Informationssicherheit & GRC – ISMS nach ISO 27001, NIS2, DORA, Cyber Resilience Act, ISB

1/2025 – 7/2026

Fachliche Architektur und Anforderungsmanagement einer mandantenfähigen SaaS-Plattform, mit der über 750 Banken der genossenschaftlichen FinanzGruppe ihre IT-regulatorischen Pflichten umsetzen (DORA, BAIT, MaRisk, ISO 27001). Schnittstelle zwischen Fachbereichen, Entwicklungsdienstleistern und den angeschlossenen Banken.

- Requirements Engineering: User Stories, Epics, Fach- und Lastenkonzepte, Abnahmekriterien
- Schnittstellen: REST-API- und JSON/CSV-Spezifikationen für den Data Integration Hub (ITSM, OpRisk)
- Workflows: BPMN-Prozesse mit Eskalationen, Vier-Augen-Prinzip und Quality Gates in den Modulen ISMS, BCM und Notfallmanagement
- Bewertungslogik: Datenmodelle für IKT-Assets und Prozesse, Vererbung des Schutzbedarfs, Risikoberechnung
- IT-Notfallmanagement (BIA, RTO/RPO) und DORA-konformes IKT-Vorfallmanagement
- Mandantenfähiges Rollenmodell mit Funktionstrennung über mehr als 30 Rollen
- Steuerung externer Dienstleister im agilen Umfeld, Defect-Management über Jira

Ergebnis: Regulatorische Anforderungen wurden nicht als Dokumente, sondern als prüffeste Bewertungslogik mit Audit-Trail direkt in der Plattform umgesetzt – nachvollziehbar für Fachbereich, Revision und Aufsicht.

Compliance management, Informationssicherheit, ISO / IEC 27001, It-Governance, Jira, Requirements Engineer, Requirements Management

8/2024 – 12/2024

Operative Steuerung und Weiterentwicklung der Cyber-Security- und IT-Risk-Prozesse der Bank.

- Berichte für das IT-Security Control Board und den CISO, inkl. Ergebnissen von Kontrolltests und Nachverfolgung von Sicherheitsmaßnahmen
- Planung und Steuerung von IT-Security-Projekten: Ziele, Zeitpläne, Ressourcen, Stakeholder
- Unterstützung bei der DORA-Umsetzung: Risikoanalyse, Maßnahmen zur operativen Resilienz, Workflows für das Vorfallmanagement
- Schwachstellenmanagement: regelmäßige Nessus-Scans mit Tenable SC, SolarWinds IPAM und CyberArk, Auswertung mit priorisierten Handlungsempfehlungen

Compliance management, Cyber Security, It-Governance, IT Sicherheit (allg.), Risikomanagement

7/2023 – 2/2024

Beratung von Finanzinstituten und Unternehmen zur europäischen Cyber- und IT-Regulatorik – mit eigens entwickelten Analyse- und Bewertungswerkzeugen statt reiner Gutachten.

- DORA-Tool: Checklisten und Bewertungs-Dashboards, die bestehende BAIT-, VAIT- und ISO-27001-Maßnahmen auf DORA abbilden
- DORA-Informationsregister: Python-Webanwendung auf AWS für den Datenaustausch nach den DORA-ITS
- NIS2-Tool: Betroffenheit und Compliance-Status nach der NIS2-Richtlinie
- CRA-Tool: Selbstbewertung nach dem Cyber Resilience Act mit automatisierten Checklisten
- Dashboards, die Compliance-Status und Handlungsbedarf für das Management sichtbar machen

Informationssicherheit, Python, Amazon Web Services (AWS), Compliance management, ISO / IEC 27001, Risikomanagement