EU-Cyber-Resilience-Act-Experten in Deutschland

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.

• Fachliche Führung über Hardware-, Firmware- und Software-Teams; Wirkungskreis Hardware-/Firmware-Team (4 Personen) und Führungskreis (5 Personen)
• Eine über 15 Jahre gewachsene Produktfamilie architektonisch konsolidieren, dokumentieren und auf CRA-Konformität ausrichten — vom Bare-Metal-IO-Modul bis zur Cloud-Schnittstelle.
• Das wichtigste Kundenprodukt binnen zwei Monaten mit der wesentlichen Anforderungs- und Architekturdokumentation versorgt — für eine über 15 Jahre gewachsene Firmware-Landschaft. Sie trägt heute die Modernisierungsstrategie des Kunden.
• Binnen drei Monaten eine monatliche Berichtslinie an Aufsichtsrat und Vorstand etabliert: seit 12/2025 neun Termine. Der Bericht selbst ist versioniert und wird aus der CI-Pipeline gebaut; er stützt sich auf automatisiert erhobene Aktivitäts- und Release-Daten statt auf Einschätzung.
• Container-basierte CI/CD-Infrastruktur von Grund auf gebaut: Cross-Compile, Host-Tests und Dokumentationsbau in einer durchgängigen Pipeline.
• Deklarative QA-Barrieren für DevOps- und Entwicklungsartefakte eingeführt — von Beginn an mit lefthook statt über pre-commit, ausgeführt in einem dedizierten Container-Image.

Verwendete Technologien: arc42, req42, tpo42, docToolchain, PlantUML, ArchiMate, C4-Modell, ADR, C, C++ (GTest), CMake, Bare Metal (ARM Cortex-M3/M7), OCI-Container, Jenkins, lefthook, Prometheus, Grafana, SBOM, CRA, OPC, SCADA, SPS-Anbindung, IPv6-Migration, Zero Trust, Soziokratie 3.0, Cynefin

Technischer Redakteur bei einem Sondermaschinenhersteller zur Implementierung der Anforderungen der EU-MVO in die technische Dokumentation und FMEA-Moderation. Funktion: Technischer Redakteur und FMEA-Moderator

• Beriet das Executive Team bei Strategie, Architektur und Entwicklung eines KI-gestützten Product Security Operations Center (PSOC); eines Cybersecurity-Betriebssystems für softwaredefinierte cyber-physische vernetzte Systeme.
• Gab strategische Unterstützung bei Produktvision, regulatorischer Ausrichtung und Marktpositionierung und unterstützte Funktionen in den Bereichen Threat Intelligence, Schwachstellenmanagement, Compliance-Automatisierung und autonome Produktsicherheit.

Technologieunternehmen

• Analyse der Anforderungen nach CRA
• Durchführung Management-Workshop
• Entwicklung von Handlungsempfehlungen

Ergebnis: Priorisierter CRA-Readiness-Fahrplan zur Konformität.

Ausgangslage: Der Geschäftsführer wollte vom Projekt- auf ein skalierbares Produktmodell umstellen. Produktideen waren vorhanden, der Weg zum produktorientierten Unternehmen nicht.

marktreifes, skalierbares Angebot entwickelt

Marktsegmentierung geschärft,

Angebotsstruktur und Pricing optimiert

Positionierung als Premiumprodukt

Durchgängiges Branding zwischen Produkt und Unternehmen

CI-Website und LinkedIn-Kampagne auf Produktkommunikation ausgerichtet.

Unternehmer-Coaching

UEF 3.0 · Semantic Government Overlay (SGO) · Autonome Systeme (UAS / Dual-Use)

• Konzipiert: Semantic Government Overlay (SGO) – KI-geführte Verwaltung ohne Ablösung bestehender Fachverfahren. Lesender semantischer Layer über Registern und Fachverfahren auf Basis des Föderalen Informationsmanagements (FIM). Die Entscheidungshoheit verbleibt beim Sachbearbeiter (Architekturprinzip).
• Entwickelt: Referenzarchitektur mit quellenbelegten, abgeleiteten Aussagen (ausführbare Ontologien OWL/RDF/SHACL). Technisch garantierte Zweckbindung und Kein-Schreibpfad-Prinzip in Fachdaten – auditierbar, ohne zentralen Datenpool.
• Verankert: Regulatorik als Designprinzip: EU AI Act (Hochrisiko-Pflichten für Behörden-KI, Grundrechte-Folgenabschätzung nach Art. 27), DSGVO, NIS2 und verwaltungsrechtliche Automatisierungsgrenzen (§ 35a VwVfG, § 31a SGB X) als technische Kontrollpunkte in der Architektur.
• Erstellt: Methodisches Werkzeug für Pilotträger: Datenpipeline-Assessment (Phase 0), Compliance-Blueprint und Management Summary als entscheidungsreifes Paket für die öffentliche Verwaltung.
• Spezifiziert: UEF 3.0 als Nachfolge-Architektur zu TOGAF – Decision Paper kanonische Ontologie, Sechs-Schichten-Architektur, Read/Actuate-Grenze, Federation-Registry, Terminologie-Konkordanz und Release-Delta als geschlossener Spezifikationsstand.
• Architektiert: KI-natives Missions-OS für autonome UAS und Bodenrobotik als taktische Schicht über einem separat zugelassenen Autopiloten. Run-Time Assurance nach ASTM F3269-21 (Simplex-Muster): Der verifizierte Sicherheits-Controller behält die Autorität, die KI-Funktion liefert Vorschläge.
• Ausgelegt: Drei-Tier-Architektur – Tier 0 Autopilot mit 650-Hz-Flugregelung auf RTOS, Tier 1 KI-OS mit semantischem Weltmodell und Multi-Agenten-Cluster, Tier 2 Schwarm- und Boden-Mesh. Zenoh als primäre Fabric, MAVLink als einziger authentifizierter Kommandopfad (Single-Writer). Ergebnis: graceful degradation – Verlust der Mission, nicht des Fluggeräts.
• Abgesichert: Zwei-Gate-Kette auf der Read/Actuate-Grenze – Governance-Gate (Darf-Frage: AI-Act-Risikoklasse je Aktuierung, erzwungene menschliche Aufsicht nach Art. 14, unveränderliches Log) vor RTA-Safety-Monitor (Richtig-Frage: Flugenveloppe, Geofence, Energiereserve) mit Revert auf den Baseline-Controller.
• Verankert: Dual-Use-Architektur mit Common Core und Build-Time-Fork statt Runtime-Umschalter. Drei getrennte Rechtsstufen: Zivilvariante – UAS unter der EASA-Grundverordnung (EU) 2018/1139 mit der nach Art. 2 Abs. 2 AI Act eingeschränkten Anwendbarkeit, Bodenrobotik unter der Maschinenverordnung 2023/1230 mit voller Hochrisiko-Pflichtenkette, Cyber Resilience Act für beide; unbewaffnete Trägervariante als Rüstungsgut unter AWG/AWV und Dual-Use-VO 2021/821 (BAFA-Genehmigung); bewaffnete Variante unter KrWaffKontrG. Jede Ausprägung lebt unter genau einem dominanten Rechtsregime. Nachweisfundament: AI-BOM, SBOM und lückenlose Data-Lineage.
• Analysiert: Systemanalyse und Neuausrichtung gewachsener Engineering-Systemlandschaften. Vorgehenskonzept Konsolidierung ohne Migration – semantischer Layer über den Bestandsquellen statt Datenumzug. Ergebnis: entscheidungsreifes Vorgehenskonzept inklusive Bewertungsmodell für die Zielarchitektur.

• PRISMA-Projekt
• Ansible-Automatisierung
• Windows Third Level Support für Windows NT, Windows 2000, Windows 2013, Windows 2016, Windows 2019

• Architektur und Bereitstellung einer produktiven B2B-Plattform für Geocodierung und demografische Daten in Deutschland, die Adresssuche mit bevölkerungsstatistischen Daten aus Volkszählungen über eine Webanwendung und REST API verbindet.

• Unterstützung bei der Implementierung der Anforderungen des § 8a des BSI-Gesetzes für Kritische Infrastrukturen.
• Systematische Vorbereitung und Begleitung von internen und externen Audits, Auflösung von vorherigen Abweichungen (HA, NA, VP)
• Umsetzung der spezifischen Anforderungen des IT-Sicherheitskatalogs
• Entwicklung von Trainings, Erstellung von Run Books und Durchführung von Assessments zur Sicherstellung der operativen Wirksamkeit.

Im Rahmen meiner Tätigkeit befasse ich mich mit drei zentralen Themenbereichen, die für die Innovations- und Zukunftsfähigkeit von Wirtschaft und Gesellschaft maßgeblich sind: Unternehmensgründung, Digitalisierung & Automatisierung sowie Karriereplanung und persönliche Entwicklung.

Ein Schwerpunkt liegt auf den Herausforderungen und Chancen der Unternehmensgründung – insbesondere im Kontext akademischer Gründungen als Motoren regionaler und nationaler Innovation. Ich vermittle Kompetenzen für den gesamten Gründungsprozess: von der Ideenentwicklung und dem Aufbau tragfähiger Geschäftsmodelle bis hin zur Führung und Skalierung eines Unternehmens.

Der Themenkomplex Digitalisierung und Automatisierung umfasst technische, wirtschaftliche und soziale Dimensionen. Er deckt die Grundlagen der Digitalisierung, Automatisierungstechnologien, IIoT und intelligente Fertigung, Software- und IT-Infrastrukturen sowie Anwendungsfelder in verschiedenen Branchen ab. Darüber hinaus analysiere ich die Mensch-Maschine-Interaktion, wirtschaftliche Auswirkungen und zukünftige Trends, die Unternehmen nachhaltig beeinflussen.

Im Bereich Karriereplanung und persönliche Entwicklung unterstütze ich angehende Fach- und Führungskräfte dabei, ihr individuelles Stärkenprofil zu entwickeln, ihr unternehmerisches und intrapreneuriales Potenzial zu erkennen und eine persönliche Markt- und Karrierestrategie zu gestalten. Themen wie Personal Branding, persönliches Marketing und strategische Karriereplanung stehen hier im Fokus, um langfristige berufliche Orientierung und Handlungskompetenz zu fördern.

• Einführung umfassender NIS-2-Compliance-Programme durch detaillierte Gap-Analysen gegenüber ISO 27001, Siemens-Richtlinien und -Kontrollen
• Entwicklung messbarer Erfolgskriterien für nachhaltige Compliance-Strukturen
• Analyse komplexer Lieferketten für systematische Bewertung von Drittanbieterrisiken

• Entwicklung eines Visualisierungsmoduls auf Basis des Verdin iMX8M Plus von Toradex.

• Erstellen eines projektspezifischen Yocto-BSP auf Basis des "Toradex Yocto Projekts" (scarthgap).

• Anpassung und Erstellung von Kerneltreibern und Devicetree für den eingesetzten NXP i.MX8 Prozessor.

• Support für die GO product app unter Linux / Yocto / systemd.

• Einrichten eines WLAN-AP mit Hilfe von hostap und dnsmasq.

• Produkte: Yocto, Embedded Linux.

• Kenntnisse: C++, GO, Yocto, i.MX8.

• Einsatzort: remote.