Ein externer Informationssicherheitsbeauftragter ist nur für Betreiber von kritischen Infrastrukturen (KRITIS) verpflichtend. Anders als beim Datenschutzbeauftragten gibt es für Unternehmen also keine grundsätzliche Pflicht zur Bestellung eines ISB. Für andere Institutionen und Unternehmen wird die Ernennung eines ISB jedoch empfohlen. Meist fehlen dem Unternehmen selbst das Know-How und die Personalkapazität, um sich um derartige IT-Aufgaben zu kümmern. Insbesondere in großen Unternehmen stellt die Menge an Informationen und Geschäftsprozessen oftmals eine große Herausforderung dar. Deshalb ist es für jedes Unternehmen ratsam, einen externen ISB zu ernennen.