ISO 27005 Experten in Deutschland

• Durchführung verschiedener Endkundenprojekte im Bereich Server- und Netzwerk-Infrastruktur in Time, Quality und Budget.
• Projekt 1: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einem Autozulieferer.
• Projekt 2: Umzug der File-Services von dedizierten Servern an 5 Außenstandorten in ein zentrales Managed File Service inkl. DHCP, Directory- und Print-Services sowie Decommissioning der alten Domain Controller.
• Projekt 3: Erneuerung der Netzwerk-Infrastruktur in der Zentrale und an Außenstandorten eines Logistikunternehmens sowie Überführung der LAN-, WLAN- und Firewall-Umgebungen in einen Managed Network Service.
• Projekt 4: Network Renewal, Erneuerung der Core- und Access-Switches in der Zentrale eines Medizintechnikunternehmens und Überführung in einen Managed Network Service.
• Projekt 5: Firewall-Erneuerung, Ablösung einer ASA-Firewall durch eine Fortinet-Firewall bei einer Stadt.
• Umgebung: ASA- und Fortinet-Firewalls, Cisco-Netzwerkkomponenten, ITSM Heat/Ivanti, Confluence.

• Erstellung einer vollständigen zweisprachigen (DE/EN) Sicherheits- und Notfalldokumentation: Business Continuity Plan / Disaster Recovery Plan, Incident Response Plan v2.0 mit vier fallspezifischen Playbooks (PICERL), Zugriffskontrollrichtlinie, Vulnerability Management Policy, Business Resilience Programme, Risk Governance Plan
• Konsolidierung zu einem integrierten Notfallhandbuch (12 Kapitel) mit Sofort-Checklisten für sechs Notfallszenarien, priorisierter Maßnahmentabelle und formaler Freigabestruktur
• Aufarbeitung eines Penetrationstest-Berichts (Greenbone) mit vollständiger Remediation aller Findings und formaler Risikoakzeptanz eines Restrisikos mit dokumentierter kompensierender Kontrolle
• Prüfung und Dokumentation der NIS2- und HinSchG-Anwendbarkeit einschließlich rechtlicher Begründung der Nicht-Betroffenheit

Als Council Member bei GLG (Gerson Lehrman Group), dem weltweit führenden Expertennetzwerk, biete ich Organisationen, Investmentgesellschaften und Beratungshäusern fachliche Expertengespräche auf Abruf – überall dort, wo spezialisiertes Wissen in Informationssicherheit, IT-Governance und regulatorischer Compliance gefragt ist.

Meine Einschätzungen basieren auf langjähriger Praxiserfahrung in stark regulierten Branchen: vom Aufbau und der Implementierung von Informationssicherheitsmanagementsystemen (ISMS nach ISO 27001) über IT-Risiko- und Schwachstellenmanagement und Business Continuity (ISO 22301) bis hin zur praktischen Umsetzung europäischer Regulatorik wie DORA, NIS2, BAIT und dem Cyber Resilience Act (CRA).

Die Zusammenarbeit erfolgt projekt- und gesprächsbasiert. So gebe ich Entscheiderinnen und Entscheidern eine anwendungsnahe, aus der Praxis gewonnene Perspektive auf Cyber-Risiken, Security Governance und operative Resilienz – genau dann, wenn sie gebraucht wird.

• Unterstützung bei der Implementierung der Anforderungen des § 8a des BSI-Gesetzes für Kritische Infrastrukturen.
• Systematische Vorbereitung und Begleitung von internen und externen Audits, Auflösung von vorherigen Abweichungen (HA, NA, VP)
• Umsetzung der spezifischen Anforderungen des IT-Sicherheitskatalogs
• Entwicklung von Trainings, Erstellung von Run Books und Durchführung von Assessments zur Sicherstellung der operativen Wirksamkeit.

• Biete deutschlandweit Beratungsleistungen im privaten und öffentlichen Sektor an
• Berate zu Informationssicherheits-Managementsystemen, IT-Grundschutz, KRITIS-Compliance, TISAX, Business Continuity und Krisenmanagement
• Unterstütze bei der Einführung von Richtlinien, Risikomanagement-Methoden, Asset-Registern und Lieferantenmanagement
• Führe interne Audits, Schulungsworkshops und die Vorbereitung auf Audits durch

• Aufrechterhaltung einer Compliance-Rate von 95 % für über 300 Anbieter durch Lieferantenrisikobewertung.
• Betreuung des GRC für die Märkte Irland, Griechenland und Ägypten.
• Durchführung von DPIA für Lieferanten.
• Zusammenarbeit mit verschiedenen Stakeholdern, darunter Lieferanten, interne Teams und externe Partner, um die Einhaltung von Cybersicherheitsstandards und -richtlinien sicherzustellen.
• Unterstützung bei Cybersicherheitsvorfällen, um geeignete Maßnahmen zur Risikominderung zu ergreifen und die Daten des Unternehmens zu schützen.
• Mitwirkung an der kontinuierlichen Verbesserung von Cybersicherheitsprozessen und -praktiken bei Vodafone, um dem Unternehmen zu helfen, neuen Bedrohungen und Schwachstellen einen Schritt voraus zu sein.

• Beratung zur Aufwandabschätzung VDA ISA / TISAX Zertifizierung
• Durchführung eines 2-tägigen Workshops zuzüglich Vor- und Nachbereitungen
• Skills: TISAX 5.1, ISO 27001:2022, Audit, Informationssicherheit, Beratung, Moderation, Präsentation

• ISMS und Sicherheitskonzept E-Akte Fabasoft nach BSI 200-1/2 u.a.
• Strukturanalyse (A.1), Modellierung (A.3) sowie Grundschutzchecks (A.4)
• Vorbereitung OWASP-Penetrationstest, Incident-Response-Plan, Risikoanalyse
• DevOps Bitbucket, ARC42, IAM Keycloak/AD, Mandantenkonzept, DMS, SOC
• Notfallvorsorgekonzept BSI 200-4, Betriebs- und Servicekonzept (BSK), ITSM

• Beratung und Unterstützung bei Erfassung von Anforderungen an die Informationssicherheit (IT-SIG 2.0, KRITIS, TISAX, Branchenstandards, ISO 27001, A-960/1)

• Tätigkeit als Datenschutzbeauftragter und Auditor sowie Information Security Auditor

• Durchführung von Mitarbeiterschulungen

• Fortschreibung von Risikoanalysen mit Risikobehandlung

• Konzeptionierung von Informationssicherheitskonzepten auf Basis BSI IT-Grundschutz, KRITIS, ISO 27001, A-960/1 und TISAX

• Ermittlung von Informationssicherheitsanforderungen an IT-Systeme (WAN, LAN, Clouds) und Begleitung der Umsetzung

• Administration des ISMS mittels Verinice und SAVe

• Integration der Sicherheitskonzepte in bestehende Managementsysteme nach ISO 9001 und ISO 27001

• Prozessmanagement und -modellierung nach ITIL

• Managementberatung für Integration eines ISMS in integrierte Managementsysteme

• Beratung zu Datenschutz (DSGVO, BDSG)

• Planung und Durchführung von Datenschutzaudits

• Konzeptionierung von Risikomanagementprozessen und -methodiken nach ISO 27005, ISO 31000 und BSI 200-3

• Entwicklung und Aufbau von Schulungsprogrammen für Mitarbeitende

• Eigenständige Erarbeitung von Richtlinien, Vorgaben und Konzepten zum IKT-Risikomanagement und Informationssicherheit
• Beratung der Fachbereiche zu Fragen des IKT-Risikomanagements und der Informationssicherheit
• Weiterentwicklung des IKT-Risikomanagementrahmens, der die Identifikation, Bewertung und Steuerung von IKT-Risiken regelt
• Evaluierung des Managementsystems für Informationssicherheit (ISMS) inklusive Anpassung an neue Herausforderungen
• Durchführung von Risikoanalysen, um potenzielle IKT-Risiken sowie Risiken für die Informationssicherheit des Metzler-Konzerns zu identifizieren und zu bewerten
• Beratung bei der Definition und Implementierung von Maßnahmen zur Risikominimierung und Verbesserung der Resilienz der IKT-Systeme
• Beratung bei der Sicherstellung der Compliance mit relevanten internen und externen regulatorischen Anforderungen (MaRisk, DORA, BAIT, BSI IT-Grundschutz, ISMS, ISO 27001, ISO 42001, ISO 27005, BCM ISO 22301)
• Beratung bei bereichsinternen und übergreifenden Projekten (SAP DORA Compliance, Target2, §8a-BSI-Gesetz)

• Prüfung der CIS-Nachweise der SOC-Anbieter T-Systems Austria und Cancom GmbH
• Abgleich der Anforderungen von VAIT, ISO/IEC 27002 und CIS 7.0 für die IT-Neuausrichtungsstrategie der deutschen Tochtergesellschaften in Threat Intelligence und Zero Trust
• Überprüfung der SIEM-Nachweise, Berichterstattung, Incident-Management und Sicherheitsverletzungen
• Überprüfung des IT-Asset-Managements hinsichtlich ITSCM- und BCM-Prozesse
• Sensibilisierung der Mitarbeiter und Compliance-Schulungen mit Fokus auf CEO-Fraud
• Beratung des Chief Information Security Officers

• Aufbau eines Informationssicherheitsmanagementsystems für den gesamten Konzern
• Begleitung von 2 KRITIS-Tochtergesellschaften