DORA-Experten in Essen

• Aufbau eines Cyber-Resilience-Frameworks für KI-beschleunigte Bedrohungen im Programm Frontier AI Threat Endurance (FATE): Capability Assessments, Reifegradbewertungen und Gap-Analysen zu Cyber Security, operativer Resilienz, Incident Response, Recovery und Governance, daraus abgeleitete Zielkonzepte und Verbesserungsmaßnahmen
• Begleitung der Maßnahmenverantwortlichen von der Konkretisierung bis zur Umsetzung: Umsetzungs-Roadmaps, Entscheidungsvorlagen, Management-Präsentationen und Governance-Reporting sowie audit- und aufsichtsfeste Dokumentation; Steuerung der Stakeholder aus IT, Information Security, Risk Management, Operational Resilience, Business Continuity und den Fachbereichen

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

WESENTLICHE PROJEKTE

Seit 05/2023 | Bank | Senior Cyber-Sicherheitsberater (extern)

• Beratung und Anleitung der Systemverantwortlichen bei der Erstellung und Weiterentwicklung von IT-Sicherheitskonzepten
• Koordination und Nachverfolgung der Behebung von Findings aus Prüfungen und Audits
• Beratung bei der Umsetzung regulatorischer Anforderungen an die Informationssicherheit

10/2023 – 02/2024 | Fintech | Projektmanager (extern)

• Projektmanagement zur Schließung verschiedener Audit-Gaps im Bereich Informationssicherheit
• Konzeptioneller Aufbau und Implementierung eines Informationssicherheitsmanagementsystems auf Basis der ISO/IEC 27001
• Erstellung und Weiterentwicklung von ISMS-Dokumenten und -Prozessen

• Fachliche Leitung der CI/CD-Modernisierung im System „Konzern Archiv 4.0“
• Architektur- und Steuerungsverantwortung gemäß Leistungsbeschreibung
• Aufbau moderner Erstellungs- und Bereitstellungsprozesse
• CI/CD-Schulung und Befähigung des internen Entwicklerteams
• Integration moderner DevOps-, Sicherheits- und Compliance-Standards
• Sicherstellung technischer Governance inklusive Zusammenarbeit mit Revision & BaFin
• Eigenverantwortliche Durchführung der Modernisierungsmaßnahmen
• Begleitung des Teams bei der Einführung neuer Technologien und Methoden

• Übergabe des Microsoft-Azure-Betriebs an die BTC AG
• Verantwortung: Budget von 60k €
• Personal: Führung von 5 Personen
• Tools: Office 365, JIRA, Confluence

NIS2-Umsetzungsprojekt und ISMS-Aufbau nach IT-Grundschutz

Kommunalbetriebe, Anstalt des öffentlichen Rechts

• Analyse der aktuellen Compliance-Lage in Bezug auf die Anforderungen der NIS-Richtlinie (NIS-2, EU 2022/2555).
• Identifikation kritischer Infrastrukturen und Prozesse innerhalb der Organisation.
• Entwicklung eines Maßnahmenplans zur Erfüllung der NIS-Anforderungen.
• Durchführung einer Risikoanalyse gemäß BSI-Standard 200-3 als Grundlage für das Sicherheitskonzept.
• Erstellung eines individuellen Sicherheitskonzepts inklusive technischer und organisatorischer Maßnahmen nach BSI IT-Grundschutz.
• Vorbereitende Begleitung einer optionalen Zertifizierung nach BSI IT-Grundschutz.
• Anpassung bestehender sowie Entwicklung neuer Sicherheitsrichtlinien für Zugriffskontrollen, Incident Management und Datenschutz.
• Berücksichtigung kommunalspezifischer Vorgaben sowie Integration der Maßnahmen in die bestehende IT-Infrastruktur.
• Dokumentation der Ergebnisse und Erstellung prüfungsfester Nachweise für Audits.

Verwendete Tools, Sprachen, Frameworks: MS Office, Verinice, IT-Grundschutz (200-x), NIS-2 (EU 2022/2555), ISMS, AI-Act (EU 2024/1989)

• Die CHG Meridian AG ist ein Finanzunternehmen mit Schwerpunkt Leasing in den Bereichen IT-Technik, Logistik und Medizintechnik und unterliegt der Regulierung durch die BaFin. Ein Unternehmensteil ist hierbei das Return to Remarketing, in dem die im Technologiezentrum angelieferten Geräte (Notebooks, Smartphones, Tablets usw.) für die Weitervermarktung aufbereitet werden. Das von mir betreute Projekt hatte die Aufgabe, eine Schadensbewertung der Leasing-Rückläufer zu ermöglichen, diese visuell in Form von Bildern zu dokumentieren, eine Rechnungsstellung beim Kunden zu ermöglichen und die Bilder über die eigenentwickelte Kundenplattform bereitzustellen. Die Umsetzung wurde durch eine Kombination aus Eigenentwicklung innerhalb der hausinternen Entwicklungsabteilung und der Nutzung von SaaS-Produkten erreicht. Das zweite Projekt bestand in der Transition der durch den Fachbereich beschafften SaaS-Ausschreibungssoftware in den Betrieb der CHG-IT-Abteilung. Bewertung von Security-Fragen in Bezug auf BaFin-Vorgaben, Ausarbeitung eines Berechtigungskonzepts, Implementierung eines Single Sign-On, Dokumentation der Applikation in den CHG-Systemen (CMDB, iKnow usw.) und Übergabe in den Betrieb.

Eingesetzte Technologien und Methoden: NIS2, DORA, agile Softwareentwicklung, Scrum, Kanban, ServiceNow, SaaS, MS Teams, MS SharePoint, Active Directory, Entra ID, CMDB, Incident-Management, Change-Management, Request-Management, Service Level Agreement

• Gesamtverantwortung für den strategischen und operativen Einkauf, Procurement Management (11 FTE).
• Weiterentwicklung der Einkaufs- und Procurement-Organisation inkl. Aufgaben- und Rollenmodell.
• Steuerung bereichsübergreifender Sonderprojekte (z. B. Value Engineering, Design-to-Cost).
• Entwicklung und Umsetzung einer ganzheitlichen Beschaffungs- und Procurement-Strategie mit Fokus auf Resilienz, ESG, De-Risking, Decoupling und Kostenperformance.
• Durchführung umfassender Procurement Transformation mit Neuausrichtung der Supply Chain Strategy.
• Reorganisation des Procurement-Teams zur Effizienzsteigerung durch klare Rollenverteilung und Entlastung von fach- und funktionsfremden Tätigkeiten.
• Professionalisierung der Contract-Management-Prozesse und Supplier-Development-Programme.
• Prozessoptimierung entlang der S2C- und P2P-Kette inkl. Standardisierung und Automatisierung in Übereinstimmung mit MDR (EU-Verordnung 2017/745), GxP-Compliance & Qualitätsmanagementsystemen ISO 9001 und ISO 13485.
• KPI-Entwicklung und Optimierung des Kennzahlsystems zur Leistungs- und Effizienzmessung bei kritischen Pfaden und Fehlteilen.
• Coaching des Teams in strategischer Einkaufs- und Procurement-Arbeit, Projektsteuerung und Due Diligence im Einkauf.
• Implementierung KI-gestützter Tools für Sourcing, Spend-Analyse und Inventory Management zur Bestandsoptimierung.
• Erzielte Bestandsreduktion von ~31% durch professionelles Inventory Management.
• Steuerung von zwei Cost-Reduction-(Cost-Avoidance)-Programmen mit quantifizierten Erfolgen: ~50% Senkung der Herstellkosten bei einer Kernkomponente und ~64% Reduktion der Materialkosten für die Nachfolgeplattform durch Redesign und Category Sourcing.
• Einsparungsergebnis im niedrigen 2-stelligen Millionenbereich versus Absprungbasis.
• Materialgruppen: Contract Manufacturing, PCBA, EMS, Blower, Silikonspritzguss, Netzteile, Akkus, Displays, Schläuche, Masken, Ventile, Schäume, Leitungen, Sensorik, Wireless-Module (2G–5G), Telemedizin-Komponenten, Labordienstleistungen.

• Entwicklung eines IT-Governance- und Governance-Frameworks angelehnt an DORA-Anforderungen
• Koordinierung und Schulung externer Dienstleister
• Optimierung von Finanzprozessen und Performance-Optimierung

• Leitung des Teilprojekts Einführung von Vulnerability Response im Rahmen von DORA
• Aufnahme der aktuellen Prozesse im Bereich Compliance, Risiko und Sicherheit
• Erstellen des Fachkonzepts zur Einführung von Applikations-, Infrastruktur- und Cloud-Schwachstellen
• Agile Steuerung des Integrationsdienstleisters, der Fachabteilung sowie der Querschnittsfunktionen im Unternehmen
• Anbindung der V-Scanner Tennable, Qualys und Defender sowie von NVD und CISA/KEV
• Anbindung von GitLab Ultimate für den Import und die Verarbeitung der SBOMs
• Entwicklung von Automationsregeln zum Abgleich der Scanergebnisse mit CIs der CMDB, Zuweisung der Schwachstellen und Behebungsaufgaben, Genehmigungen (Falschpositive, Ausnahmen) und Schließungen
• Berechnung mehrerer Risikoscores und Prioritäten
• Definition von Dashboards und Reportings (Workspaces, Performance Analytics)
• Abstimmung der neuen Prozesse, insbesondere zur Erhöhung der Datenqualität der CMDB (nach CSDM)

• Transformation komplexer KI-Anwendungsfälle in die Praxis
• Analyse IT / TK Geschäftsprozesse E2E von der Anforderung bis zur Bestellung (RACI), Modellierung mit IBO Prometheus
• Risikomanagement
• Untersuchung Digitalisierungspotenzial, KI und strategische Lieferantenanalyse gegenüber dem IT-Zielbild
• Optimierung von Angebots- und Kalkulationsgrundlagen im strategischen und operativen (IT)-Einkauf
• Optimierung der Lieferantenstrategie (DSGV und FI)
• Untersuchung von verschiedenen Ansätzen zur Kostenoptimierung und Vereinfachung des Lieferantenmanagements
• Optimierung von Verträgen sowie Lizenzen und Lizenzmanagement (Beispiele: SAP, Microsoft, IBM, Cisco, BMC usw.)
• Desk- und Fieldexpediting mit externen Partnern
• Mögliche Verlagerung (Outsourcing) und Bündelung von Dienstleistungen bei geringerer Lieferantenanzahl
• Pünktliche Übergabe der Gewerke im vereinbarten Zeit- und Budgetrahmen

• Mitwirkung bei der Erstellung, Prüfung und Verhandlung von Verträgen und anderen rechtlichen Dokumenten (NDAs, Aufhebungsvereinbarungen, Kündigungen etc.)
• Recherche und Analyse rechtlicher Fragestellungen
• Umsetzung gesetzlicher und regulatorischer Vorgaben (DSGVO, NIS2, DORA, Data Act, AI Act)
• Unterstützung bei der Einhaltung von rechtlichen Vorgaben und internen Richtlinien (KI-Verordnung, Barrierefreiheitsstärkungsgesetz, Lieferkettengesetz, Hinweisgeberschutzgesetz)
• Dokumentation und Ablage wichtiger Vertragsunterlagen im digitalen System
• Verhandlung und Bewertung individueller Vertragsklauseln