht abgerechnet.
Flexibilität
Wächst der Bedarf – etwa vor einem Audit –, wechseln Sie die Stufe, statt einen neuen Vertrag zu verhandeln.
Woran ein ISB tatsächlich arbeitet
Die Rolle wird oft auf Dokumentation verkürzt. Tatsächlich verteilt sich die Arbeit auf sieben Felder, und welche davon Gewicht haben, entscheidet Ihre Situation:
Risikobewertung
Kritische Prozesse und Werte identifizieren, Risiken transparent machen und laufend bewerten – auch entlang der Lieferkette.
Rahmenwerke
Klären, welche Standards zu erfüllen sind: ISO 27001, IT-Grundschutz, NIS2, KRITIS.
Bedrohungslage
Bedrohungen früh erkennen statt auf den Vorfall zu warten.
Steuerung
Wirksamkeit und Effizienz der Maßnahmen verbessern – und der Geschäftsführung die Lage so darstellen, dass sie entscheiden kann.
Befähigung
Wissen in der Organisation aufbauen und die passenden Awareness-Maßnahmen auswählen.
Architektur
Sicherheitsanforderungen aus Digitalisierungsvorhaben früh einbringen, statt sie hinterher aufzusetzen.
Betrieb
Messbar machen, wie schnell erkannt und wie schnell reagiert wird.
Häufige Fragen zum externen ISB
Ersetzt ein externer ISB eine eigene Stelle?
Für die meisten kleinen und mittleren Organisationen ja. Eine eigene Stelle lohnt sich erst ab einer Größe, in der die Aufgabe wirklich jemanden auslastet – und sie muss besetzt, fortgebildet und im Urlaub vertreten werden. Wird intern später aufgebaut, übergeben wir geordnet.
Wie schnell sind Sie erreichbar?
Sie haben eine feste Ansprechperson, keine Hotline. Regelmäßige Termine sind Teil jeder Stufe. Wenn Sie feste Reaktionszeiten brauchen, vereinbaren wir sie – dann stehen sie im Vertrag und nicht nur in einer Zusage.
Was passiert, wenn ein Monat ruhig verläuft?
Dann fällt nur der feste Anteil an. Nicht genutzte variable Stunden verfallen, sie werden weder berechnet noch angespart.
Können wir mit S anfangen und später aufstocken?
Ja, ein Wechsel ist nach drei Monaten in beide Richtungen möglich. Viele starten mit S, gehen für die Zeit einer Audit-Vorbereitung auf M oder L und danach wieder zurück.
Übernehmen Sie auch die Rolle in einer Behörde?
Ja. Wir arbeiten für Unternehmen, Kommunen und Behörden. Gerade dort ist die Kombination aus ISO 27001 und IT-Grundschutz gefragt, und beides gehört zu unserem Kern.
Welche Stufe passt zu Ihnen?
Das lässt sich in einem Gespräch klären – meist reicht dafür eine halbe Stunde.
Erstgespräch vereinbaren