GRC Experten

• Strategische Planung, fachliche Ausarbeitung und operative Steuerung der Migration eines E-Mail-Gateways in einem sicherheitskritischen Behördenumfeld.
• Erstellung der fachlichen Leistungsbeschreibung sowie Entwicklung technischer Konzepte und Migrationsansätze unter Berücksichtigung von BSI-Anforderungen.
• Technisches Anforderungsmanagement mit Fachbereichen, Informationssicherheit und Betrieb.
• Koordination externer Dienstleister, Integratoren und Umsetzungspartner; Pflege von Projektplänen, Meilensteinen, Ressourcen, Risiken und Abhängigkeiten.
• Regelmäßiges Reporting an Projektleitung, Programmumfeld und interne Stakeholder.

• Von Private Equity gehaltene Präzisionsschleifmaschinen für Auto, Militär & Luft- und Raumfahrt – 1200 Mitarbeiter
• Tätigkeit als Interim Group CIO / CISO mit Konsolidierung der globalen IT zurück nach Europa – M&A-Konsolidierung
• Großes Sicherheitsereignis und anschließende Bereinigung gemanagt – Berichterstattung an Aufsichtsbehörden
• Anbieter- & Vertragsmanagement durchgeführt – vollständige Bewertung der Fähigkeiten
• Infrastruktur-Erneuerung und Bewertungen der Sicherheitshygiene begleitet

Nutzung von Projektzwischenzeiten zur methodischen Vertiefung von Führungskompetenzen und Change Management.

• Personal- und Kulturentwicklung: Begleitung von Fach- und Führungskräften bei der beruflichen Neuorientierung sowie strategisches Coaching für erfolgreiche Selbstpräsentation.

• Empowerment & Performance-Coaching: Durchführung systemischer Persönlichkeitschecks zur Identifikation von Leistungsengpässen und zur gezielten Stärkenförderung in Teams.

• Moderation & Training: Steuerung von interdisziplinären Workshop- und Seminargruppen im gewerblich-technischen sowie kaufmännischen Umfeld.

• Steuerung von Microsoft Cloud Accelerator Factory (CAF)-Programmen für globale Unternehmenskunden. Dabei wurde sichergestellt, dass Azure-Cloud-Implementierungen an Best Practices für Sicherheit, Governance und Compliance ausgerichtet sind, einschließlich an ISO 27001 ausgerichteter Kontrollen und Cloud-Sicherheitsframeworks.
• Steuerung komplexer globaler Transformationsprogramme für Unternehmen mit starkem Fokus auf Projektumsetzung, Finanz-Governance, Budgetkontrolle, Planung, Risikomanagement und Management-Reporting. Sicherstellung der Umsetzung innerhalb von Umfang, Zeitplan und Budget.
• Leitung der Implementierung von E-Invoicing-Lösungen für Nestlé, Koordination von Finanzwesen, IT, Fachbereichen und externen Anbietern zur erfolgreichen Integration, Prüfung, Einführung und Umsetzung elektronischer Rechnungsprozesse.
• Steuerung einer Datenbankmigration von Oracle zu PostgreSQL, Koordination technischer Teams, Anwendungsverantwortlicher, Testaktivitäten, Abhängigkeiten, Risiken und Cutover-Planung für einen kontrollierten und erfolgreichen Übergang.
• Leitung funktionsübergreifender Programme in den Bereichen Finanz- und zahlungsbezogene Prozesse, Unternehmensplattformen und Systemintegrationen mit umfassendem Stakeholder-Management über Fachbereiche, IT, Anbieter und Führungskräfte hinweg.
• Umsetzung von Transformationsprogrammen in FMCG-Umgebungen, einschließlich Nestlé, mit Steuerung komplexer internationaler Stakeholder-Strukturen, Drittanbieter, Governance, RAID-Management und geschäftskritischer Abhängigkeiten.

• Projekt Aufzugsnotruf Neu-Organisation: Projekt zur Evaluierung und Definition einer neuen technischen Lösung zur Anbindung von Aufzugsnotrufen für alle Einrichtungen der DB InfraGO Personenbahnhöfe.

• Ziele: Sichere redundante Anbindung aller Standorte deutschlandweit. Definition der techn. Lösung, Dokumentation, thematische Betreuung und Steuerung der Fach- und Linien-Organisationen.

• Identifizierung und Beauftragung der techn. Lösungen.

• Steuerung der Dokumentation und Freigabe der techn. Lösung im Regelwerk der DB.

• Definition und Nachverfolgen der Roadmap zur Lösungsbeschreibung.

• Erstellung eines Rollout Planes zur Vermeidung von Abschaltungen.

• Entscheidungsvorlagen für Lenkungskreise abstimmen und umsetzen.

• Kommunikation der Lösung in alle Gremien und Regionalbereiche.

Aufbau Compliance‑Abteilung & DORA‑Operationalisierung

• Aufbau einer vollständigen Compliance‑Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI‑Agenten zur Automatisierung:
• Auswertung von Due‑Diligence‑Fragebögen inkl. Risikoeinstufung
• KI‑gestützte Vertragsanalyse (DORA/MaRisk‑Konformität)
• Monitoring externer Datenquellen (Cyber‑Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko‑ und Maßnahmenregisters
• Erstellung von GAP‑Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs‑Informationsregisters
• Nutzung eigener TPRM‑Frameworks, Checklisten und Prozessmodelle

Aufbau Compliance‑Abteilung & DORA‑Operationalisierung

• Aufbau einer vollständigen Compliance‑Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI‑Agenten zur Automatisierung:
• Auswertung von Due‑Diligence‑Fragebögen inkl. Risikoeinstufung
• KI‑gestützte Vertragsanalyse (DORA/MaRisk‑Konformität)
• Monitoring externer Datenquellen (Cyber‑Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko‑ und Maßnahmenregisters
• Erstellung von GAP‑Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs‑Informationsregisters
• Nutzung eigener TPRM‑Frameworks, Checklisten und Prozessmodelle
• Projektcontrolling - Darstellung und strukturierte Messung der erreichten Projektziele im Rahmen des Management Reportings.
• Gesamtverantwortung für den Aufbau einer Compliance-, Governance- und Risk-Organisation
• Aufbau eines integrierten GRC-Modells und Executive-Reporting für den Vorstand.

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

• WiNOWiG-Erweiterungen (Digitalisierung & Organisation)
• Projektmanagement zu dem Projekt WiNOWiG (Ordnungswidrigkeiten)
• Optimierung der Prozesse sowie Steuerung

WESENTLICHE PROJEKTE

Seit 05/2023 | Bank | Senior Cyber-Sicherheitsberater (extern)

• Beratung und Anleitung der Systemverantwortlichen bei der Erstellung und Weiterentwicklung von IT-Sicherheitskonzepten
• Koordination und Nachverfolgung der Behebung von Findings aus Prüfungen und Audits
• Beratung bei der Umsetzung regulatorischer Anforderungen an die Informationssicherheit

10/2023 – 02/2024 | Fintech | Projektmanager (extern)

• Projektmanagement zur Schließung verschiedener Audit-Gaps im Bereich Informationssicherheit
• Konzeptioneller Aufbau und Implementierung eines Informationssicherheitsmanagementsystems auf Basis der ISO/IEC 27001
• Erstellung und Weiterentwicklung von ISMS-Dokumenten und -Prozessen

Zur Erzielung von Einsparungen und Optimierung der Compliance wurden Apps in Abgleich mit den Zuordnungen des Identity Managements neu strukturiert, Einschränkungen definiert und vor allem Kosten aus einer Übernutzung reduziert. Die Kommunikation mit den Stakeholdern, Validierung der Berechtigungen mit Anwendern und technische Umsetzung in den Modulen SAP FI/CO und Sourcing & Procurement ergab umfangreichen Mehrwert für die Gruppe. Hinzu kommt entsprechende Dokumentation für die Wirtschaftsprüfung.

• Transition Strategische Geschäftsentwicklung: Produkt vor Kunde in <4 Monaten statt 10
• Transition Strategische Geschäftsentwicklung: Reduktion der Entwicklungskosten zum Plan: 40% (-250 TEUR)
• Executive Mentor & Coach für CEO & CPO: CEO zu beschäftigt, um sich zu verbessern – Portfolio, Unternehmensstruktur und Strategie
• Executive Mentor & Coach für CEO & CPO: PO→CPO-Transition für die Übernahme der Produktgesamtverantwortung Lohnpulse
• Interim CIO: GU-Dienstleister-Scouting / Onboarding / Handover zu CPO
• Interim CIO: Transition MVP→betreibbares Produkt durch CPO

Branche: Finanzen/Versicherungen

• Sparringspartnerin des Datenschutzteams
• Übernahme von Aufgaben aus dem Datenschutz-Backlog
• Aktualisierung der Datenschutzprozesse
• Aktualisierung der TOM
• Überarbeitung von Musterdokumenten (u. a. AV-Vertrag, Datenschutzrichtlinien)
• Durchführung von Audits (Berechtigungskonzept, SW-Entwicklung)
• Übernahme von Aufgaben aus dem Tagesgeschäft
• Bearbeitung von Datenschutzmeldungen
• Durchführung von SWA und DSFA
• Prüfung von AV-Verträgen
• Konzeption und Durchführung von Schulungen
• Standard-Datenschutzmodell
• KI und Datenschutz

Ergebnis: Datenschutzteam kompetent unterstützt, Datenschutz-Backlog abgearbeitet, Schulungen erfolgreich durchgeführt

Strategische Beratung beim Aufbau und der Härtung von ISMS-Strukturen (ISO 27001 / BSI IT-Grundschutz) sowie Einarbeitung, Gap-Analysen und Vorbereitung der IT-Organisation auf DORA-Anforderungen (IKT-Drittparteienrisiko) und NIS2-Compliance. Auditierung von Compliance-Vorgaben im regulierten Umfeld.

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.