CISO| ISMS Implementation| NIS2 Specialist

ProjektVorbereitung des ISMS auf ISO 27001:2022 Rezertifizierung und Integration von NIS-2-Anforderungen
RolleInformationssicherheitsberater
Dauer06/2023 – 12/2023
BrancheWasserwerk
BeschreibungIm Rahmen dieses Projekts unterstützte ich ein kommunales Wasserwerk bei der Vorbereitung auf die Rezertifizierung seines Informationssicherheits-Managementsystems (ISMS) nach dem neuen ISO 27001:2022-Standard. Zusätzlich wurde das bestehende ISMS an die regulatorischen Anforderungen der NIS-2-Richtlinie angepasst, um die Informationssicherheit in kritischen Infrastrukturen nachhaltig zu stärken. Die Maßnahmen umfassten sowohl strategische als auch operative Aufgaben, wie die Überarbeitung von Richtlinien, die Durchführung einer Gap-Analyse und die Integration neuer Anforderungen in bestehende Sicherheitsprozesse. Ziel war es, die ISO 27001:2022-Zertifizierung zu erreichen und gleichzeitig die Weichen für eine vollständige NIS-2-Compliance zu stellen.
Aufgaben & Erfolge
 

• Durchführung einer umfassenden Gap-Analyse zur Identifikation von Abweichungen zwischen dem bestehenden ISMS und den Anforderungen der ISO 27001:2022 sowie der NIS-2-Richtlinie.
• Überarbeitung und Erweiterung der Sicherheitsrichtlinien und -prozesse, um die neuen Anforderungen der ISO 27001:2022 zu erfüllen, einschließlich der neuen Annex A Kontrollen.
• Entwicklung und Implementierung eines Maßnahmenplans zur Integration der NIS-2-Anforderungen in das bestehende ISMS, insbesondere in den Bereichen Governance, Risikomanagement und Incident Response.
• Schulung des Informationssicherheitsteams und relevanter Stakeholder zu den Änderungen und neuen Anforderungen der ISO 27001:2022 und der NIS-2-Richtlinie.
• Vorbereitung der erforderlichen Dokumentationen und Nachweise für das Rezertifizierungsaudit, einschließlich der Aktualisierung des Statement of Applicability (SoA) und der Risikobewertungen.
• Erfolgreiche Begleitung des Unternehmens durch das Rezertifizierungsaudit, wobei alle Anforderungen der ISO 27001:2022 erfüllt und die Grundlagen für die NIS-2-Compliance gelegt wurden.

ProjektWeiterentwicklung des ISMS und Umsetzung der NIS-2-Anforderungen bei einem Wasserversorgungsunternehmen
RolleInformationssicherheitsberater
Dauer01/2023 – 12/2023
BrancheWasserwerk
BeschreibungIm Rahmen dieses Projekts war ich verantwortlich für die Weiterentwicklung des bestehenden Informationssicherheitsmanagementsystems (ISMS) gemäß ISO 27001 und die Umsetzung der Anforderungen der NIS-2-Richtlinie. Ziel war es, das Sicherheitsniveau des Unternehmens zu erhöhen und die Compliance mit den neuen gesetzlichen Vorgaben sicherzustellen.
Aufgaben & Erfolge
 

• Durchführung einer Gap-Analyse zur Identifikation von Abweichungen zwischen dem bestehenden ISMS und den Anforderungen der NIS-2-Richtlinie
• Anpassung und Erweiterung von Sicherheitsrichtlinien und -prozessen, um den neuen gesetzlichen Anforderungen gerecht zu werden
• Entwicklung und Implementierung eines Risikomanagementprozesses, einschließlich regelmäßiger Risikobewertungen und -behandlungen
• Betreuung und Durchführung von Audits bei externen Dienstleistern und Lieferanten zur Sicherstellung der Lieferketten-Sicherheit gemäß NIS-2
• Einführung von Maßnahmen zur Verbesserung der Cyberhygiene, wie z. B. Schulungen für Mitarbeiter und Implementierung technischer Sicherheitslösungen
• Erstellung von Notfallplänen und Verfahren für das Incident Response Management, einschließlich der Einhaltung der Meldepflichten bei Sicherheitsvorfällen
• Dokumentation und Pflege von Sicherheitsrichtlinien, Prozessbeschreibungen und Auditberichten zur Unterstützung der Compliance-NachweiseTechnologien & Tools: ISO 27001, NIS-2-Richtlinie, Risikomanagement-Software, SIEM-Systeme, Schulungsplattformen

ProjektWeiterentwicklung des ISMS und Umsetzung der NIS-2-Anforderungen bei einem Wasserversorgungsunternehmen
RolleInformationssicherheitsberater
Dauer01/2022 – 12/2022
BrancheLogistik / Transport
BeschreibungIm Rahmen dieses Projekts war ich für die Analyse und Optimierung des bestehenden Information Security Management Systems (ISMS) eines führenden Logistikunternehmens verantwortlich. Neben der Integration von NIST- und ISO 27001-Standards bestand ein zentraler Bestandteil des Projekts in der Bewertung und Umsetzung der Anforderungen der NIS-2-Richtlinie. Ziel war es, das Sicherheitsniveau zu erhöhen, regulatorische Anforderungen zu erfüllen und die Widerstandsfähigkeit gegenüber Cyberbedrohungen im gesamten Unternehmen zu stärken.
Aufgaben & Erfolge
 

• Durchführung einer Gap-Analyse zur Identifikation von Abweichungen gegenüber ISO 27001, NIST und NIS-2
• Definition realistischer Zielarchitekturen unter Berücksichtigung von Compliance-Anforderungen (inkl. NIS-2)
• Entwicklung konkreter Maßnahmen zur Umsetzung der NIS-2-Verpflichtungen, insbesondere in den Bereichen Risikomanagement, Incident Response und Lieferkettenkontrolle
• Präsentation und Bewertung verschiedener Umsetzungsoptionen vor dem C-Level-Management, inkl. Risiko-, Aufwand- und Budgetabschätzung
• Organisation und Moderation interdisziplinärer Workshops zur Erarbeitung von Sicherheitslösungen mit Fachbereichen, IT und Management
• Bewertung und Nachjustierung von technischen und organisatorischen Sicherheitsmaßnahmen im Hinblick auf Wirksamkeit und NIS-2-Kompatibilität
• Begleitung der Weiterentwicklung des ISMS bis zur Audit- Readiness
• Erfolgreiche Verankerung eines strukturierten ISMS-Prozesses mit integrierten NIS-2-Kontrollen im Unternehmen

ProjektOptimierung und Zertifizierung des ISMS nach ISO 27001
RolleISMS Projektleiter
Dauer01/2020 – 12/2020
BrancheVersicherung
BeschreibungIn diesem Projekt unterstützte ich eine große Krankenkasse bei der Optimierung und Vorbereitung ihres Information Security Management Systems (ISMS) zur Zertifizierung nach ISO 27001. Der Fokus lag auf der Anpassung der Sicherheitsrichtlinien, der Stärkung der bestehenden Sicherheitsmaßnahmen und der Sicherstellung der Compliance mit den strengen Anforderungen des Gesundheitssektors.
Aufgaben & Erfolge
 

• Analyse und Bewertung des aktuellen ISMS: Durchführung einer detaillierten Analyse des bestehenden ISMS, Identifikation von Lücken und Definition von Maßnahmen zur Erfüllung der ISO 27001-Anforderungen.
• Definition von Zielzuständen: Entwicklung klarer Zielvorgaben für das ISMS, abgestimmt auf die Anforderungen im Gesundheitswesen.
• Erarbeitung und Umsetzung von Sicherheitsrichtlinien: Erstellung und Anpassung von Sicherheitsrichtlinien, die den hohen Datenschutz- und
• Sicherheitsanforderungen im Gesundheitsbereich entsprechen.
• Stakeholder-Management: Koordination und Einbindung interner Stakeholder, um eine gemeinsame Ausrichtung auf die Projektziele sicherzustellen.
• Durchführung von Schulungen und Workshops: Organisation und Durchführung von Schulungen für Mitarbeitende, um das Bewusstsein für Informationssicherheit zu erhöhen und die Einhaltung der ISMS-Richtlinien zu fördern.
• Bewertung und Optimierung von Sicherheitskontrollen: Überprüfung und Anpassung der Sicherheitsmaßnahmen zur Sicherstellung ihrer Wirksamkeit im Hinblick auf ISO 27001.
• Vorbereitung auf die ISO 27001-Zertifizierung: Planung und Begleitung der Zertifizierungsschritte, einschließlich der Durchführung interner Audits und der Vorbereitung der externen Audits durch die Zertifizierungsstelle.

ProjektOptimierung und Weiterentwicklung des ISMS mit Schwerpunkt auf Microsoft 365
RolleISMS Consultant
Dauer01/2021 – 12/2021
BrancheIT-Dienstleistungen
BeschreibungIn diesem Projekt unterstützte ich einen führenden IT-Dienstleister bei der Optimierung und Weiterentwicklung seines Information Security Management Systems (ISMS), um Sicherheitsstandards und Compliance-Anforderungen gemäß ISO 27001 zu erfüllen – insbesondere im Kontext der zunehmenden Cloud-Nutzung durch Microsoft 365. Ziel war es, den Reifegrad des ISMS zu erhöhen und gleichzeitig spezifische Sicherheitsrisiken in Microsoft 365 zu identifizieren und mit gezielten Maßnahmen zu adressieren.
Aufgaben & Erfolge
 

• Umfassende Ist-Analyse des bestehenden ISMS, inklusive Bewertung der Microsoft 365-Sicherheitskonfigurationen (M365 Security Baseline, Secure Score, Conditional Access, etc.)
• Definition konkreter Zielzustände für das ISMS unter Einbezug von Microsoft 365-spezifischen Sicherheitsanforderungen (z. B. Information Protection, Audit- Logging, Compliance-Kontrollen)
• Entwicklung von praxisnahen Lösungsoptionen zur Stärkung der Cloud-Sicherheit und Minimierung der Risiken im Microsoft 365-Kontext
• Vorstellung und Diskussion der Lösungsansätze auf C-Level-Ebene – mit besonderem Fokus auf Kosten-Nutzen-Betrachtung und Risikoeinschätzung
• Durchführung von Workshops mit IT, Compliance und Datenschutz zur Bewertung und Priorisierung von Sicherheitsmaßnahmen in Microsoft 365
• Bewertung und Optimierung von M365-spezifischen Sicherheitskontrollen in Microsoft Purview, Microsoft Defender for Office 365 und Azure AD
• Integration von Microsoft 365-Risiken und -Maßnahmen in das zentrale ISMS-Risikoregister und die Risikobehandlungspläne
• Verbesserung der Awareness für Cloud Security durch gezielte Schulungen für Administratoren und Fachabteilungen

ProjektAufbau und Betrieb eines Security Operations Centers (SOC) mit Integration von Microsoft 365
RolleCISO
Dauer07/2019 – 12/2019
BrancheVersicherung
BeschreibungIn diesem Projekt leitete ich den Aufbau und die Betriebsführung eines Security Operations Centers (SOC) für eine Versicherung. Der Fokus des SOC lag auf der Überwachung, Analyse und Reaktion auf Sicherheitsvorfälle – mit besonderem Augenmerk auf die Absicherung der Microsoft 365-Umgebung. Ziel war es, eine zentrale, ganzheitliche Sicherheitsüberwachung zu etablieren, um das Unternehmen effektiv vor externen und internen Bedrohungen zu schützen.
Aufgaben & Erfolge
 

• Entwicklung der gesamten SOC-Architektur inklusive der Integration von Microsoft 365-Sicherheitskomponenten (Microsoft Defender for Office 365, Defender for Identity, Defender for Endpoint, Microsoft Purview)
• Auswahl und Einführung eines zentralen SIEM-Systems (Microsoft Sentinel), einschließlich Konnektoren zur Überwachung von Microsoft 365-Diensten wie Exchange Online, SharePoint und Teams
• Aufbau und Konfiguration eines Echtzeit-Dashboards zur Anzeige sicherheitsrelevanter Ereignisse in der Microsoft 365-Umgebung
• Entwicklung und Pflege von Playbooks in Microsoft Sentinel zur Automatisierung der Incident Response bei Phishing, Anomalien in Azure AD oder ungewöhnlichem Datenzugriff
• Leitung eines neu aufgebauten Analystenteams, das in Microsoft 365-spezifische Bedrohungsszenarien geschult wurde (z. B. Business Email Compromise, Token-Theft, MFA-Bypass)
• Erstellung von Use Cases für die Cloud Security Überwachung basierend auf Microsoft Secure Score und Azure AD Identity Protection
• Abstimmung von M365-Sicherheitsmaßnahmen mit Datenschutz, ISMS-Teams und externen Prüfern zur Sicherstellung von Compliance-Anforderungen

ProjektAufbau und Implementierung eines ISMS nach ISO 27001 für eine Krankenkasse
RolleISMS Projektleiter
Dauer01/2019 – 06/2019
BrancheGesundheitswesen / Krankenkasse
BeschreibungIn diesem Projekt war ich verantwortlich für den Aufbau und die Implementierung eines Information Security Management Systems (ISMS) nach ISO 27001 für eine Krankenkasse. Ziel war es, ein umfassendes Sicherheitsmanagement zu etablieren, das die sensiblen Patientendaten und Geschäftsinformationen schützt und den Anforderungen der ISO 27001 entspricht.
Aufgaben & Erfolge
 

• Initiale Bedarfsanalyse und Gap-Analyse: Ermittlung des aktuellen Sicherheitsniveaus und Identifizierung von Lücken im bestehenden Sicherheitsansatz der Krankenkasse.
• Entwicklung einer ISMS-Strategie und Roadmap: Erstellung einer detaillierten Strategie und eines Maßnahmenplans für den schrittweisen Aufbau eines ISO 27001-konformen ISMS.
• Erarbeitung und Implementierung von Sicherheitsrichtlinien und -prozessen: Entwicklung von Richtlinien und Prozessen zur strukturierten Umsetzung der ISO 27001-Anforderungen.
• Aufbau einer Dokumentationsstruktur: Einrichtung einer strukturierten Dokumentation, um alle Prozesse, Maßnahmen und Ergebnisse des ISMS zu erfassen und zu verwalten.
• Schulung und Sensibilisierung der Mitarbeiter: Durchführung von Schulungen und Sensibilisierungsmaßnahmen, um das Bewusstsein der Mitarbeiter für Informationssicherheit zu stärken.
• Einrichtung von Sicherheitskontrollen und Risikomanagementprozessen: Implementierung von Kontrollmechanismen und Risikomanagementprozessen, um die Einhaltung der ISMS-Richtlinien sicherzustellen und potenzielle Risiken frühzeitig zu erkennen.
• Durchführung von internen Audits: Organisation und Durchführung von Audits zur Überprüfung der Einhaltung der ISO 27001-Standards und zur Identifizierung von Optimierungspotenzialen.

ProjektBusiness Continuity und Disaster Recovery Management mit Fokus auf Drittparteienüberwachung
RolleSecurity
Dauer01/2018- 12/2018
BrancheFinanzdienstleistung
BeschreibungIn diesem Projekt lag mein Fokus auf der Sicherstellung der betrieblichen Ausfallsicherheit durch die
Einführung eines umfassenden Business Continuity Plans (BCP) und eines Disaster Recovery Plans (DRP) mit besonderem Augenmerk auf das Drittparteienmanagement. Das Ziel war es, IKT-Risiken zu identifizieren, zu bewerten und zu mindern, um die Widerstandsfähigkeit des Unternehmens gegenüber Störungen und Bedrohungen zu gewährleisten.
Aufgaben & Erfolge
 

• Identifikation, Bewertung und Abschwächung von IKT-Risiken im Zusammenhang mit Drittparteien und externen Dienstleistern.
• Entwicklung und Implementierung von Business Continuity Plänen (BCP) und Disaster Recovery Plänen (DRP) zur Sicherstellung der Betriebsresilienz.
• Durchführung von Resilience-Tests, um die Effektivität der Pläne zu überprüfen und kontinuierlich zu verbessern.
• Überwachung der Einhaltung von Vorschriften und gesetzlichen Bestimmungen im Drittparteienmanagement.
• Koordination mit internen und externen Partnern zur Sicherstellung eines reibungslosen Betriebs und einer schnellen Wiederherstellung im Falle von Ausfällen oder Angriffen.

ProjektMigration zu Microsoft 365 und Einführung von Microsoft Teams als Kollaborationsplattform mit ISMS Anbindung
RolleMicrosoft 365 Migration Specialist
Dauer01/2017- 12/2017
BrancheGesundheitswesen
BeschreibungIn diesem Projekt begleitete ich ein großes Gesundheitsunternehmen bei der Migration zu Microsoft 365
sowie der Einführung von Microsoft Teams als zentrale Plattform für die interne Zusammenarbeit. Neben der technischen Umsetzung war ich auch verantwortlich für die Integration sicherheitsrelevanter Vorgaben aus dem bestehenden ISMS (Informationssicherheits-Managementsystem), um die Compliance mit branchenspezifischen Anforderungen wie ISO 27001 und der DSGVO sicherzustellen. Bedrohungen zu gewährleisten.
Aufgaben & Erfolge
 

• Planung und Durchführung der Migration von On-Premise-Daten und E-Mail-Systemen in die Microsoft 365 Cloud unter Berücksichtigung datenschutz- und sicherheitsrelevanter Anforderungen
• Einführung von Microsoft Teams als zentrale Kollaborationsplattform zur Optimierung der interdisziplinären Zusammenarbeit im Klinik- und Verwaltungsbereich
• Unterstützung bei der Implementierung von Microsoft Purview Information Protection (z. B. Sensitivity Labels, Data Loss Prevention) zur Sicherstellung des datenschutzkonformen Umgangs mit sensiblen Gesundheitsdaten
• Integration bestehender ISMS-Vorgaben in die Konfiguration von Microsoft 365: Richtlinien für Zugriffsberechtigungen, Protokollierung sicherheitsrelevanter Ereignisse und Monitoring über Microsoft Defender for Cloud
• Schulung der Mitarbeitenden zur sicheren Nutzung von Microsoft 365 und Teams – mit Fokus auf sichere Datenfreigabe, Phishing-Schutz und Zwei-Faktor-Authentifizierung
• Unterstützung des internen IT-Teams bei der Governance-Planung, der Konfiguration von Security-Baselines sowie der Anpassung von Richtlinien für sichere Collaboration

ProjektEinführung eines ISO/IEC 27001-konformen ISMS bei einem Medizintechnik-Unternehmen
RolleISO 27001 Implementer
Dauer01/2016– 12/2016
BrancheMedizintechnik / reguliertes Umfeld
BeschreibungIm Rahmen dieses Projekts wurde ein vollumfängliches ISMS gemäß ISO/IEC 27001 eingeführt, um die Informationssicherheit im regulierten Umfeld zu stärken.
Aufgaben & Erfolge
 

• Durchführung einer initialen GAP-Analyse auf Basis ISO/IEC 27001:2022
• Entwicklung und Einführung des ISMS-Rahmenwerks inklusive aller erforderlichen Richtlinien und Prozesse
• Durchführung von Risikoanalysen, Schutzbedarfsfeststellungen und Erstellung des SoA (Statement of Applicability)
• Schulung von Fachbereichen und Management zu ISMS-Anforderungen und Security Awareness
• Begleitung des Unternehmens bis zur erfolgreichen ISO/IEC 27001-Zertifizierung durch einen akkreditierten Auditor

ProjektISMS-Optimierung für ein Energieversorgungsunternehmen mit KRITIS-Relevanz
RolleSenior ISMS Consultant
Dauer01/2015 – 12/2015
BrancheEnergie / Kritische Infrastruktur
BeschreibungBeratung und Weiterentwicklung eines bestehenden ISMS zur Sicherstellung der Konformität mit ISO 27001 und BSI IT-Grundschutz sowie Vorbereitung auf eine Rezertifizierung.
Aufgaben & Erfolge
 

• Aktualisierung des Risikomanagements nach ISO/IEC 27005 und Integration in das GRC-Framework
• Harmonisierung von Sicherheitsrichtlinien mit Anforderungen der BNetzA, ISO 27001 und KRITIS-Verordnung
• Durchführung interner Audits zur Ermittlung von Abweichungen und Entwicklung eines Maßnahmenplans
• Unterstützung des CISO bei der Berichterstattung an Geschäftsführung und Aufsichtsbehörden
• Organisation und Durchführung von Mitarbeiterschulungen zur Steigerung des Sicherheitsbewusstseins

ProjektAufbau eines konzernweiten ISMS in einer internationalen Logistikgruppe
RolleInformationssicherheitsberater / ISMS-Projektleiter
Dauer01/2014 – 12/2014
BrancheLogistik / Transport / Compliance
BeschreibungKonzeption und Umsetzung eines konzernweit gültigen Informationssicherheitsmanagementsystems nach ISO/IEC 27001 für mehrere internationale Standorte.
Aufgaben & Erfolge
 

• Aufbau der ISMS-Struktur: Leitlinie, Governance, Rollen und Verantwortlichkeiten
• Durchführung von GAP-Analysen an allen Standorten und Ableitung individueller Maßnahmen
• Aufbau eines internen Audit-Programms und Durchführung erster Audits mit anschließender Maßnahmenkontrolle
• Entwicklung eines unternehmensweiten Awareness-Programms inkl. E-Learning-Modulen
• Enge Zusammenarbeit mit IT, Datenschutzbeauftragten, Compliance und dem Group CISO