Externer ISB: Was er kostet und wovon es abhängt

Die kurze Antwort

Ein externer Informationssicherheitsbeauftragter (ISB) wird in Deutschland meist als Monatspauschale mit festem Stundenkontingent angeboten. Bei Infosectec beginnen die Pakete bei 790 EUR netto pro Monat für 4 bis 5 Stunden Leistung. Mit wachsendem Geltungsbereich, regulatorischem Druck und Zertifizierungsziel steigt der Bedarf auf 8 bis 16 Stunden im Monat und mehr. Ob das günstig ist, hängt davon ab, was Sie damit vergleichen und was die Stelle in Ihrem Unternehmen tatsächlich leisten muss. Dieser Beitrag erklärt die Kostentreiber, damit Sie Angebote vergleichen und ein Budget begründen können.

Brauchen Sie überhaupt einen ISB?

Eine ausdrückliche gesetzliche Pflicht, einen Informationssicherheitsbeauftragten zu bestellen, enthält das BSI-Gesetz nur für Einrichtungen der Bundesverwaltung (§ 45 BSIG). Für Unternehmen, die als besonders wichtige oder wichtige Einrichtung unter NIS2 fallen, verlangt das Gesetz etwas anderes und zugleich Umfassenderes: dokumentierte Risikomanagementmaßnahmen in mindestens zehn Themenfeldern (§ 30 BSIG) und eine Geschäftsleitung, die diese Maßnahmen umsetzt, überwacht und sich regelmäßig schulen lässt (§ 38 BSIG). In der Praxis braucht jemand die Verantwortung für den Aufbau und die Pflege dieses Managementsystems. Diese Rolle heißt in ISO 27001 und im BSI-IT-Grundschutz Informationssicherheitsbeauftragter. Auch Cyberversicherer, Großkunden und Auditoren fragen nach einer benannten Person. Die Frage ist deshalb selten, ob jemand die Aufgabe übernimmt, sondern wer: eine Person aus dem eigenen Haus, ein externer Dienstleister oder eine Mischung aus beidem.

Sieben Kostenfaktoren

1. Geltungsbereich. Ein Standort mit 40 Mitarbeitenden und Microsoft 365 braucht weniger Stunden als drei Standorte mit Produktion, Fernwartungszugängen und eigener Serverlandschaft.
2. Reifegrad. Gibt es bereits eine Sicherheitsleitlinie, ein Asset-Verzeichnis, eine Risikoanalyse, Notfallpläne? Je weniger vorhanden ist, desto mehr Aufbauarbeit fällt im ersten Jahr an. Im zweiten Jahr sinkt der Aufwand meist auf Pflege und Überprüfung.
3. Regulatorischer Druck. NIS2-Betroffenheit, Anforderungen von Konzernkunden (zum Beispiel TISAX in der Automobilindustrie), Vorgaben der Cyberversicherung oder branchenspezifische Standards legen fest, wie tief dokumentiert und wie oft berichtet werden muss.
4. Zertifizierungsziel. Soll ein Audit nach ISO 27001 oder BSI-IT-Grundschutz bestanden werden, kommen Statement of Applicability, interne Audits, Managementbewertung und die Begleitung des Zertifizierungsaudits hinzu. Die Gebühren der Zertifizierungsstelle sind zusätzlich zu budgetieren.
5. Lieferkette. § 30 Absatz 2 Nummer 4 BSIG verlangt die Sicherheit der Lieferkette. Je mehr Dienstleister und Cloud-Anbieter Sie steuern, desto mehr Bewertungen und Vertragsprüfungen fallen an.
6. Vorfälle und Anfragen. Sicherheitsvorfälle, Kundenfragebögen und Audits erzeugen Spitzen, die nicht in die Monatspauschale passen. Klären Sie vorher, wie Zusatzstunden abgerechnet werden.
7. Präsenz. Vor-Ort-Termine, Schulungen für Mitarbeitende und Geschäftsleitung sowie Teilnahme an Managementrunden kosten Zeit und gegebenenfalls Anfahrt.

Drei Abrechnungsmodelle

• Monatspauschale mit Stundenkontingent. Planbar, meist monatlich oder quartalsweise kündbar. Achten Sie darauf, ob nicht genutzte Stunden verfallen und was eine Zusatzstunde kostet.
• Tagessatz nach Aufwand. Flexibel, aber schwer zu budgetieren. Sinnvoll für klar abgegrenzte Projekte wie den Aufbau eines ISMS vor der Zertifizierung.
• Projektfestpreis. Für Aufbauphasen mit definiertem Ergebnis (zum Beispiel Leitlinie, Risikoanalyse, Notfallhandbuch), danach Übergang in eine Pauschale.

Intern oder extern: Der ehrliche Vergleich

Eine interne Stelle kostet mehr als das Gehalt. Dazu kommen Arbeitgeberanteile zur Sozialversicherung, Weiterbildung und Zertifikatspflege, Werkzeuge, Vertretung bei Urlaub und Krankheit sowie die Zeit, bis eine neu eingestellte Person das Unternehmen kennt. Für kleine und mittlere Unternehmen reicht der Bedarf oft nicht für eine Vollzeitstelle; dann landet die Aufgabe bei einer IT-Fachkraft als Nebenrolle, mit der Folge, dass Dokumentation und Berichte liegen bleiben.

Ein externer ISB bringt dafür Erfahrung aus mehreren Unternehmen, kennt Auditfragen und ist ab dem ersten Tag arbeitsfähig; die Kosten sind eine planbare Betriebsausgabe, die mit dem Bedarf wächst oder schrumpft. Die Nachteile gehören ebenso auf den Tisch: Ein externer ISB ist nicht täglich im Haus, kennt interne Abläufe nur so gut, wie Sie ihn einbinden, und das Wissen wandert beim Anbieterwechsel mit. Gute Verträge regeln deshalb, dass alle Dokumente und Nachweise Ihnen gehören und in Ihren Systemen liegen.

Unabhängig von der Wahl bleibt die Verantwortung im Unternehmen: § 38 BSIG verpflichtet die Geschäftsleitung selbst zur Umsetzung und Überwachung. Ein ISB, intern oder extern, berät, organisiert und berichtet; er nimmt der Geschäftsleitung die Pflicht nicht ab.

Beispielrechnung mit unseren Preisen

Zur Einordnung die Pakete von Infosectec (netto, Stand 18.10.2026, Details auf isb.infosectec.de):

• Einstieg mit 4 bis 5 Stunden im Monat: ab 790 EUR monatlich, also 9.480 EUR im Jahr. Passt für Unternehmen bis etwa 50 Mitarbeitende mit ersten Kunden- oder Versicherungsanforderungen.
• Mittelstand mit ISO-27001-Ambition, 8 bis 10 Stunden im Monat: ab 1.290 EUR monatlich, also 15.480 EUR im Jahr.
• NIS2-betroffene Einrichtungen und Zertifizierungsvorhaben, 16 Stunden im Monat: ab 2.190 EUR monatlich, also 26.280 EUR im Jahr.

Rechnen Sie zusätzlich mit Zertifizierungsgebühren, falls ein Zertifikat das Ziel ist, mit Zusatzstunden für Vorfälle und Kundenaudits sowie mit eigener Arbeitszeit Ihrer Mitarbeitenden, die Informationen liefern und Maßnahmen umsetzen. Diese Eigenleistung ist bei jedem Modell der größte Posten, der in keinem Angebot steht.

Fünf Fragen an jeden Anbieter

1. Wie viele Stunden im Monat sind enthalten, und was passiert mit nicht genutzten Stunden?
2. Wer ist meine feste Ansprechperson, und wer vertritt sie?
3. Welche Qualifikationen und welche Audit-Erfahrung weist die Person nach?
4. Gehören Dokumente, Vorlagen und Nachweise mir, auch nach Vertragsende?
5. Wie werden Vorfälle und Kundenaudits außerhalb des Kontingents abgerechnet?

Unser Angebot: Der externe ISB von Infosectec ist ab 790 EUR netto pro Monat verfügbar, monatlich kündbar, mit fester Ansprechperson und benannter Vertretung. Im kostenfreien Erstgespräch von 15 Minuten klären wir Betroffenheit, Reifegrad und das passende Kontingent: isb.infosectec.de oder Telefon Mo bis Fr 8 bis 18 Uhr 069 66366630. Dieser Beitrag ersetzt keine Rechtsberatung; Rechtsstand 18.10.2026.