Was ich tue
Informationssicherheit ist kein Projekt. Sie ist eine Haltung.
Regulatorische Anforderungen entwickeln sich permanent weiter. NIS-2, DORA, KI-Governance – die Gesetze ändern sich, der Kern bleibt gleich: Unternehmen müssen wissen, was sie schützen, warum sie es schützen, und wer dafür verantwortlich ist.
Ich bringe diese Klarheit. Branchenübergreifend, auf strategischer Ebene, mit den Menschen im Mittelpunkt.
Meine Leistungen
Was Sie von mir erwarten können
01
Strategieberatung Informationssicherheit
Bevor Maßnahmen greifen können, braucht es Orientierung. Ich ermittle den Status quo, mache Risiken sichtbar und entwickle eine Roadmap, die zu Ihrem Unternehmen passt – nicht zur nächsten Norm.
→ Aufbau und Weiterentwicklung eines ISMS (ISO 27001 / BSI IT-Grundschutz)
→Umsetzungspflichten nach NIS-2: Scope-Analyse, Gap-Analyse, Maßnahmenplanung
→ DORA: Anforderungsinterpretation, technische und organisatorische Umsetzung
→ KI-Governance und KI-Sicherheit (ISO 42001)
→ Drittdienstleistersteuerung und Lieferkettenrisiken
→ Risikomanagement und Informationssicherheitskonzepte
Ergebnis: Sie wissen, wo Sie stehen und was Sie benötigen. Sie haben einen risikoorientierten Plan, auf den Sie vertrauen können.
02
Projektmanagement und Umsetzungsbegleitung
Strategie ohne Umsetzung ist Papier und Zeitverschwendung.
Ich übernehme Projektverantwortung, strukturiere Anforderungen, steuere Maßnahmen und sorge dafür, dass Fortschritte messbar und nachvollziehbar sind.
→ Anforderungsmanagement mit Fachabteilungen und Stakeholdern
→ Dienstleisterbewertung und -steuerung
→ Erstellung von Entscheidungsvorlagen für Führungsebene und Aufsichtsgremien
→ Moderation von Workshops mit internen Teams und externen Anbietern
→ Projektsteuerung im agilen und klassischen Umfeld
→ Berichterstattung und Kommunikation auf C-Level
Ergebnis: Ihr Projekt kommt ans Ziel – mit klarer Verantwortung, ohne Reibungsverluste im Tagesgeschäft.
03
Kommunikation und Verantwortungskultur
Strategie ohne Umsetzung ist Papier und Zeitverschwendung.
Ich übernehme Projektverantwortung, strukturiere Anforderungen, steuere Maßnahmen und sorge dafür, dass Fortschritte messbar und nachvollziehbar sind.
→ Entwicklung von Sicherheitskultur und Awareness
→ Vermittlung zwischen Fachbereichen, IT und Management
→ Sensibilisierung und Befähigung von Führungskräften und Teams
→ Aufbau von internen Sicherheitschampions
→ Klare Kommunikation komplexer Anforderungen an nicht-technische Zielgruppen
Ergebnis: Sicherheit wird zur gemeinsam verstandenen Aufgabe - nicht zur Last einzelner.
Regulatorik & Themen
Womit ich arbeite
Informationssicherheit ist ein breites Feld. Die nachfolgende Übersicht zeigt, in welchen Themen ich nachgewiesene Erfahrung mitbringe. Aus Projekten, nicht aus Lehrbüchern.
NIS-2
Scope-Analyse, Gap-Analyse, Projektplan, Management-Kommunikation
DORA
Anforderungsinterpretation, technische Umsetzung, Stakeholder-Koordination
ISO 27001
Bedrohungsanalsye, ISMS Aufbau, Audits (intern/extern), Projektmanagement
KI Governance (ISO 42001)
AI Security, Dienstleisterbewertung, Governance-Prozesse
Drittdienstleistersteuerung
Anforderungsdefinition, Risikoeinschätzung, Vertragsbegleitung
§ 390 SGB-V / Healthcare
Informationssicherheit im Gesundheitswesen, PVS und DiGA Beratung, Datenschutz
Aus der Praxis
Projekte, die für sich sprechen
Aus Gründen der Vertraulichkeit nenne ich keine Kundennamen. Die folgenden Projektbeschreibungen sind anonymisiert und geben einen realistischen Einblick in meine Arbeitsweise.
Transport & Logistik
Berater
Q1 2026
NIS-2 im Transportwesen
Ein internationales Unternehmen mit EU-Muttergesellschaft und mehreren Tochtergesellschaften stand vor der Frage: Gilt NIS-2 für uns – und wenn ja, in welchem Umfang? Weder intern noch auf Führungsebene gab es ein klares Bild.
Analyse der Umsetzungspflichten für die gesamte Unternehmensgruppe, Untersuchung technischer und prozessualer Abhängigkeiten in dezentralen Einheiten, Erarbeitung eines Projektplans für Gap-Analyse und Maßnahmen.
Der zuständige Sicherheitsbeauftragte kann Ziele und Risiken gegenüber der Geschäftsführung klar kommunizieren. Ein realistischer Projektplan liegt vor, der die Erwartungen des Managements adressiert.
Finanzdienstleistungen
Project Owner
Q1 2024 – Q3 2025
Regulatorische Anforderungen im Bankensektor
Starre regulatorische Vorgaben ließen sich im Tagesgeschäft nicht flexibel genug anwenden. Produktverantwortliche in verschiedenen Abteilungen bekamen widersprüchliche Aussagen zu Compliance-Anforderungen.
Entwicklung operativer 1st Line-Richtlinien für IT-Sicherheitsfragen, Anforderungsmanagement mit Fachabteilungen, Mapping auf interne und externe Regularien, Vorstellung von Maßnahmen gegenüber CISO, interner Revision und Vorstand.
Aus starren Vorgaben wurde ein dynamisch anpassbarer Prozess. Kryptografische Verfahren sind transparent dokumentiert, Sicherheitsbewertungen standardisiert – Produktverantwortliche erhalten klare Vorgaben ohne Interpretationsspielraum.
Finanzdienstleistungen
Operativer Stakeholder IT-Sicherheit
Q1 2024 – Q3 2025
DORA-Implementierung in einem Finanzinstitut
Die DORA-Umsetzung war auf mehrere Abteilungen verteilt, ohne einheitliche Projektverantwortung. Regulatorische, technische und organisatorische Anforderungen wurden nicht koordiniert.
Vertretung der Interessen der IT-Sicherheitsabteilung, Kommentierung der RTS zu DORA, Interpretation rechtlicher Anforderungen für das Governance-Team, Durchführung von Gap-Analysen, Prozessmodellierung.
Alle eingereichten Kommentare zu den RTS wurden ohne Ausnahme akzeptiert. Die DORA-Umsetzung liegt heute in der Verantwortung eines zentralen Projektmanagements.
Finanzdienstleistungen
Operativer Stakeholder
Q1 2024 – Q3 2025
KI-Governance im Finanzsektor
KI wurde in verschiedenen Fachbereichen eingesetzt – ohne einheitliches Verständnis der Sicherheitsanforderungen und ohne klare Governance-Strukturen.
Anforderungsmanagement mit internen KI-Nutzern, Definition von Informationssicherheits- und KI-Sicherheitsanforderungen, Bewertung externer Dienstleister, Moderation von Stakeholder-Workshops, Gestaltung von Freigabeprozessen.
Alle operativen Abteilungen teilen ein gemeinsames Grundverständnis für KI-Sicherheit. Sicherheitsmaßnahmen wurden vorausschauend geplant – noch bevor regulatorische Anforderungen abschließend definiert waren.
Gesundheitswesen
Projektleiter / Geschäftsführungsvertretung
Q1 2022 – Q4 2023
Digitalisierung in einem medizinischen Versorgungszentrum
Ein medizinisches Versorgungszentrum wollte veraltete IT-Systeme ersetzen, Fördermittel beantragen und gleichzeitig Informationssicherheit und DSGVO-Konformität sicherstellen – ohne eigene IT-Kapazität.
Gesamtprojektleitung, Evaluation und Auswahl des Patientenmanagementsystems, Anforderungsworkshops mit Mitarbeitenden und Anbietern, Begleitung der Systemumstellung, Etablierung von Informationssicherheitsmaßnahmen, Fördernachweis.
Ein Anbieter wurde ausgewählt, der nicht nur technisch, sondern auch kulturell passt. Redundanzen in Prozessen und Datenhaltung wurden eliminiert. Die DSGVO-Konformität ist dauerhaft sichergestellt.
Finanzdienstleistungen
Projektleiter
Q2 2024 – Q3 2025
Security Tool Konsolidierung im Finanzsektor
Eine gewachsene Sicherheitssoftwarelandschaft entsprach nicht mehr den aktuellen Anforderungen. Verschiedene Security-Teams hatten unterschiedliche Prioritäten, kein gemeinsames Bewertungsframework.
Bestandsaufnahme und Gap-Analyse der bestehenden Sicherheitssoftware, Anforderungsmanagement mit allen Security-Teams, Definition von KPIs, Erstellung einer gewichteten Auswahlmatrix, Moderation von Workshops mit Anbietern.
Konsens unter allen Stakeholder-Teams über Anforderungen und potenzielle Anbieter. Eine priorisierte Entscheidungsvorlage wurde dem Projektsponsor zur Verfügung gestellt.
Ihr Thema ist hier nicht dabei?
Informationssicherheit ist vielfältig. Wenn Sie eine spezifische Anforderung haben, sprechen Sie mich an und sage Ihnen direkt, ob und wie ich helfen kann. Ich liebe Herausforderungen.