IT-Sicherheitsbeauftragter, ISB, CISO: wie die Namen zusammenhängen

Im Gesetz heißt die Rolle Informationssicherheitsbeauftragter, kurz ISB. So nennt sie das BSI-Gesetz für die Bundesverwaltung, und so nennt sie auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem IT-Grundschutz. Nach der Darstellung des BSI ist der ISB für alle Fragen rund um die Informationssicherheit in der Institution zuständig.

Die Anbieter verwenden die Namen weitgehend gleichbedeutend. Zwei Lehrgänge unten führen „IT-Sicherheitsbeauftragter“ und „Chief Information Security Officer (CISO)“ in einem Titel. Ein Anbieter lässt die Teilnehmenden wählen, ob das Zertifikat auf IT-Sicherheitsbeauftragter, Informationssicherheitsbeauftragter oder IT-Security-Beauftragter lautet. Für die Auswahl eines Lehrgangs zählt deshalb weniger der Name als der Inhalt: ISO/IEC 27001, IT-Grundschutz des BSI oder beides, und wer am Ende prüft.

Die Abschlüsse sind Zertifikate der jeweiligen Akademie, einer Kammer oder einer Personenzertifizierungsstelle. Prüfungsform, Zulassung und Gültigkeit legt die ausstellende Stelle fest, die Gültigkeit reicht in der Liste unten von zwei Jahren bis unbefristet.

Wann ein Gesetz einen Beauftragten verlangt

Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der NIS-2-Richtlinie, mit dem das BSI-Gesetz neu gefasst wurde. Besonders wichtige und wichtige Einrichtungen müssen danach geeignete, verhältnismäßige und wirksame Maßnahmen zur Sicherheit ihrer Informationstechnik ergreifen und das dokumentieren (§ 30 BSIG). Zu den Mindestmaßnahmen gehören Konzepte zur Risikoanalyse, die Bewältigung von Sicherheitsvorfällen und grundlegende Schulungen. Betroffen sind in den Sektoren der Anlagen 1 und 2 des Gesetzes Unternehmen ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, Betreiber kritischer Anlagen unabhängig von der Größe (§ 28 BSIG).

Eine Pflicht, dafür einen Beauftragten zu bestellen, enthält § 30 BSIG nicht. Ausdrücklich in der Pflicht steht die Geschäftsleitung: Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen (§ 38 BSIG). Ob ein Unternehmen diese Aufgaben einem ISB überträgt, entscheidet es selbst; die Benennung ist eine mögliche organisatorische Maßnahme, das ist aber Auslegung und kein Wortlaut des Gesetzes. Was NIS-2 sonst verlangt, steht auf NIS2-Umsetzung.

Ausdrücklich vorgeschrieben ist ein Beauftragter in den geprüften Gesetzen an zwei Stellen:

• Bundesverwaltung. Jede Leitung einer Einrichtung der Bundesverwaltung bestellt einen Informationssicherheitsbeauftragten und mindestens eine Vertretung. Beide müssen die für ihre Aufgaben erforderliche Fachkunde erwerben und erfüllen ihre Berichts- und Beratungsaufgaben unabhängig und weisungsfrei (§ 45 BSIG).
• Telekommunikation. Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, hat einen Sicherheitsbeauftragten zu bestimmen und ein Sicherheitskonzept zu erstellen (§ 166 TKG).

Für Betreiber kritischer Anlagen sieht das BSI-Gesetz zusätzlich weitergehende Maßnahmen und Systeme zur Angriffserkennung vor (§ 31 BSIG). Ein Beauftragter ist dort nicht vorgeschrieben. Für Finanzunternehmen unter der europäischen DORA-Verordnung gelten §§ 30 und 38 BSIG nicht (§ 28 Absatz 6 BSIG); deren eigene Regeln haben wir für diese Seite nicht ausgewertet.

Was die Lehrgänge behandeln

Die Lehrgänge unten setzen unterschiedliche Schwerpunkte. Wiederkehrende Themen sind:

• Managementsystem. Aufbau, Dokumentation und Betrieb eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001.
• IT-Grundschutz. Die Vorgehensweise des BSI und ihr Verhältnis zur ISO-Norm.
• Recht. NIS-2 und das BSI-Gesetz, Schnittstellen zum Datenschutz.
• Risiko und Notfall. Risikoanalyse, Umgang mit Sicherheitsvorfällen, bei mehreren Anbietern Notfallmanagement nach BSI-Standard 200-4.
• Sensibilisierung. Wie der Beauftragte Schulungen für die Belegschaft plant. Fertige Kurse dafür stehen auf Security-Awareness-Schulung.

Beauftragter, Auditor, Beratung: was wohin gehört

Ein Lehrgang zum Beauftragten bereitet auf die Rolle im eigenen Unternehmen vor. Wer Managementsysteme anderer prüfen will, sucht eher eine Auditor-Ausbildung. Soll ein Managementsystem erst aufgebaut werden, kann zusätzlich eine ISO-27001-Beratung hinzukommen. Und wer Datenschutz und Informationssicherheit in einer Hand sehen möchte, findet die Datenschutzseite auf Externer Datenschutzbeauftragter.

Fünf Fragen, bevor Sie einen Lehrgang buchen

• ISO 27001, IT-Grundschutz oder beides? Richtet sich Ihr Unternehmen nach der ISO-Norm, nach dem IT-Grundschutz des BSI oder soll beides behandelt werden?
• Wer prüft? Stellt die Akademie das Zertifikat selbst aus, prüft eine Kammer oder eine getrennte Personenzertifizierungsstelle? Beides kommt vor und sagt Unterschiedliches aus.
• Wie lange gilt das Zertifikat? Manche Zertifikate laufen nach zwei oder drei Jahren ab und setzen für die Verlängerung Fortbildungen voraus.
• Welches Format passt? Ein Präsenz- oder Live-Online-Lehrgang bündelt die Zeit in wenigen Tagen. Ein Selbstlernkurs lässt sich neben der Arbeit verteilen, verlangt aber eigene Zeitplanung.
• Ist die Prüfung im Preis enthalten? Bei einigen Anbietern kommt die Prüfungsgebühr zum Lehrgangspreis hinzu.

Was den Preis bestimmt

Den Preis bestimmen Dauer und Format, die Betreuung während des Lehrgangs und die Prüfung. Eine Prüfung bei einer getrennten Zertifizierungsstelle kommt bei einigen Anbietern als eigene Gebühr dazu.

Die veröffentlichten Preise der Anbieter unten: Bitkom Akademie 2.200,00 € je Person zuzüglich Umsatzsteuer, ExperTeach 2.695 € zuzüglich Mehrwertsteuer für den Lehrgang, dazu 220 € für die freiwillige Prüfung, ExpertMe 2.241 € zuzüglich Mehrwertsteuer, Gesellschaft für Datenschutz 1.747 € zuzüglich Prüfungsgebühren und Mehrwertsteuer, IHK-Akademie Mittelfranken 2.150,00 € je Person ohne Umsatzsteuer einschließlich Zertifikatstest, LUTOP 2.616,81 € brutto für den Einzelkurs, TÜV Rheinland Akademie ab 3.105,00 € zuzüglich Mehrwertsteuer. Vergleichbar sind die Zahlen nur zusammen mit Umfang, Format und der Frage, ob die Prüfung enthalten ist.

---

Anbieter im Überblick

Angaben laut den Websites der Anbieter. Links und Preisangaben zuletzt geprüft: 10/2026. Die Reihenfolge ist alphabetisch und keine Rangfolge. Kein Anbieter bezahlt für seinen Eintrag, und wir erhalten derzeit auch keine Vergütung für vermittelte Anfragen. Beides kann sich ändern – bezahlte Platzierungen kennzeichnen wir dann unmittelbar am Eintrag als „Anzeige“, eine Vermittlungsvergütung weisen wir an dieser Stelle aus. Wie wir uns finanzieren, steht auf Transparenz.

Anbieter	Sitz	Format	Nachweis	Preis
Bitkom Akademie (Bitkom Servicegesellschaft mbH)	Berlin	Online-Lehrgang	Prüfung vor Ort oder online, freiwillig	2.200,00 € pro Person zzgl. 19 % USt.
ExperTeach Gesellschaft für Netzwerkkompetenz mbH	Dietzenbach	4 Tage, Berlin oder Live Online	Teilnahmebescheinigung, freiwillige DGI-Prüfung	2.695 € zzgl. MwSt. für den Lehrgang
ExpertMe Akademie (ExpertMe GmbH)	Frankfurt am Main	Fernlehrgang, 32 UE, Start jederzeit	Online-Prüfung, Zertifikat der Akademie	2.241 € zzgl. MwSt.
Gesellschaft für Datenschutz mbH	Braunschweig	3 Tage, 24 Lerneinheiten	Zertifizierungsprüfung „Information Security Officer (DEKRA)“	1.747 € zzgl. Prüfungsgebühren und MwSt.
IHK-Akademie Mittelfranken	Nürnberg	Vollzeit, 56 Stunden, Nürnberg	IHK-Zertifikat nach Zertifikatstest	2.150,00 € pro Person, ohne Umsatzsteuer nach § 4 Nr. 21a) bb) UStG
LUTOP Datenschutz Akademie GmbH	Essen	Online-Selbstlernkurs, 6 Monate Zugang	Online-Prüfung, Zertifikat der Akademie	2.616,81 € brutto für den Einzelkurs
TÜV Rheinland Akademie GmbH	Berlin	32 UE, Präsenz oder Virtual Classroom	Personenzertifikat PersCert TÜV, 3 Jahre	ab 3.105,00 € zzgl. MwSt.

---

Häufige Fragen

Ist ein IT-Sicherheitsbeauftragter Pflicht?

In den geprüften Gesetzen ausdrücklich nur für Einrichtungen der Bundesverwaltung (§ 45 BSIG) und als Sicherheitsbeauftragter für Anbieter öffentlicher Telekommunikationsnetze und -dienste (§ 166 TKG). Unternehmen, die unter NIS-2 fallen, müssen Risikomanagementmaßnahmen ergreifen; die Verantwortung dafür liegt bei der Geschäftsleitung. Ob sie die Aufgaben einem Beauftragten überträgt, entscheidet das Unternehmen.

Wer kann IT-Sicherheitsbeauftragter werden?

Anforderungen an die Person regeln die geprüften Gesetze nur für die Bundesverwaltung: Dort muss der ISB die erforderliche Fachkunde erwerben (§ 45 Absatz 2 BSIG). Das BSI hält fest, dass ein ISB Erfahrung in Informationssicherheit und IT haben und die Geschäftsprozesse kennen sollte. Eine Einbindung in die IT-Abteilung kann nach Darstellung des BSI zu Rollenkonflikten führen; zur Wahrung der Unabhängigkeit sollte der ISB direkt der obersten Leitung zugeordnet sein.

Ist das Zertifikat ein staatlich anerkannter Abschluss?

Die Zertifikate stellen Akademien, Kammern oder Personenzertifizierungsstellen aus, und jede Stelle legt Prüfung und Gültigkeit selbst fest. In der Liste oben reicht das von einem Zertifikat der Akademie ohne Ablaufdatum bis zu einem Personenzertifikat nach ISO/IEC 17024, das nach drei Jahren erneuert werden muss.

Was kostet die Ausbildung zum IT-Sicherheitsbeauftragten?

Die veröffentlichten Preise in der Liste oben liegen zwischen 1.747 € zuzüglich Prüfungsgebühren und Mehrwertsteuer und ab 3.105,00 € zuzüglich Mehrwertsteuer. Vergleichbar sind die Zahlen nur zusammen mit Dauer, Format und der Frage, ob die Prüfung enthalten ist.

Muss die Geschäftsleitung selbst geschult werden?

Bei Einrichtungen, die unter NIS-2 fallen, ja: Die Geschäftsleitung muss nach § 38 Absatz 3 BSIG regelmäßig an Schulungen teilnehmen. Ein ISB-Lehrgang ist dafür nicht vorgeschrieben. Mehr dazu auf NIS2-Umsetzung.

Sie bieten eine Ausbildung zum IT-Sicherheitsbeauftragten an? Der Eintrag in dieser Übersicht ist kostenlos. Wie Sie aufgenommen werden, steht auf Gelistet bei PontoIt.

Weitere Themen: ISO 27001 Beratung · NIS2-Umsetzung · Security-Awareness-Schulung · Externer Datenschutzbeauftragter · Datenschutzschulung für Mitarbeiter · KI-Beauftragter