ISO 22301 Experten in Deutschland

Als einziges großes integriertes Energieunternehmen in Deutschland deckt EnBW die gesamte Wertschöpfungskette ab – von der Energieerzeugung über die Verteilung bis hin zu den Kunden. Das Unternehmen baut seine erneuerbaren Energiequellen aus, setzt sich für einen sozialverträglichen Kohleausstieg ein und treibt Schlüsseltechnologien wie die Nutzung von grünem Wasserstoff voran. Eine schnelle Energiewende und das Erreichen der Klimaneutralität bis 2035 haben für EnBW Priorität.  Entwicklung und Implementierung einer ganzheitlichen Prozesssicht, die sowohl technische als auch organisatorische Aspekte berücksichtigt  Sicherstellung der E2E-Steuerung aller IAM-bezogenen technischen Services  Etablierung klarer Verantwortlichkeiten und Zuständigkeiten innerhalb der IAM-Landschaft  Zusammenarbeit mit verschiedenen Abteilungen zur Ermittlung und Optimierung einer ganzheitlichen Architektur sowie als Single Point of Contact (SPoC) für die Informationssicherheit  Einführung und Überwachung von Governance-Richtlinien zur Sicherstellung von Compliance und Sicherheit  Kontinuierliche Verbesserung der IAM-Prozesse und -Systeme durch regelmäßige Audits und Bewertungen der Services  Teilnahme an externen Audits zu Prozessen im Rahmen der offiziellen Audits nach ISO-Normen  Weiterentwicklung der Richtlinie zur Festlegung administrativer Vorgaben und Abläufe sowie deren Abstimmung mit den Verwaltungsbereichen  Konzeptionelle Weiterentwicklung des KPI-Systems zur Messung der Prozessqualität

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.

Aufbau Compliance‑Abteilung & DORA‑Operationalisierung

• Aufbau einer vollständigen Compliance‑Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI‑Agenten zur Automatisierung:
• Auswertung von Due‑Diligence‑Fragebögen inkl. Risikoeinstufung
• KI‑gestützte Vertragsanalyse (DORA/MaRisk‑Konformität)
• Monitoring externer Datenquellen (Cyber‑Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko‑ und Maßnahmenregisters
• Erstellung von GAP‑Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs‑Informationsregisters
• Nutzung eigener TPRM‑Frameworks, Checklisten und Prozessmodelle

Aufbau Compliance‑Abteilung & DORA‑Operationalisierung

• Aufbau einer vollständigen Compliance‑Organisation nach DORA
• Entwicklung und Operationalisierung der SfO
• Einsatz von KI‑Agenten zur Automatisierung:
• Auswertung von Due‑Diligence‑Fragebögen inkl. Risikoeinstufung
• KI‑gestützte Vertragsanalyse (DORA/MaRisk‑Konformität)
• Monitoring externer Datenquellen (Cyber‑Vorfälle, Newsfeeds)
• Aufbau eines dezentralen Risiko‑ und Maßnahmenregisters
• Erstellung von GAP‑Analysen und Ableitung von Maßnahmen
• Aufbau und Pflege des Auslagerungs‑Informationsregisters
• Nutzung eigener TPRM‑Frameworks, Checklisten und Prozessmodelle
• Projektcontrolling - Darstellung und strukturierte Messung der erreichten Projektziele im Rahmen des Management Reportings.
• Gesamtverantwortung für den Aufbau einer Compliance-, Governance- und Risk-Organisation
• Aufbau eines integrierten GRC-Modells und Executive-Reporting für den Vorstand.

Unterstützung für Transformationsprojekte:

• Fachkundige CTO- und Unternehmensarchitektur-Beratung für mehrere kurzfristige Transformationsprojekte, um messbare Verbesserungen bei Projektergebnissen und der technischen Geschäftsausrichtung sicherzustellen.
• Unterstützung strategischer IT-Initiativen für vielfältige Kunden bei der digitalen Transformation und Optimierung der Technologieabläufe, um Geschäftswert und operative Effizienz zu steigern.

Technologieunternehmen

• Analyse der Anforderungen nach CRA
• Durchführung Management-Workshop
• Entwicklung von Handlungsempfehlungen

Ergebnis: Priorisierter CRA-Readiness-Fahrplan zur Konformität.

• Innovations-/Pilotprojekt eGesundheit Deutschland
• SaaS-Unternehmen aus dem Bereich Medien, NRW
• Sicherer Software Entwicklungszyklus, NRW
• BSI IT-Grundschutz Gutachten mehrerer Klinik

Carve-out-Projekt: Erstellung von Zertifizierungsstrategie, Umsetzungs- und Anforderungsplänen über mehrere Normen hinweg — ISO/IEC 27001, ISO 9001, ISO 14001, ISO 22301, ISO/IEC 20000-1, BSI IT-Grundschutz und BSI TR- RESISCAN

• Normübergreifende Bestandsaufnahme und Risikobewertung
• Abstimmung mit abteilungsübergreifenden Stakeholdern: ISB, Geschäftsleitung, Zertifizierungsstellen, Recht und Datenschutz
• Beratung im Bereich Informationssicherheit, GRC und IT-Prüfung

• Der Kunde befindet sich in einer umfassenden Transformation. Alle SAP-ECC-Landschaften weltweit werden auf SAP S/4HANA migriert, mit dem Ziel, weltweit ein Standard-Template einzuführen.

• Im Rahmen des Programms wird auch das Migrations- und Modernisierungsprogramm „RISE with SAP“ berücksichtigt, das möglicherweise die Migration der Landschaften ausgewählter Länderinstallationen in die SAP Private Cloud vorsieht.

• Auf Stakeholderseite erstreckt sich die Berichtslinie des Programms bis zum Vorstand des Unternehmens und des Implementierungspartners.

• Die ERP-Landschaft von Fiserv Deutschland umfasst derzeit mehrere nicht standardmäßige SAP-Tools und -Anwendungen, die die Funktionen der ECC-Umgebung erweitern und sich häufig in nachgelagerte Systeme integrieren lassen. Im Rahmen der Umstellung auf SAP S/4HANA ist es unerlässlich, die Kernfunktionalität, Integrationspunkte und Zukunftsfähigkeit dieser Anwendungen zu bewerten, um ihre Übereinstimmung mit der Zielarchitektur zu bestimmen.

• Der Schwerpunkt der Tätigkeit liegt auf der Bereitstellung von Expertenberatung und -bewertung, um Umfang, Strategie und Roadmap für die Umstellung des SAP-ECC-Systems von Fiserv Deutschland auf SAP S/4HANA zu definieren.

• Dabei werden die empfohlenen Best Practices von SAP befolgt und ein strukturierter Ansatz genutzt, um einen reibungslosen Übergang mit minimalen Unterbrechungen bei gleichzeitiger Maximierung des Geschäftswerts zu gewährleisten.

• Diese Bewertung bildet die Grundlage für eine erfolgreiche SAP-S/4HANA-Transformation und stellt die Übereinstimmung mit branchenüblichen Best Practices, die Einhaltung gesetzlicher Vorschriften und die zukünftige Skalierbarkeit sicher.

• Definition der Migrationsstrategie – Bewertung verfügbarer Übergangsansätze anhand von Geschäftszielen, technischer Machbarkeit und SAP Best Practices.

• Bewertung der technischen Bereitschaft – Durchführung einer Systemanalyse zur Bewertung von Kompatibilität, Auswirkungen von benutzerdefiniertem Code, Datenvolumenmanagement, Integrationspunkten und Infrastrukturbereitschaft für SAP S/4HANA.

• Analyse der Auswirkungen auf Geschäftsprozesse – Überprüfung der aktuellsten Geschäftsprozessdokumentation, um Umfang und Aufwand für die Implementierung der erforderlichen Funktionen in SAP S/4HANA zu definieren und Möglichkeiten zur Prozessoptimierung zu identifizieren.

• Roadmap für Nicht-SAP-Systeme und -Anwendungen – Bewertung von Drittanbieter- und Legacy-Anwendungen hinsichtlich ihrer Integration mit SAP S/4HANA und Empfehlung von Konsolidierungs-, Migrations- oder Ersatzstrategien.

• Bereitstellungs- und Implementierungsplanung – Definition eines stufenweisen Ansatzes für die Umsetzung, einschließlich Projektzeitplänen, Strategien zur Risikominimierung und wichtigen Meilensteinen, abgestimmt auf die Geschäftsprioritäten.

• Diese Transformation erfolgt stufenweise: Die Discovery-Phase führt zur Explore-Phase, die anschließend zur Design-Phase und schließlich zur Implementierung führt.

• Programmmanagement

• Änderungsmanagement

• Anforderungsmanagement

• Übergangsmanagement

• Stakeholder-Management

• Risikomanagement

• Umfassende Koordination

NIS2-Umsetzungsprojekt und ISMS-Aufbau nach IT-Grundschutz

Kommunalbetriebe, Anstalt des öffentlichen Rechts

• Analyse der aktuellen Compliance-Lage in Bezug auf die Anforderungen der NIS-Richtlinie (NIS-2, EU 2022/2555).
• Identifikation kritischer Infrastrukturen und Prozesse innerhalb der Organisation.
• Entwicklung eines Maßnahmenplans zur Erfüllung der NIS-Anforderungen.
• Durchführung einer Risikoanalyse gemäß BSI-Standard 200-3 als Grundlage für das Sicherheitskonzept.
• Erstellung eines individuellen Sicherheitskonzepts inklusive technischer und organisatorischer Maßnahmen nach BSI IT-Grundschutz.
• Vorbereitende Begleitung einer optionalen Zertifizierung nach BSI IT-Grundschutz.
• Anpassung bestehender sowie Entwicklung neuer Sicherheitsrichtlinien für Zugriffskontrollen, Incident Management und Datenschutz.
• Berücksichtigung kommunalspezifischer Vorgaben sowie Integration der Maßnahmen in die bestehende IT-Infrastruktur.
• Dokumentation der Ergebnisse und Erstellung prüfungsfester Nachweise für Audits.

Verwendete Tools, Sprachen, Frameworks: MS Office, Verinice, IT-Grundschutz (200-x), NIS-2 (EU 2022/2555), ISMS, AI-Act (EU 2024/1989)

• Erstellung von Leitlinien
• Durchführung von Business-Impact-Analysen (BIA), Bewertung von Risiken sowie Identifizierung zeitkritischer Geschäftsprozesse
• Prozessmanagement
• Erstellung von Notfallplänen und Krisenmanagementplänen, einschließlich Cyber-Response- und IT-Notfallplänen unter besonderer Berücksichtigung eines Cyberangriffs
• Durchführung von Awareness-Trainings
• Planung und Durchführung von Tests und Übungen
• Entwicklung maßgeschneiderter Lösungen zur Risikominimierung und Sicherstellung der Geschäftskontinuität

• Webinar zu Blackout - Brownout - Stromausfall - wie erkenne ich es und was kann ich tun?

• Unterstützung bei der Implementierung der Anforderungen des § 8a des BSI-Gesetzes für Kritische Infrastrukturen.
• Systematische Vorbereitung und Begleitung von internen und externen Audits, Auflösung von vorherigen Abweichungen (HA, NA, VP)
• Umsetzung der spezifischen Anforderungen des IT-Sicherheitskatalogs
• Entwicklung von Trainings, Erstellung von Run Books und Durchführung von Assessments zur Sicherstellung der operativen Wirksamkeit.

• ISO-27001-Implementierung & Audit-Readiness
• NIS2- & DORA-Compliance-Unterstützung
• Interim-/Teilzeit-CISO-Services
• IT-Risiko & Kontrollen (ITGC, SOX, COBIT, BAIT)
• M&A- und IT-Due-Diligence für Startups/Ventures
• Business-Continuity-Management (BCM, ISO 22301)
• Entwicklung von Cybersecurity-Frameworks (NIST, ISO, BSI)
• Beratung zu GRC-Tools (Archer, ServiceNow)

• Verantwortlich für Business Development, Vertrieb, Kooperationen und Marketing
• Projektmanagement und Business-Analyse für regulatorische und strategische Projekte
• Testmanagement
• Experte für Digitalisierungsstrategien
• Experte für neue EU-Vorschriften und Gesetzesänderungen
• Experte für kundenbezogene Projekte
• Umsetzung in der Vermögensverwaltung und im Bankenbereich