Januar 4, 2026

Klausel 5.3 Rollen, Verantwortlichkeiten und Befugnisse in der Organisation

(nach ISO/IEC 27001:2022)

Ein wirksames Informationssicherheitsmanagementsystem (ISMS) erfordert klar definierte Rollen, Verantwortlichkeiten und Befugnisse. Unklare Zuständigkeiten oder fehlende Entscheidungsbefugnisse können dazu führen, dass Sicherheitsmaßnahmen nicht umgesetzt, Risiken nicht adressiert oder Vorfälle nicht angemessen behandelt werden. Diese Klausel stellt sicher, dass Aufgaben und Verantwortlichkeiten im Bereich der Informationssicherheit eindeutig festgelegt und kommuniziert sind.

Zweck der Klausel

Klausel 5.3 soll gewährleisten, dass alle für das ISMS relevanten Rollen klar definiert sind und über die erforderlichen Befugnisse verfügen. Ziel ist es, Verantwortlichkeiten transparent zu machen, Entscheidungswege festzulegen und die wirksame Umsetzung sowie Weiterentwicklung des ISMS sicherzustellen.

Anforderungen und Maßnahmen

1. Festlegung von Rollen im ISMS

Die Organisation muss alle relevanten Rollen im Rahmen des ISMS bestimmen, insbesondere:

  • oberste Leitung
  • Informationssicherheitsbeauftragte (intern oder extern)
  • System- und Prozesseigentümer
  • Risikoverantwortliche
  • Mitarbeitende mit sicherheitsrelevanten Aufgaben

Die Rollen müssen vollständig und nachvollziehbar erfasst werden.

2. Definition von Verantwortlichkeiten

Für jede Rolle müssen Verantwortlichkeiten klar festgelegt werden, zum Beispiel:

  • Umsetzung und Überwachung von Sicherheitsmaßnahmen
  • Identifikation und Behandlung von Risiken
  • Einhaltung von Richtlinien und Verfahren
  • Meldung und Behandlung von Sicherheitsvorfällen

Klare Verantwortlichkeiten vermeiden Lücken und Überschneidungen.

3. Festlegung von Befugnissen

Zu den Rollen müssen passende Befugnisse definiert werden:

  • Entscheidungs- und Weisungsbefugnisse
  • Zugriffs- und Freigaberechte
  • Eskalationsrechte
  • Budget- oder Ressourcenbefugnisse

Verantwortung und Befugnis müssen zusammenpassen.

4. Benennung verantwortlicher Personen

Die Organisation muss verantwortliche Personen benennen:

  • formale Zuordnung der Rollen
  • eindeutige Stellvertretungsregelungen
  • Vermeidung von Interessenkonflikten
  • Berücksichtigung von Aufgaben­trennung

Dies erhöht Verlässlichkeit und Kontinuität.

5. Kommunikation der Rollen und Zuständigkeiten

Rollen, Verantwortlichkeiten und Befugnisse müssen kommuniziert werden:

  • interne Bekanntmachung
  • Integration in Stellenbeschreibungen
  • Berücksichtigung bei Schulungen
  • transparente Eskalationswege

Nur bekannte Zuständigkeiten sind wirksam.

6. Sicherstellung von Kompetenz und Qualifikation

Personen in sicherheitsrelevanten Rollen müssen qualifiziert sein:

  • fachliche und methodische Kompetenzen
  • regelmäßige Schulungen und Weiterbildungen
  • Kenntnis relevanter Richtlinien und Prozesse
  • Unterstützung durch externe Expertise bei Bedarf

Kompetenz ist Voraussetzung für Wirksamkeit.

7. Unterstützung durch die oberste Leitung

Die oberste Leitung muss die Rollen aktiv unterstützen:

  • Durchsetzung von Verantwortlichkeiten
  • Rückendeckung bei sicherheitsrelevanten Entscheidungen
  • Bereitstellung notwendiger Ressourcen
  • Förderung der Zusammenarbeit

Dies stärkt die Rolle der Informationssicherheit.

8. Dokumentation und Überprüfung

Rollen, Verantwortlichkeiten und Befugnisse müssen dokumentiert und überprüft werden:

  • Rollenbeschreibungen und Zuständigkeitsmatrizen
  • Nachweise über Benennungen
  • regelmäßige Überprüfung bei Änderungen
  • Anpassung an organisatorische Entwicklungen

Die Dokumentation ist Grundlage für Audits und Steuerung.

Zusammenfassung

Klausel 5.3 fordert, dass Organisationen Rollen, Verantwortlichkeiten und Befugnisse im Bereich der Informationssicherheit klar definieren, zuweisen und kommunizieren. Durch eindeutige Zuständigkeiten, passende Befugnisse, qualifizierte Rolleninhaber und Unterstützung durch die oberste Leitung wird sichergestellt, dass das ISMS wirksam umgesetzt und kontinuierlich weiterentwickelt werden kann. Diese Klausel ist ein zentraler organisatorischer Erfolgsfaktor für ein ISMS nach ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 5.3 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 5.3 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wer ist für das ISMS benannt, und womit ist das belegt?“
Eine Rolle im Organigramm genügt nicht. Gefragt ist die dokumentierte Zuweisung mit Datum und Freigabe der Leitung.
„Welche Befugnisse hat diese Rolle tatsächlich?“
Verantwortung ohne Befugnis fällt im Audit auf. Wer Maßnahmen verantwortet, muss sie auch anstoßen und durchsetzen können.
„Wie ist die Berichtslinie zur Leitung geregelt?“
Klausel 5.3 b) verlangt die Berichterstattung über die ISMS-Leistung an die oberste Leitung. Der Weg muss benannt und belegt sein.
„Wer vertritt die Rolle bei Ausfall?“
Ein ISMS, das an einer Person hängt, ist ein Risiko. Der Auditor fragt nach der Vertretung – und nach deren Kompetenz.
Das Dokument dazu

5.3-1 Rollen, Verantwortlichkeiten und Befugnisse

Rollen im ISMS mit Aufgaben, Befugnissen und Vertretung · Berichtslinie zur Leitung · Abgrenzung zu Datenschutz und IT-Betrieb. In der ISMS-Plattform entsteht es aus Ihren Angaben – gemeinsam mit A 5.2-1 Rollen und Verantwortlichkeiten und A 5.3-1 Trennung von Zuständigkeiten.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick