29.08.2026 aktualisiert
100 % verfügbar
IT Security Consultant
Sieverstedt, Deutschland
Weltweit
Mittlere ReifeÜber mich
Senior Information Security & GRC Consultant mit 10+ Jahren Erfahrung in regulierten Unternehmen. Ich verbinde strategische Security Governance mit pragmatischer Umsetzung – als Interim CISO, Security Manager oder GRC-Experte für ISO 27001, NIS2, KRITIS und DORA.
Skills
ComplianceInformationssicherheitVulnerability ManagementInformationssicherheits-ManagementsystemSicherheitsberatung
Information Security & GRC Consultant | Interim Security Manager | Interim CISO
Freiberuflicher Information Security & GRC Consultant mit über 10 Jahren Erfahrung in Informationssicherheit, Cyber Risk Management und Compliance. Seit 2015 spezialisiert auf Unternehmen aus KRITIS-relevanten und regulierten Branchen, insbesondere Energieversorgung und Finanzwesen. Erfahrung in der Beratung von KMU, Mittelstand und Konzernen sowie in der Übernahme operativer und strategischer Security-Verantwortung.
Schwerpunkt ist die ganzheitliche Weiterentwicklung von Informationssicherheit – von Governance, Risk & Compliance und ISMS über regulatorische Anforderungen und Audits bis zur operativen Umsetzung von Security-Maßnahmen. Einsatz als Interim CISO, Interim Security Manager oder Senior Information Security Consultantabhängig von Aufgabenstellung und Verantwortungsumfang.
Kernkompetenzen:
- Information Security Governance & GRC: Aufbau und Weiterentwicklung von Security-Governance-Strukturen, Richtlinien, Prozessen, Kontrollsystemen und Management-Reporting
- ISMS: Aufbau, Implementierung, Betrieb und kontinuierliche Verbesserung von ISMS nach ISO/IEC 27001 und ISO/IEC 27019
- Risk Management: Security Risk Assessments, Risikoanalyse, Risikobehandlung, Risikoüberwachung, Gap- und Reifegradanalysen
- Compliance & Regulatory: Umsetzung und Integration von NIS2, KRITIS und DORA in bestehende Security- und ISMS-Strukturen
- Audit & Certification: Vorbereitung und Begleitung von ISO-27001-Zertifizierungen, Rezertifizierungen, internen und externen Audits sowie Compliance-Assessments
- Policy & Process Management: Prüfung, Erstellung und Optimierung von Informationssicherheitsrichtlinien, Security-Prozessen und Kontrollmechanismen
- Vulnerability Management: Konzeption und Aufbau von Vulnerability-Management-Programmen, Schwachstellenbewertung, Priorisierung und Steuerung der Remediation
- SOC / XDR / SIEM: Security Operations, Monitoring, Detection & Response, Incident-Handling, Use Cases, Detection Rules sowie Auswahl und Bewertung von SOC/XDR/SIEM-Lösungen und Providern
- Penetration Testing & Red Teaming: Planung, Koordination und Durchführung von Security Assessments, Penetration Tests und TIBER-basierten Threat-Led Penetration Tests (TLPT)
- Cyber Resilience: Weiterentwicklung von Security Controls, Incident Response, Business Continuity und organisatorischer Resilienz
- Provider & Service Management: Auswahl, Bewertung und Steuerung externer Security-Dienstleister einschließlich Anforderungsmanagement, Leistungsdefinition und Governance
Branchen- und Projekterfahrung: Energieversorgung / KRITIS, Finanzwesen und Mittelstand. Projekterfahrung u. a. für HSBC, EDEKA DIGITAL und ALTANA.
Arbeitsweise:
Strategisch und analytisch in der Konzeption, pragmatisch und umsetzungsorientiert in der operativen Realisierung. Sicher in der Kommunikation mit Geschäftsführung, Management, IT, Fachbereichen, Auditoren und externen Dienstleistern.
Erfahrung
Berufserfahrungmehr als 10 Jahre
Freelancer seit2015
Sprachen
DeutschMutterspracheEnglischgut
Projekthistorie
Anforderungsanalyse & Scoping:
Erhebung der technischen und regulatorischen Anforderungen, an eine automatisierte Schwachstellenanalyse für IT-, Cloud- und OT-Infrastrukturen.
Service-Model-Definition:
Festlegung der Anforderungsprofile für Tooling (SaaS/On-Prem) und Operating Model (Managed Detection & Response / Co-Managed Service vs. In-House).
Ausschreibung & Vendor Selection (RFI/RFP):
Erstellung marktüblicher Ausschreibungsunterlagen, Definition von Bewertungs-KPIs und Durchführung des RFP-Prozesses für führende Schwachstellenscanner und Service Provider.
Proof of Concept (PoC) & Benchmarking:
Konzeption und Leitung technischer PoCs zur Bewertung von Erkennungsrate, False-Positive-Quote, Risk-Scoring, Integrationen (SIEM/Ticketing) und Reportings.
SLA- & Vertragsgestaltung:
Bewertung der Provider-Qualität (SLA, MTTR, Analysten-Expertise) sowie Mitgestaltung der Leistungsbeschreibungen in Zusammenarbeit mit Einkauf und Legal.
Roadmap & Einbindung:
Erarbeitung der Integrations-Roadmap in bestehende Incident- & Patch-Management-Prozesse sowie Präsentation der Entscheidungsvorlage vor dem CISO / Board.
Kernaufgaben & Verantwortungsbereiche
Governance & Strategie:
Definition des ISMS-Scope, Erstellung der Sicherheits-Leitlinie (Policy) und Etablierung der Rollen & Gremien (z. B. Information Security Board).
Gap-Analyse & Risikomanagement:
Durchführung der Soll-Ist-Analyse gegen ISO/IEC 27001 (Anhang A). Entwicklung des Risiko-Frameworks, Durchführung von Assessments und Erstellung des Risk Treatment Plans (RTP) sowie der Anwendbarkeitserklärung (SoA).
Richtlinien & Measures:
Konzeption praxisnaher Sicherheitsrichtlinien (Access Control, Incident Response, BCM) und Begleitung der technischen/organisatorischen Umsetzung mit IT und Fachbereichen.
Awareness & Change Management: Konzeption und Durchführung zielgruppenspezifischer Awareness-Schulungen und Simulationen zur Verankerung der Sicherheitskultur.
Internal Audit & Management Review:
Durchführung des internen Audits zur Wirksamkeitsprüfung und Vorbereitung/Steuerung der Managementbewertung mit der Geschäftsleitung.
Begleitung Zertifizierungsaudit:
Auswahl der Zertifizierungsstelle, Begleitung des Stage 1 & Stage 2 Audits als Hauptansprechpartner und Nachbereitung der Maßnahmen bis zur Zertifikatserteilung.