Steuerung & Nachweis

Was hier gearbeitet wird

Der zweitgrößte Bereich dieses Portals, und der am stärksten wachsende – weil er an Regulierung hängt. Hier arbeiten die Stellen, die Sicherheit organisieren und belegen müssen: die Leitung der Informationssicherheit bis hinauf zum CISO, die Informationssicherheitsbeauftragten als benannte Rolle, die Fachstellen für ISMS, Audit, Risiko und Awareness und der breit ausgeschriebene IT-Security-Manager.

Die Werkzeuge sind hier Dokumente, keine Konsolen: Leitlinien und Richtlinien, Schutzbedarfsfeststellungen, Risikoregister, Maßnahmenplanungen, Auditberichte, Nachweise. Wer Technik mag und Papier verachtet, ist in Abwehr und Überwachung oder in Entwicklung und Architektur besser aufgehoben.

Der Weg hinein

Der übliche Weg führt aus der IT über Jahre in die Steuerung. Administratoren, Netzwerker und Entwickler wechseln hierher, weil sie wissen, was eine Maßnahme im Betrieb wirklich bedeutet – das ist die Kenntnis, die einem Konzept aus dem Lehrbuch fehlt. Der zweite Weg kommt von der anderen Seite: aus dem Qualitätsmanagement, der Revision, dem Risikomanagement oder dem Datenschutz. Beide Herkünfte sind in den Anzeigen dieses Portals vertreten.

Die Zertifikate zählen in diesem Bereich mehr als in jedem anderen, und sie kosten Erfahrung. CISM und CISA von ISACA verlangen fünf Jahre Berufspraxis, CISSP ebenfalls fünf Jahre in zwei von acht Domänen – ohne sie wird man vorerst nur Associate. Die ISB-Lehrgänge der Schulungsanbieter sind schneller zu haben und ersetzen keine Praxis; wer einen Nachweis mit deutschem Bezug sucht, findet ihn beim T.I.S.P. oder über die IT-Grundschutz-Lehrgänge zum Kompendium des BSI.

Wie die Arbeit aussieht

Der Kern ist ein Managementsystem. ISO/IEC 27001 verlangt einen geschlossenen Kreis aus Zielen, Risikobehandlung, Maßnahmen, Messung und Korrektur; der Anhang A nennt dazu 93 Maßnahmen in vier Themenfeldern, und ISO/IEC 27002 erklärt sie. Der IT-Grundschutz des BSI führt über die Standards 200-1 bis 200-4 zum selben Ziel, arbeitet aber mit Bausteinen und Schutzbedarfskategorien statt mit einer freien Risikoanalyse. Beides ist zertifizierbar, der Zyklus läuft über drei Jahre mit jährlichen Überwachungsaudits.

Der Kern des Berufs ist, dass Sie nichts selbst durchsetzen können. Sie stellen fest, Sie empfehlen, Sie dokumentieren, und dann entscheidet jemand anders. Wer damit nicht umgehen kann, verbrennt hier. Die Gegenleistung ist Rückendeckung: NIS2 verpflichtet die Leitungsorgane ausdrücklich, die Maßnahmen zu billigen, zu überwachen und sich schulen zu lassen – das ist der Hebel, den diese Rollen bisher nicht hatten.

Getaktet wird der Jahreslauf von außen. Betreiber kritischer Anlagen führen regelmäßig Nachweise gegenüber dem BSI, Finanzunternehmen erfüllen seit Januar 2025 DORA mit eigenen Melde- und Testpflichten, Automobilzulieferer halten ihr TISAX-Label. Rezertifizierungen, interne Audits und Managementbewertungen liegen jedes Jahr an derselben Stelle.

Was der Bestand zeigt

Ausgeschrieben wird über alle Ebenen, von der Referentenstelle bis zur Bereichsleitung, und häufig mit dem Regelwerk im Titel – ISO 27001, ISMS, BCM, DORA, NIS2, IT-Grundschutz. Es suchen Banken, Versicherungen und Finanzdienstleister, der öffentliche Dienst, Energie- und Wasserversorger, Kliniken und Industrieunternehmen. Viele Stellen sind die erste ihrer Art im Haus – das ist eine Chance und ein Risiko zugleich.

Vor der Bewerbung

Fragen Sie, ob es ein ISMS gibt und in welchem Zustand es ist, wem Sie berichten und ob Sie ein Budget haben. Klären Sie, ob Sie zugleich Datenschutzbeauftragter sein sollen – das ist eine andere Rolle mit einem anderen Schutzgut. Ein Blick auf die Vergütung im Informationssicherheitsmanagement und dann in die offenen Stellen im ISMS macht den Vergleich konkret.