IT-Security Manager

Was macht ein IT-Security-Manager?

Er steuert, ohne zu betreiben. Die Stelle verantwortet einen fachlichen Ausschnitt der Informationssicherheit – ein Programm, eine Reihe von Projekten, ein Regelwerk, eine Konzerngesellschaft, ein Themenfeld wie Zero Trust oder Drittparteienrisiko – und sorgt dafür, dass die Maßnahmen geplant, beauftragt, umgesetzt und belegt werden. Die Arbeitsmittel sind Vorgaben, Risikoregister, Projektpläne, Berichte und Termine.

Dies ist der am breitesten ausgeschriebene Titel dieses Portals, und deshalb ist er auch der unklarste. Die Bandbreite reicht von der Referentenstelle, die ein Thema fachlich betreut, über die Programmleitung mit Budget bis zur Rolle, die in einem kleineren Haus faktisch alles ist – Steuerung, Betrieb und Beauftragtenrolle in einer Person. Was gemeint ist, erkennt man an drei Angaben: Berichtslinie, Zahl der unterstellten Personen, eigenes Budget.

Wie wird man IT-Security-Manager?

Über Jahre in der IT oder auf der Nachweisseite. Die technische Herkunft ist die häufigere: Administration, Netzwerk, Engineering oder Architektur, dann der Wechsel in die Steuerung. Die zweite kommt aus Revision, Risikomanagement, Qualitätsmanagement oder Beratung. Verlangt wird meist ein Studium der Informatik, Wirtschaftsinformatik oder Betriebswirtschaft mit IT-Schwerpunkt; eine IT-Ausbildung mit langer Praxis wird in vielen Häusern anerkannt.

Die Zertifikate dieses Berufs sind Managementzertifikate, und sie verlangen Erfahrung: CISM von ISACA fünf Jahre im Informationssicherheitsmanagement, CISSP fünf Jahre in zwei von acht Domänen, CISA fünf Jahre in Prüfung und Kontrolle. Dazu kommt die Kenntnis der Regelwerke, die im Haus gelten – ISO/IEC 27001 und 27002, der IT-Grundschutz des BSI, in der Finanzwirtschaft DORA und die Anforderungen der Aufsicht, in der Fahrzeugzulieferkette TISAX. Ein Projektmanagementnachweis hilft, weil ein erheblicher Teil der Arbeit Projektarbeit ist.

Was der Beruf verlangt

Verantwortung ohne Weisungsbefugnis, und das ist der Kern. Sie sollen etwas erreichen, das andere umsetzen müssen – die IT, die Fachbereiche, Dienstleister. Ihre Mittel sind Argumente, Berichte und die Rückendeckung von oben. Wer diese Rückendeckung nicht hat, verwaltet nur Listen; ob es sie gibt, ist die wichtigste Frage im Bewerbungsgespräch.

Dazu kommt viel Abstimmung. Ein großer Teil des Tages besteht aus Terminen mit Menschen, die andere Ziele haben, und aus dem Schreiben von Vorlagen, die eine Entscheidung herbeiführen sollen. Wer technische Arbeit sucht, wird hier nicht glücklich – die Hände kommen aus der Praxis heraus, und das ist der Preis dieser Rolle. Die Arbeitszeiten sind regulär, im Vorfall und vor Audits nicht.

Aussichten

Die Nachfrage wächst stark, und zwar getrieben von Pflichten. NIS2 erweitert den Kreis der verpflichteten Unternehmen weit über die bisherigen KRITIS-Sektoren hinaus und macht die Leitungsorgane ausdrücklich verantwortlich; DORA bindet die Finanzwirtschaft seit Januar 2025; Kunden und Versicherer verlangen Nachweise. Für diese Aufgaben braucht es Personal, das steuern kann, und davon gibt es weniger als von Technikern. Weiterwege führen in die Leitung der Informationssicherheit, in die IT-Leitung und in die Beratung.