Informationssicherheit im Mittelstand: Aufgaben für ISB, DSB, CISO und KI-Beauftragte

Inhalt Anzeigen

Bei den ganzen Begriffen und Entwicklungen im Bereich Informationssicherheit verliert man schnell den Durchblick. Verschiedene Begriffe und Rollen tummeln sich im Dickicht der IT-Abteilungen, manche geläufig aus Konzernen, andere speziell für den Mittelstand angepasst. Und mit dem Aufkommen von Technologien wie OpenAI und Microsoft Copilot tauchen immer wieder neue Positionen auf, wie zum Beispiel der KI-Beauftragte. Doch wer sind diese Akteure eigentlich und warum spielen sie für die Unternehmenssicherheit eine so wichtige Rolle?

Seit Dezember 2025 ist die Situation rechtlich geklärt: Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist das BSIG novelliert. Rund 29.500 Unternehmen sind nun durch das BSI beaufsichtigt. Vorher waren es 4.500. Der EU AI Act wirft ab dem 2. August 2026 seine ersten verbindlichen Schatten in Form von Transparenz- und GPAI-Pflichten. Und die ISO 27001 wurde mit Wirkung zum 1.11.2025 auf die 2022er-Fassung verbindlich umgestellt.

Dieser Beitrag verschafft Klarheit im Rollen-Dschungel der Cybersicherheit unter den aktuellen Rahmenbedingungen. Wir erklären die wichtigsten Positionen, ihre Aufgaben und wie sie zusammenwirken mit konkreten Verlinkungen zu unseren Vertiefungsbeiträgen. Für eine schnelle IST-Analyse empfehlen wir vorab den Cyber Risiko Check nach DIN SPEC 27076.

Unterschiede zwischen großen und mittelständischen Unternehmen

Englische vs. deutsche Bezeichnungen

Im Bereich Informationssicherheit begegnen uns viele Bezeichnungen, die je nach Unternehmensgröße und Internationalität variieren. Die wichtigsten Rollen im Überblick:

Rolle	Hauptverantwortung	Typisch für
Informationssicherheitsbeauftragter (ISB)	Verantwortet das Informationssicherheits-Managementsystem (ISMS), berät die Geschäftsleitung, berichtet zur Sicherheitslage.	Mittelstand DACH
Datenschutzbeauftragter (DSB)	Schutz personenbezogener Daten, Einhaltung von DSGVO und BDSG, Beratung zu Verarbeitungstätigkeiten und TOMs.	Pflicht ab 20 MA mit Datenverarbeitung
Chief Information Security Officer (CISO)	Führungsrolle für die IT-Sicherheitsstrategie, oft mit eigenem Team und Budget. Berichtet an Vorstand oder Geschäftsführung.	Konzerne, größere Mittelständler ab 2.000 MA
Information Security Officer (ISO)	Internationale Bezeichnung des ISB. In englischsprachigen Konzernen üblich.	International, DACH-Töchter US-Konzerne
Data Protection Officer (DPO)	Internationale Bezeichnung des Datenschutzbeauftragten.	International
KI-Beauftragter / AI Officer	Begleitet Einführung und Betrieb von KI-Systemen, dokumentiert Risikoklassifizierung, koordiniert mit ISB und DSB. Erfüllt die Deployer-Pflichten aus Art. 26 EU AI Act.	Alle Unternehmen mit produktivem KI-Einsatz
KI-Risiko-Manager	Spezialisierte Funktion für Hochrisiko-KI. Etwa in Recruiting, Kreditscoring, medizinischer Diagnostik. Erstellt Folgenabschätzungen (FRIA).	Betreiber von Hochrisiko-KI nach Anhang III AI Act

In internationalen Konzernen sind die englischen Bezeichnungen üblich, im deutschen Mittelstand dominieren die deutschen Begriffe (ISB, DSB). Die Aufgaben sind unabhängig von der Bezeichnung weitgehend gleich entscheidend ist, dass die Funktionen besetzt und mit Ressourcen ausgestattet sind. Vertiefend zur ISB-Funktion: Aufgaben und Verantwortlichkeiten des Informationssicherheitsbeauftragten.

Rollenverteilung im Mittelstand

In mittelständischen Unternehmen ist es aufgrund begrenzter Ressourcen oft nicht möglich, jede Funktion mit einer dedizierten Vollzeitkraft zu besetzen. Überlappungen zwischen ISB und DSB sind häufig. Das ist auch legitim, wenn die Schnittstellen klar geregelt sind. Welche Aufgaben gemeinsam, welche getrennt gehören, haben wir hier ausführlich beschrieben: Was ISB und DSB gemeinsam haben — und was sie unterscheidet.

Was sich allerdings nicht länger halten lässt: die Informationssicherheit nebenbei einem Mitarbeiter aus der IT-Abteilung mit zu übertragen. Unter NIS2 wird der ISB explizit erwähnt und die Geschäftsleitung haftet für die Wahl einer kompetenten Funktion. Aus diesem Grund wählen viele Mittelständler heute ein Hybridmodell. Eine interne Ansprechperson für Schnittstellen und Tagesgeschäft kombiniert mit einem externen ISB für Methodenkompetenz und unabhängigen Bericht. Worauf bei der Auswahl zu achten ist, finden Sie im Beitrag Wie findet man einen guten ISB?

Was sich 2025/2026 rechtlich geändert hat

NIS2-Umsetzungsgesetz – in Kraft seit 6. Dezember 2025

Die NIS-2-Richtlinie wurde mit dem NIS2UmsuCG am 6.12.2025 in deutsches Recht überführt. Sie ist Teil eines sogenannten Omnibus-Gesetzes, das vor allem das BSI-Gesetz (BSIG) novelliert. Übergangsfristen gibt es keine. Die Pflichten gelten ab dem Tag des Inkrafttretens.

Die wichtigsten Punkte für ISB-Funktion und Geschäftsleitung:

§ 38 BSIG Geschäftsleitungspflichten: Billigung der Risikomanagementmaßnahmen, Überwachung der Umsetzung, Teilnahme an Schulungen. Alle drei Pflichten sind ausdrücklich nicht delegierbar.
Risikomanagement (§ 30 BSIG): Mindestens zehn Themenfelder von Krypto und Zugriffskontrolle über Backup und Lieferantensteuerung bis Vorfallsmanagement und Awareness.
Registrierungspflicht: Endete bereits am 6.3.2026. Wer als reguliertes Unternehmen erkannt ist und nicht registriert ist, sollte sofort handeln.
Anwendungsbereich: Rund 29.500 Unternehmen (vorher 4.500). Erweitert auf Sektoren wie Lebensmittel, Verarbeitung, Post-/Kurierdienste, Forschung.
Bußgelder: Bis zu 10 Mio. EUR oder 2 Prozent des weltweiten Jahresumsatzes (wichtige Einrichtungen) bzw. 20 Mio. EUR / 4 Prozent (besonders wichtige Einrichtungen).

Die konkreten technischen Anforderungen aus § 30 BSIG haben wir hier aufgeschlüsselt: Technische Anforderungen der NIS-2-Richtlinie. Wie ein ISB diese Anforderungen prozessual mit SIEM, SOAR und SOC zusammenführt, zeigt der Beitrag zum Zusammenwirken gesetzlicher Vorgaben mit Security Operations.

ISO 27001:2022 — verbindlich seit 1. November 2025

Die Übergangsfrist von ISO 27001:2013 auf 27001:2022 endete am 31.10.2025. Seit 1.11.2025 sind alle 2013er-Zertifikate ungültig. Akkreditierte Stellen dürfen keine Audits mehr nach der alten Version durchführen. Wer die Frist verpasst hat, muss eine vollständige Neuzertifizierung anstreben inklusive Stage 1 und Stage 2 Audit.

Die wichtigsten Neuerungen der 2022er-Fassung:

Vier Themengruppen statt 14 Sicherheitsdomänen: Organisation, Personal, physisch, technologisch.
93 Controls (vorher 114) – davon elf vollständig neu.
Neue Controls u. a. zu Threat Intelligence (A.5.7), Information Security for Use of Cloud Services (A.5.23), ICT Readiness for Business Continuity (A.5.30), Data Masking (A.8.11), Web Filtering (A.8.23), Secure Coding (A.8.28).

Warum sich eine ISO 27001:2022 Zertifizierung gerade jetzt lohnt. Lesen Sie hier: Vorteile einer ISO 27001 Zertifizierung. Und wieviel sich tatsächlich automatisieren lässt, ohne den Audit zu gefährden, ist Thema in Wieviel Automatisierung geht bei der ISO 27001?.

EU AI Act – was ab August 2026 wirklich gilt

Hier hat sich gegenüber dem Stand 2025 viel geändert. Durch den sogenannten Digital Omnibus wurden die vollen Hochrisiko-Pflichten der KI-Verordnung auf den 2.12.2027 verschoben. Ab dem 2. August 2026 gelten aber:

GPAI-Pflichten (General Purpose AI): Modellanbieter müssen technische Dokumentation, Trainingsdaten-Zusammenfassungen und Urheberrechts-Compliance nachweisen.
Transparenzpflichten (Art. 50): Kennzeichnung von KI-generierten Inhalten, insbesondere Deepfakes. Pflicht-Hinweis, wenn Nutzer mit einem KI-System interagieren.
Sanktionsregime (Art. 99): Bis zu 15 Mio. EUR oder 3 Prozent des weltweiten Jahresumsatzes.
Deployer-Pflichten (Art. 26): Für Hochrisiko-KI bereits seit 2.2.2025 anwendbar. Menschliche Aufsicht, Logging, Datenqualität, Schulung, Vorfallmeldung.

Wir haben das Zusammenspiel von technischer Umsetzung und organisatorischer Verantwortung detailliert beschrieben: Rollen bei der Einführung von KI-Systemen sowie KI-Governance und KI-Risikomanagement.

ISO 42001 – Die dritte Managementsystem-Säule

ISO/IEC 42001 (AI Management System) wurde Ende 2023 veröffentlicht und etabliert sich 2026 als dritte Säule neben dem ISMS nach ISO 27001 und dem Datenschutz-Managementsystem. Der Standard liefert die strukturierte Antwort auf den EU AI Act. Warum AIMS für Unternehmen mit produktivem KI-Einsatz unverzichtbar wird, lesen Sie in ISO 42001 AIMS — das KI-Managementsystem für Unternehmen.

Der KI-Beauftragte ist keine optionale Rolle mehr

Wer im Mittelstand produktiv KI einsetzt, also Copilot, ChatGPT Enterprise, Gemini, Claude oder Custom-Modelle in Geschäftsprozessen, benötigt 2026 eine verantwortliche Funktion für die KI-Compliance. Diese Funktion hat verschiedene Namen: KI-Beauftragter, AI Officer, KI-Verantwortlicher und folgende Kernaufgaben:

Inventarisierung: Vollständiges KI-Inventar (Anbieter, Modell, Anwendungsfall, Datenklassifizierung, Risikoklassifizierung nach Art. 6 AI Act).
Risikoklassifizierung: Prüfung, ob ein System unter unzulässige Praktiken (Art. 5), Hochrisiko (Art. 6 i.V.m. Anhang III) oder minderes Risiko fällt.
Deployer-Pflichten (Art. 26): Menschliche Aufsicht sicherstellen, Logging organisieren, Datenqualität überwachen, Bewerber-Information bei HR-KI, FRIA bei öffentlichen Stellen.
Transparenz (Art. 50): Kennzeichnung von KI-Inhalten, Hinweispflicht bei Chatbots, Wasserzeichen bei generierten Bildern.
Schulungspflicht (Art. 4): Sicherstellen, dass alle Mitarbeiter, die KI bedienen oder ihre Ergebnisse nutzen, ausreichend KI-kompetent sind. Seit 2.2.2025 verpflichtend.
Schnittstellen: Eng mit DSB (Datenschutz-Folgenabschätzung), ISB (Informationssicherheit, Cloud-Anbindung) und Compliance (Urheberrecht, Haftung) abgestimmt.

Wer kann den KI-Beauftragten besetzen?

Im Mittelstand sind drei Konstellationen üblich: 1) interne Doppelfunktion (DSB plus KI-Beauftragter), 2) eigenständige interne Rolle (oft im IT- oder Compliance-Bereich), 3) externer KI-Beauftragter mit klar geregelter Schnittstelle zum Unternehmen. Für Mittelständler ohne Hochrisiko-KI ist Variante 1 oft pragmatisch und ausreichend. Die ausführliche Rollen-Diskussion finden Sie in Rollen bei der Einführung von KI-Systemen im Unternehmen. Wie KI selbst zur Stärkung der Sicherheit beitragen kann, beschreibt Einsatz Künstlicher Intelligenz in der Cybersicherheit.

Zusammenspiel der Rollen aus der Praxis

In der Theorie haben alle Rollen klare Grenzen. In der Praxis überlappen sie sich und das ist kein Problem, solange die Schnittstellen geregelt sind. Folgende Verantwortungsmatrix bewährt sich im Mittelstand:

Thema	ISB	DSB	IT-Leitung	KI-Beauftragter
ISMS-Aufbau und -Pflege	Verantwortlich	Mitwirkend	Mitwirkend	Informiert
DSGVO/Datenschutz	Mitwirkend	Verantwortlich	Umsetzend	Mitwirkend
Risikoanalyse	Verantwortlich	Mitwirkend (PB-Daten)	Mitwirkend (Technik)	Mitwirkend (KI-Risiken)
ISB-Bericht / GF-Reporting	Verantwortlich	Beitrag DS-Themen	Beitrag Technik	Beitrag KI-Themen
Awareness/Schulung	Verantwortlich (Konzept)	Mitwirkend (DS-Inhalte)	Umsetzend (Technik)	Mitwirkend (KI-Kompetenz)
Vorfallsmanagement	Verantwortlich	Mitwirkend (DS-Vorfall)	Umsetzend (Technik)	Mitwirkend (KI-Vorfall)
KI-Inventar / Risikoklasse	Informiert	Mitwirkend (PB-Daten)	Informiert	Verantwortlich
Lieferantensteuerung	Verantwortlich	Mitwirkend (AVV)	Umsetzend	Mitwirkend (KI-Lieferanten)

Wie ein guter ISB-Bericht aussieht und welche Inhalte er enthält beschreibt der Beitrag Der ISB-Bericht — Schlüssel zur effektiven Informationssicherheit. Warum der ISB die zentrale Schnittstelle zwischen Organisation und Risiken bildet, lesen Sie in Der ISB als Schnittstelle zwischen Organisation und Risiken. Für produzierende Unternehmen kommt eine zusätzliche Dimension hinzu: Die Rolle des ISB beim SRA nach IEC 62443 in der Produktion.

Empfehlungen für den Mittelstand

Mindest-Setup nach Unternehmensgröße

Größenklasse	Empfohlenes Rollen-Setup	Kosten p. a. (Richtwert)
50 bis 250 MA	Externer ISB (4 bis 6 Tage/Monat), externer DSB, KI-Beauftragter intern in Doppelfunktion, IT-Leitung als Umsetzungs-Schnittstelle.	ISB 24 bis 36 TEUR, DSB 6 bis 12 TEUR
250 bis 500 MA	Hybridmodell: Interne ISB-Ansprechperson (50 bis 100 Prozent) plus externer Methoden-Profi (2 bis 3 Tage/Monat). DSB intern oder extern. KI-Beauftragter eigene Funktion.	ISB 60 bis 80 TEUR, DSB 30 bis 60 TEUR
500 bis 1.000 MA	Interner ISB Vollzeit, externer Methodensupport für ISMS-Pflege und Audits. DSB intern. KI-Beauftragter eigene Funktion.	ISB-Funktion 100 bis 140 TEUR
1.000 bis 2.000 MA	CISO oder ISB-Vollzeit mit kleinem Team (1 bis 2 Mitarbeitende). Eigenständige DSB-Funktion. KI-Beauftragter im Compliance-Bereich. Externer Pentest-Support.	ISB-Team 250 bis 400 TEUR
Über 2.000 MA	CISO mit Team. ISB-Funktion im CISO-Bereich integriert. Eigene Datenschutz- und KI-Compliance-Funktionen. Aufbau eines SOC oder MDR-Anbindung.	Stark abhängig von Reifegrad

Die wirtschaftlichste Variante für Mittelständler bis 1.000 Mitarbeitende ist meist das Hybridmodell. Warum, und wie der Auswahlprozess für einen externen Partner aussehen sollte, beschreibt der Beitrag Wie findet man einen guten ISB?. Für kleinere Unternehmen bietet die DIN SPEC 27076 ein praxistaugliches Grundgerüst: DIN SPEC 27076 als Grundlage für einen Cyber Risiko Check.

Was die Geschäftsleitung selbst tun muss

Die NIS2-Novelle macht klar: Bestimmte Pflichten sind nicht delegierbar. Auch wenn Sie alle operativen Themen an einen ISB übertragen, bleiben drei Aufgaben bei der Geschäftsleitung:

Billigen: Die Risikomanagementmaßnahmen inkl. Risikoakzeptanzkriterien und Restrisiken müssen formal durch die Geschäftsleitung freigegeben werden.
Überwachen: Die Wirksamkeit der Maßnahmen ist regelmäßig zu prüfen. Mindestens einmal jährlich, bei kritischen Vorfällen anlassbezogen.
Schulen lassen: Die Geschäftsleitung muss selbst regelmäßig an Schulungen teilnehmen. Nicht nur die Mitarbeiter. Nachweisbar.

Warum diese Themen ohne strukturierten ISB-Bericht nicht funktionieren, und wie der Bericht aussehen sollte, finden Sie hier: Der ISB-Bericht. Und wie Sie sich konkret auf das nächste Audit oder Zertifizierungsverfahren vorbereiten: Vorbereitung auf Audits, Zertifizierungen und Gesetze.

Fragenkatalog für die Standortbestimmung

Diese Fragen sollten Sie für Ihr Unternehmen mit einem klaren Ja, Nein oder Teilweise beantworten können sonst gibt es Handlungsbedarf.

Allgemein

Kennen wir unsere aktuellen Bedrohungen und Top-Risiken dokumentiert und priorisiert?
Haben wir eine vollständige Asset-Liste mit Schützungsbedarfsklassifizierung?
Erfüllen wir alle gesetzlichen Vorgaben (NIS2 falls anwendbar, DSGVO, EU AI Act)?
Wann fand zuletzt ein Pentest oder Cyber Risiko Check statt?
Wie sensibilisieren wir Mitarbeitende? Mit welcher Wirksamkeit?

NIS2 / BSIG

Fallen wir in den Anwendungsbereich des neuen BSIG (wichtige oder besonders wichtige Einrichtung)?
Sind wir beim BSI registriert (Frist endete 6.3.2026)?
Haben wir Meldeprozesse für Sicherheitsvorfälle implementiert (24/72-Stunden)?
Erfüllen wir die zehn Themenfelder des § 30 BSIG inkl. Lieferantensteuerung?
Hat die Geschäftsleitung ihre Pflichten aus § 38 BSIG dokumentiert wahrgenommen?

EU AI Act / KI

Führen wir ein KI-Inventar mit Risikoklassifizierung nach AI Act?
Setzen wir Hochrisiko-KI ein. Etwa in Recruiting, Kreditscoring, Diagnostik, kritischer Infrastruktur?
Sind unsere Mitarbeitenden ausreichend KI-kompetent (Art. 4 AI Act, Pflicht seit 2.2.2025)?
Kennzeichnen wir KI-generierte Inhalte (Art. 50, ab 2.8.2026)?
Haben wir einen verantwortlichen KI-Beauftragten benannt?

ISO 27001:2022

Falls zertifiziert: Haben wir die Transition zu 27001:2022 abgeschlossen?
Sind die elf neuen Controls implementiert oder begründet ausgeschlossen?
Wann ist das nächste Überwachungs- oder Re-Zertifizierungsaudit?

Für eine systematische Standortbestimmung empfehlen wir den Cyber Risiko Check nach DIN SPEC 27076 oder als zweite Stufe einen Cyber Sicherheits Check. Worin sich diese Formate unterscheiden, klärt der Beitrag Cyber Risiko Check vs. Cyber Sicherheits Check vs. Penetrationstest.

Vom Reden zum Tun: empfohlene nächste Schritte

Theoretische Klarheit ist die eine Seite. Die andere ist: Wie kommen Sie als Mittelständler von hier ins nächste Quartal? Folgender pragmatischer Pfad hat sich bei über 30 Mandaten bewährt:

Schritt 1 – IST-Analyse (4 bis 6 Wochen): Cyber Risiko Check, Asset-Inventar, Risikobewertung. Liefert die Grundlage für alles Weitere.
Schritt 2 – Rollen und Verantwortlichkeiten klären (2 bis 4 Wochen): ISB, DSB, KI-Beauftragter benennen und Aufgaben dokumentieren. Bei Bedarf externe Partner ausschreiben.
Schritt 3 – ISMS aufbauen oder vervollständigen (3 bis 6 Monate): Richtlinien, Verfahren, Schulungen. Bei NIS2-Pflicht parallel zur Registrierung beim BSI.
Schritt 4 – Awareness und Pentest (laufend): Sicherheitskultur etablieren, technische Schwachstellen finden und schließen. Mindestens jährlich.
Schritt 5 – Bericht und Steuerung (quartalsweise): ISB-Bericht an die Geschäftsleitung. Aufgaben, Findings, Restrisiken, Empfehlungen.

Wie ein vollständiger Aufbau in einem Mittelständler in der Praxis aussieht, beschreibt unsere Case Study: Aufbau eines Informationssicherheitssystems. Wie ein ISMS den Mittelstand vor Cyber-Bedrohungen schützt: Wie ISMS den Mittelstand schützen. Vom Ernstfall zur Struktur: Informationssicherheit im KMU.

Weiterführende Beiträge

Themen, die in diesem Überblick angeschnitten wurden und in eigenen Beiträgen vertieft sind:

Keine News verpassen

Immer aktuelle News und Updates zu Themen der IT- und Netzwerksicherheit.

NESEC besser kennenlernen

Neugierig, überzeugt, interessiert?

Vereinbaren Sie ein unverbindliches Gespräch mit einem unserer Mitarbeiter.
Wir sind gespannt, welche Herausforderungen Sie zur Zeit beschäftigen.
Beachten Sie auch unseren aktuellen Veranstaltungen und Webinare.