Was ist ein IT-Sicherheitsbeauftragter?
Ein IT-Sicherheitsbeauftragter koordiniert den Schutz von IT-Systemen, Informationen und digital unterstützten Geschäftsprozessen. Die Rolle berät die Unternehmens- oder Behördenleitung, organisiert den Sicherheitsprozess, begleitet Risiken und Vorfälle und prüft, ob vereinbarte Maßnahmen umgesetzt und wirksam sind.
Die Bezeichnungen sind nicht einheitlich. IT-Sicherheitsbeauftragter, ITSiBe, IT-SiBe, Information Security Officer und Informationssicherheitsbeauftragter werden teils gleich, teils für unterschiedliche Ebenen verwendet. Das BSI verwendet im IT-Grundschutz den Begriff Informationssicherheitsbeauftragter (ISB) und ersetzt damit in diesem Zusammenhang die ältere Bezeichnung IT-Sicherheitsbeauftragter.
Kurz gesagt: Vor einer Benennung muss der Betrieb nicht nur einen Titel wählen. Er muss Schutzbereich, Auftrag, Berichtslinie, Befugnisse, Ressourcen, Vertretung und die Abgrenzung zu IT-Betrieb, Datenschutz und Geschäftsleitung festlegen.
IT-Sicherheitsbeauftragter, ISB, CISO und IT-Admin im Vergleich
Die folgende Abgrenzung ist ein Organisationsmodell, keine gesetzlich festgelegte Titelliste. Unternehmen verwenden die Begriffe unterschiedlich. Maßgeblich ist deshalb die schriftliche Rollenbeschreibung.
| Rolle | Typischer Schwerpunkt | Typische Entscheidungen oder Beiträge | Kritische Abgrenzung |
|---|---|---|---|
| IT-Sicherheitsbeauftragter | Sicherheit von IT-Systemen und technischen Prozessen | Risiken aufnehmen, Maßnahmen koordinieren, Richtlinien und Vorfälle begleiten | Darf nicht nur ein neuer Name für Systemadministration sein |
| Informationssicherheitsbeauftragter (ISB) | Informationssicherheit in IT, Prozessen, Personal und Organisation | ISMS steuern, Sicherheitskonzept koordinieren, Status an Leitung berichten | Bewertet Sicherheit organisationsweit, nicht nur technisch |
| CISO | Strategische Führung der Informationssicherheit | Ziele, Organisation, Budget, Prioritäten und Managementkommunikation steuern | Titel setzt nicht automatisch gesetzliche Befugnisse oder Haftung fest |
| IT-Administrator | Technischer Betrieb | Systeme konfigurieren, Konten verwalten, Patches und Backups umsetzen | Eigene Umsetzung sollte nicht ausschließlich selbst kontrolliert werden |
| Datenschutzbeauftragter (DSB) | Schutz personenbezogener Daten und unabhängige Überwachung | Beraten, überwachen, mit Aufsicht und Betroffenen kommunizieren | Aufgaben dürfen keinen Interessenkonflikt erzeugen |
| Sicherheitsbeauftragter im Arbeitsschutz | Unfall- und Gesundheitsgefahren im Arbeitsbereich | Kollegial beobachten, ansprechen und Hinweise weitergeben | Gehört zum Arbeitsschutz, nicht zur Informationssicherheit |
Die Bundesagentur für Arbeit beschreibt Informationssicherheitsbeauftragte als Personen, die ein ISMS einführen und pflegen, Schwachstellen und Bedrohungen erkennen, Schutzverfahren entwickeln und Leitung, IT sowie Nutzende sensibilisieren. Diese Beschreibung passt zur koordinierenden Rolle, ersetzt aber kein betriebliches Mandat.
Welche Aufgaben hat ein IT-Sicherheitsbeauftragter?
Der IT-Sicherheitsbeauftragte steuert und koordiniert den Sicherheitsprozess. Er muss nicht jede Firewall selbst konfigurieren oder jeden Vorfall allein bearbeiten. Der BSI-Standard 200-2 nennt für den ISB insbesondere Beratung der Leitung, Steuerung des Informationssicherheitsprozesses, Sicherheitskonzepte, Maßnahmenkontrolle, Berichte, Projektkoordination, Vorfalluntersuchung und Sensibilisierung.
Kernaufgaben als überprüfbare Liste
- Mandat und Sicherheitsziele klären: Schutzumfang, Geschäftsprozesse, Standorte, Systeme, Informationen und regulatorische Anforderungen abgrenzen.
- Sicherheitsleitlinie vorbereiten: Ziele, Grundsätze, Zuständigkeiten und Eskalationswege mit der Leitung abstimmen.
- Risiken koordinieren: Schutzbedarf, Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeit und Auswirkungen strukturiert bewerten lassen.
- Sicherheitskonzept pflegen: Richtlinien und Maßnahmen für Identitäten, Zugriffe, Lieferanten, Backups, Protokollierung, Notfälle und weitere Themen zusammenführen.
- Umsetzung und Wirksamkeit prüfen: Verantwortliche, Fristen, Nachweise, Tests, Abweichungen und Restrisiken nachhalten.
- Vorfälle koordinieren: Meldewege, Erstbewertung, Eindämmung, Wiederherstellung, Kommunikation und Nachbereitung vorbereiten.
- Audits und Nachweise begleiten: Interne Prüfungen, Kundennachweise, Zertifizierung und behördliche Anforderungen mit belastbaren Belegen unterstützen.
- Awareness steuern: Zielgruppen, Inhalte, Übungen, Phishing-Simulationen und Lernerfolg planen, ohne Schulung mit bloßer Teilnahme gleichzusetzen.
- Status berichten: Risiken, überfällige Maßnahmen, Vorfälle, Ausnahmen, Kennzahlen und Entscheidungen adressatengerecht an die Leitung melden.
- Verbesserungen anstoßen: Erkenntnisse aus Audits, Vorfällen, Tests und Veränderungen in den nächsten Maßnahmenzyklus überführen.
Was gehört nicht automatisch zu den Aufgaben?
Eine Rollenbezeichnung überträgt nicht beliebig Verantwortung. Diese Punkte müssen ausdrücklich geklärt werden:
- Die Geschäftsleitung behält ihre gesetzlichen Leitungs- und Überwachungspflichten.
- Risikoeigentümer entscheiden über geschäftliche Restrisiken und Prioritäten im eigenen Verantwortungsbereich.
- IT-Betrieb und Fachbereiche setzen technische und organisatorische Maßnahmen um.
- Der IT-Sicherheitsbeauftragte erhält nicht automatisch Weisungsrecht, Budgethoheit oder das Recht, Systeme abzuschalten.
- Datenschutzvorfälle, Arbeitsschutzvorfälle und IT-Sicherheitsvorfälle können zusammenhängen, bleiben aber unterschiedlichen Rechts- und Meldewegen zugeordnet.
Ein guter Auftrag trennt Beratung und Kontrolle von Umsetzung und Risikoannahme. Wer eine Maßnahme technisch selbst umsetzt, sollte deren Wirksamkeit nicht ohne zweite Prüfinstanz abschließend bestätigen.
Ist ein IT-Sicherheitsbeauftragter Pflicht?
Für Unternehmen in Deutschland gibt es keine branchenübergreifende Regel, nach der jede Organisation eine Stelle mit genau dem Titel IT-Sicherheitsbeauftragter bestellen muss. Es gibt jedoch konkrete sektorale Pflichten und allgemeine Anforderungen an Sicherheitsorganisation, Risikomanagement und Leitungsverantwortung.
| Ausgangslage | Was die Regel tatsächlich verlangt | Folgerung für die Rolle |
|---|---|---|
| Öffentliches Telekommunikationsnetz oder öffentlich zugänglicher Telekommunikationsdienst | § 166 TKG verlangt einen Sicherheitsbeauftragten, einen EU-Ansprechpartner und ein Sicherheitskonzept | Konkrete gesetzliche Rollen- und Konzeptpflicht prüfen |
| Besonders wichtige oder wichtige Einrichtung nach BSIG | § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen | Zuständigkeiten müssen tragfähig organisiert sein; der Stellentitel allein genügt nicht |
| Geschäftsleitung einer erfassten Einrichtung | § 38 BSIG verpflichtet zur Umsetzung, Überwachung und regelmäßigen Schulung | Eine Benennung unterstützt die Leitung, ersetzt ihre Verantwortung aber nicht |
| ISO-27001-, TISAX-, Kunden- oder Versicherungsanforderung | Vertrag oder Standard kann klare Rollen, Berichte und Nachweise verlangen | Anforderung und Geltungsbereich konkret in das Mandat übernehmen |
| Unternehmen ohne spezielle Rollenpflicht | Sicherheitsorganisation bleibt Teil ordnungsgemäßer Unternehmensführung und Risikosteuerung | Nutzen, Umfang und Ressourcen risikobasiert entscheiden |
Praxisregel: Prüfen Sie zuerst Branche, Unternehmensgröße, angebotene Dienste, BSIG-Einstufung, TKG-Bezug, Kundenverträge und verwendete Standards. Leiten Sie daraus Zuständigkeiten ab. Die Aussage „Wir haben einen IT-Sicherheitsbeauftragten“ ist kein Ersatz für umgesetzte und wirksame Maßnahmen.
Diese Seite bietet eine organisatorische Einordnung und keine Rechtsberatung. Sektorale Vorgaben, Aufsichtspraxis und Verträge müssen im Einzelfall geprüft werden.
Wann ist die Rolle auch ohne ausdrückliche Bestellpflicht sinnvoll?
Eine benannte Koordinationsrolle ist besonders hilfreich, wenn mehrere der folgenden Punkte zutreffen:
- geschäftskritische Prozesse hängen stark von IT- und Cloud-Diensten ab,
- sensible Kunden-, Personal-, Gesundheits-, Produktions- oder Forschungsdaten werden verarbeitet,
- Zuständigkeiten zwischen IT, Datenschutz, Compliance, Einkauf und Fachbereichen sind unklar,
- Sicherheitsmaßnahmen werden einzeln umgesetzt, aber nicht in einem ISMS zusammengeführt,
- Kunden verlangen Fragebögen, Nachweise, Audits oder ISO-27001-Bezug,
- Lieferanten und Managed Services prägen die Sicherheitslage,
- Vorfälle werden technisch gelöst, aber Ursachen und Maßnahmen nicht systematisch nachgehalten,
- Risikoberichte erreichen die Leitung zu spät oder ohne Entscheidungsvorlage,
- NIS-2-, BSIG-, DORA-, TISAX- oder andere Branchenanforderungen müssen geprüft werden.
Fehlt nur operative IT-Kapazität, ist nicht automatisch ein Beauftragter die richtige Lösung. Dann kann zusätzlich technischer Security-Betrieb, Incident Response, Penetration Testing oder ein Managed Security Service erforderlich sein.
Stellung, Befugnisse und Berichtslinie festlegen
Die Rolle braucht Zugang zur Leitung und gleichzeitig Nähe zu IT, Fachbereichen, Datenschutz, Compliance, Einkauf und Notfallmanagement. Der Auftrag sollte mindestens diese Fragen beantworten:
| Frage | Mindestregelung |
|---|---|
| Wem berichtet die Rolle? | Direkter, regelmäßiger Bericht an die zuständige Leitungsebene |
| Welche Informationen darf sie anfordern? | Zugriff auf relevante Risiken, Systeme, Verträge, Projekte, Vorfälle und Nachweise |
| Wer setzt Maßnahmen um? | Benannte Verantwortliche in IT, Fachbereichen, Einkauf, Personal und Gebäudemanagement |
| Wer akzeptiert Restrisiken? | Zuständiger Risikoeigentümer oder Leitung, nicht automatisch der Beauftragte |
| Wann wird eskaliert? | Schwellen für kritische Vorfälle, überfällige Maßnahmen und nicht akzeptable Risiken |
| Welche Prüfungsrechte bestehen? | Audit-, Test- und Nachweisrechte mit Schutz vertraulicher Informationen |
| Wie wird vertreten? | Benannte Vertretung, Übergabe und Erreichbarkeit für kritische Ereignisse |
Ein einfaches RACI-Modell
| Vorgang | Leitung | IT-Sicherheitsbeauftragter oder ISB | IT und Fachbereich | Datenschutz |
|---|---|---|---|---|
| Sicherheitsleitlinie freigeben | A | R | C | C |
| Risiko bewerten | A | R/C | R/C | C |
| Technische Maßnahme umsetzen | I | C | R/A | C |
| Restrisiko akzeptieren | A | C | C | I |
| Sicherheitsvorfall koordinieren | A/I | R | R | C |
| Datenschutzverletzung bewerten | I | C | C | R |
R steht für ausführend, A für letztverantwortlich, C für einzubeziehen und I für zu informieren. Das Modell muss an Organisation und Rechtslage angepasst werden.
Voraussetzungen und Ausbildung
Für die allgemeine Rollenbezeichnung gibt es keinen einheitlichen staatlich vorgeschriebenen Abschluss. Fachkunde entsteht aus IT- oder Informationssicherheitserfahrung, Kenntnis der Organisation, Weiterbildung und laufender Praxis. Die Auswahl sollte deshalb nicht allein auf ein Zertifikat gestützt werden.
Fachliche Mindestfelder
- Informationssicherheitsmanagement und ISO/IEC 27001
- BSI IT-Grundschutz und Sicherheitskonzeption
- Risiko-, Notfall- und Kontinuitätsmanagement
- Incident Response, Schwachstellen- und Lieferantenmanagement
- relevante Anforderungen aus BSIG, TKG, DSGVO, Verträgen und Branchenregeln
- Auditmethodik, Wirksamkeitsprüfung und nachvollziehbare Dokumentation
- Kommunikation mit Leitung, Technik, Fachbereichen und externen Stellen
Zertifikatslehrgänge können einen strukturierten Einstieg und einen Kompetenznachweis bieten. Die aktuellen Top-Ergebnisse von TÜV und Bitkom behandeln deshalb ISMS, ISO 27001, BSI IT-Grundschutz, Risiko, Vorfälle, Kontinuität und Managementkommunikation. Ein Lehrgang ersetzt aber weder Berufspraxis noch ein organisationsspezifisches Mandat.
So prüfen Sie eine Weiterbildung
- Sind Lernziele, Zielgruppe und erforderliche Vorkenntnisse veröffentlicht?
- Bezieht sich der Inhalt auf die gewünschte Rolle oder nur auf technische IT-Sicherheit?
- Werden aktuelle Normausgaben und die geltende deutsche Rechtslage behandelt?
- Gibt es Übungen zu Risiko, Bericht, Vorfall, Audit und Interessenkonflikt?
- Wie werden Lernerfolg, Prüfung, Zertifikatsgültigkeit und Rezertifizierung geregelt?
- Passt der Kurs zum Sektor, Schutzbedarf und geplanten Verantwortungsumfang?
IT-Sicherheitsbeauftragter Gehalt richtig einordnen
Für IT-Sicherheitsbeauftragte gibt es kein einheitliches Gehalt. Der Titel kann eine Fachrolle, eine ISMS-Stabsstelle, eine technische Security-Funktion oder eine CISO-nahe Leitungsposition bezeichnen. Zahlen aus Stellenportalen sind deshalb erst vergleichbar, wenn Aufgaben und Verantwortung ähnlich sind.
Das Gehalt wird besonders beeinflusst durch:
- Berufserfahrung und technische Tiefe,
- Größe, Branche und Regulierungsgrad des Unternehmens,
- Verantwortung für ISMS, Team, Budget, Audits oder Bereitschaftsdienst,
- Umfang der Risiko- und Managementverantwortung,
- Zertifizierungen und nachgewiesene Projekterfahrung,
- Standort, Tarifbindung und interne oder externe Ausgestaltung.
Vergleichen Sie Stellen anhand des Rollenprofils, nicht nur anhand des Titels. Die Gehaltsfrage zum Sicherheitsbeauftragten im Arbeitsschutz gehört dagegen auf die eigene Seite Sicherheitsbeauftragter Gehalt.
Interner oder externer IT-Sicherheitsbeauftragter?
Beide Modelle sind möglich. Internes Personal kennt Prozesse und Kultur besser. Externe Fachleute bringen Vergleichserfahrung und können Kapazität bereitstellen. Die Entscheidung hängt von Schutzbedarf, Interessenkonflikten, Verfügbarkeit, Reaktionszeiten und gewünschter Unabhängigkeit ab.
| Kriterium | Intern | Extern |
|---|---|---|
| Organisationswissen | meist schneller vorhanden | muss strukturiert aufgebaut werden |
| Erreichbarkeit | direkt im Alltag | vertraglich festzulegen |
| Spezialwissen | hängt von Person und Weiterbildung ab | kann über Team und Mandate breiter sein |
| Unabhängigkeit | mögliche Linien- und Umsetzungsinteressen prüfen | Anbieterinteressen und weitere Leistungen prüfen |
| Vertretung | intern organisieren | im Vertrag verbindlich regeln |
| Übergabe | geringeres Anbieterwechselrisiko | Exit, Daten, Nachweise und Wissenstransfer festlegen |
Die BSI-Umsetzungshinweise zu ISMS.1 empfehlen für externe ISB einen präzisen Vertrag. Dazu gehören Qualifikation, Vertretung, Ressourcen, Aufgaben, Meldung und Eskalation, Kommunikationswege, Zugriffsrechte, Bericht an die Leitung, Mitwirkung des Auftraggebers, Vertraulichkeit, Interessenkonflikte, Vertragsverstöße und geordnete Beendigung.
Der Suchbegriff externer Sicherheitsbeauftragter ist im Arbeitsschutz anders zu bewerten. Die klassische Arbeitsschutz-SiBe-Rolle setzt betriebliche Nähe voraus und darf nicht mit einem externen ISB verwechselt werden.
Kann dieselbe Person Datenschutz und IT-Sicherheit übernehmen?
Eine Doppelfunktion ist nicht automatisch ausgeschlossen, aber sie darf die unabhängige Datenschutzkontrolle nicht beeinträchtigen. Artikel 38 Absatz 6 DSGVO erlaubt weitere Aufgaben nur ohne Interessenkonflikt.
Ein Konflikt liegt besonders nahe, wenn die Person in ihrer IT-Rolle Zwecke und Mittel der Verarbeitung festlegt, Systeme administriert oder Maßnahmen selbst verantwortet und dieselben Entscheidungen anschließend als Datenschutzbeauftragter unabhängig überwachen soll. Prüfen und dokumentieren Sie deshalb:
- konkrete Aufgaben beider Rollen,
- Entscheidungs- und Weisungsbefugnisse,
- Stellung in der Organisation,
- Zugriff auf personenbezogene Daten,
- mögliche Selbstkontrolle,
- Ressourcen und Vertretung,
- Ergebnis der Interessenkonfliktprüfung.
Zusammenarbeit ist trotzdem notwendig. Informationssicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit aller relevanten Informationen. Datenschutz richtet sich auf die rechtmäßige Verarbeitung personenbezogener Daten und die Rechte betroffener Personen.
Ein 30-Tage-Startplan für die Rolle
Der erste Monat sollte einen belastbaren Ausgangspunkt schaffen, nicht ein fertiges ISMS versprechen.
| Zeitraum | Arbeitspaket | Nachweis |
|---|---|---|
| Tage 1 bis 5 | Mandat, Geltungsbereich, Leitung, Ansprechpartner, Bericht und Eskalation klären | unterschriebene Rollenbeschreibung und Terminplan |
| Tage 6 bis 10 | Geschäftsprozesse, Systeme, Informationen, Lieferanten und bestehende Dokumente erfassen | Scope- und Bestandsliste |
| Tage 11 bis 15 | wichtigste Risiken, laufende Vorhaben und offene Feststellungen sammeln | priorisiertes Risikoregister |
| Tage 16 bis 20 | kritische Maßnahmen, Eigentümer, Fristen und Restrisiken festlegen | Maßnahmenplan mit Entscheidungen |
| Tage 21 bis 25 | Vorfall-, Melde-, Notfall- und Eskalationswege testen | Protokoll einer Tabletop-Übung |
| Tage 26 bis 30 | Status, Lücken, Ressourcen und 90-Tage-Roadmap an die Leitung berichten | Managementbericht und Beschlussliste |
Nach 30 Tagen sollte die Leitung erkennen können, was geschützt wird, welche größten Risiken bestehen, wer handelt, welche Entscheidungen fehlen und wie Fortschritt gemessen wird.
Welche Dokumente sollte die Rolle liefern?
Ein IT-Sicherheitsbeauftragter sollte nicht an der Zahl erstellter Dokumente gemessen werden. Sinnvoll ist ein kleiner, gepflegter Nachweissatz:
- Rollenbeschreibung mit Geltungsbereich, Befugnissen und Vertretung,
- Sicherheitsleitlinie und dokumentierte Freigabe,
- Scope, Informationswerte und zentrale Abhängigkeiten,
- Risiko- und Maßnahmenregister mit Eigentümern und Fristen,
- Richtlinienübersicht mit Version, Freigabe und Reviewtermin,
- Vorfall-, Melde- und Eskalationsprozess,
- Lieferanten- und Ausnahmenregister,
- Awareness-Plan mit Zielgruppen und Wirksamkeitskontrolle,
- Audit- und Prüfplan,
- regelmäßiger Managementbericht mit Entscheidungen.
100-Punkte-Check für ein belastbares Rollenmodell
Diese redaktionelle Prüflogik macht Rollenangebote und interne Konzepte vergleichbar. Sie ist kein Standard und keine Zertifizierung.
| Bereich | Punkte | Volle Punktzahl, wenn … |
|---|---|---|
| Mandat und Scope | 20 | Schutzumfang, Aufgaben, Grenzen und Vertretung schriftlich feststehen |
| Stellung und Governance | 20 | Leitungskontakt, Risikoeigentümer, RACI und Interessenkonflikte geklärt sind |
| Fachkunde und Ressourcen | 15 | Kompetenz, Zeit, Budget, Werkzeuge und Fortbildung zum Bedarf passen |
| Risiko und Sicherheitsprozess | 25 | Risiken, Maßnahmen, Vorfälle, Lieferanten und Wirksamkeit aktiv gesteuert werden |
| Berichte und Nachweise | 20 | Kennzahlen, Entscheidungen, Audits, Versionen und Reviews nachvollziehbar sind |
Auswertung: 80 bis 100 Punkte zeigen ein tragfähiges Modell. 60 bis 79 Punkte bedeuten klare Lücken mit arbeitsfähiger Grundlage. Unter 60 Punkten besteht das Risiko einer Titelrolle ohne ausreichenden Auftrag oder Wirkung. Bewerten Sie jeden Bereich nur mit vorhandenen Belegen.
Was zeigen die führenden Suchergebnisse?
Die redaktionelle Wettbewerbsprüfung vom 6. August 2026 betrachtete die organischen SISTRIX-Spitzenreiter und weitere fachlich passende Seiten. Sie zeigt vier wiederkehrende Erwartungen:
| Quelle | Starker Inhalt | Offene Frage für Leser |
|---|---|---|
| TÜV Rheinland Akademie | Weiterbildung, ISO 27001, BSI IT-Grundschutz, Risiko und Kontinuität | Wie sieht ein betriebliches Mandat nach dem Kurs aus? |
| Bitkom Akademie | ISMS, PDCA, Managementberichte, Risiko, Vorfälle und Zertifizierung | Welche Aufgaben bleiben bei Leitung und Risikoeigentümern? |
| Get in IT | Berufsbild, Titel, Aufgaben, Karriere und Organisationsrollen | Welche aktuellen Rechtsgrundlagen gelten 2026? |
| Allgeier CyRis | Abgrenzung von technischer IT-Sicherheit und ISMS-orientiertem ISB | Wie lässt sich die Rolle neutral bewerten? |
| FORUM Verlag | Aufgaben, Stellung, Befugnisse und externe Besetzung | Welche älteren Rechtsangaben müssen mit aktuellem Recht abgeglichen werden? |
Diese Seite verbindet deshalb Rollenklärung, aktuelle amtliche Quellen, ein prüfbares Mandat, Auswahlkriterien und einen Startplan. Anbieterangaben wurden als Wettbewerbsmerkmale, nicht als Rechtsquelle verwendet.
Welche Seite passt zu welcher Suche?
Die Trennung verhindert, dass IT-Sicherheit und Arbeitsschutz miteinander konkurrieren oder in der Praxis vermischt werden.
| Suchabsicht | Zuständige Seite |
|---|---|
| IT-Sicherheitsbeauftragter, ITSiBe, IT Security Officer, ISB, CISO, IT-Sicherheitsbeauftragter Pflicht oder Ausbildung | diese Seite |
| Sicherheitsbeauftragter im Arbeitsschutz allgemein | Sicherheitsbeauftragter |
| Aufgaben des Arbeitsschutz-SiBe | Sicherheitsbeauftragter Aufgaben |
| Auswahl einer geeigneten Arbeitsschutz-SiBe-Person | Sicherheitsbeauftragter Voraussetzungen |
| Qualifizierung im Arbeitsschutz | Sicherheitsbeauftragter Ausbildung |
| Unterschied zu Fachkraft oder informellem Arbeitsschutzbeauftragten | Arbeitsschutzbeauftragter und Sicherheitsbeauftragter |
| DGUV- und SGB-VII-Einordnung | DGUV Sicherheitsbeauftragte |
Der Sicherheitsbeauftragte nach § 22 SGB VII unterstützt bei Unfall- und Gesundheitsgefahren. Er ist weder IT-Sicherheitsbeauftragter noch Datenschutzbeauftragter und ersetzt keine Fachkraft für Arbeitssicherheit.
Einordnung von ArbeitsschutzPilot
ArbeitsschutzPilot ist auf Arbeitsschutzdokumentation ausgerichtet. Dazu gehören Gefährdungsbeurteilungen, Unterweisungen, Maßnahmen, Fristen und Arbeitsschutzrollen. Die Software ist kein ISMS, kein Security-Operations-Werkzeug und kein Ersatz für Fachberatung in Informationssicherheit, Datenschutz oder IT-Compliance.
Wenn in einem Unternehmen dieselbe Person mehrere Rollen wahrnimmt, sollten die Nachweise trotzdem getrennt bleiben:
- separates Rollenmandat,
- separate Rechts- und Standardgrundlage,
- separate Aufgaben und Befugnisse,
- getrennte Risiko- und Maßnahmenprozesse,
- dokumentierte Schnittstellen und Interessenkonflikte,
- eigene Schulungs- und Reviewnachweise.
Quellenstand und redaktionelle Prüfung
Die Seite wurde am 6. August 2026 anhand des aktuellen BSI-Gesetzes, des Telekommunikationsgesetzes, der DSGVO, des BSI-Standards 200-2, der BSI-Umsetzungshinweise zu ISMS.1 sowie aktueller Berufs- und Wettbewerberinformationen geprüft.
Bei Änderungen an Branche, Diensten, Unternehmensgröße, BSIG-Einstufung, Verträgen oder Standards sollte auch das Rollenmandat überprüft werden. Rechtliche Pflichten sind anhand des konkreten Einzelfalls und der jeweils geltenden Fassung zu bewerten.