Was macht ein Consultant Informationssicherheit?
Im Mittelpunkt steht die organisatorische Seite der Sicherheit, weniger die technische Abwehr einzelner Angriffe. Consultants analysieren, wo ein Unternehmen steht, etwa in einer Gap-Analyse gegen ISO 27001, den BSI IT-Grundschutz oder branchenspezifische Vorgaben wie TISAX in der Automobilindustrie oder DORA im Finanzsektor. Sie führen Risikoanalysen durch, schreiben Sicherheitsleitlinien, Richtlinien und Notfallkonzepte, definieren Rollen und Verantwortlichkeiten und begleiten den Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Dazu kommen Workshops mit Fachabteilungen, Interviews mit Administratoren, Schulungen für Beschäftigte und die Vorbereitung auf Zertifizierungsaudits. Manche Consultants übernehmen als externe Informationssicherheitsbeauftragte dauerhaft diese Funktion für mehrere Kunden. Durch die NIS2-Umsetzung sind viele Unternehmen neu in der Pflicht, was die Arbeit stärker in Richtung Regulatorik verschiebt. Ein großer Teil des Alltags besteht aus Dokumentation, Abstimmung und dem Nachhalten offener Maßnahmen.
Wie wird man Consultant Informationssicherheit?
Der übliche Weg führt über ein Studium der Informatik, Wirtschaftsinformatik, IT-Sicherheit oder eines verwandten Fachs. Quereinstieg ist verbreitet: Systemadministratoren, IT-Auditoren, Datenschutzfachleute oder Mitarbeitende aus Revision und Risikomanagement wechseln häufig nach einigen Berufsjahren in die Beratung. Eine abgeschlossene Ausbildung zum Fachinformatiker mit Berufserfahrung kann ebenfalls reichen. Entscheidend sind in der Praxis Zertifizierungen wie ISO 27001 Lead Implementer oder Lead Auditor, BSI IT-Grundschutz-Praktiker, CISM oder CISSP. Viele Arbeitgeber finanzieren diese Nachweise nach dem Einstieg. Für Projekte bei Behörden oder in der kritischen Infrastruktur wird oft eine Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz verlangt.
Was der Beruf verlangt
Die Arbeit ist textlastig und kleinteilig. Wer lieber technische Probleme löst als Richtlinien formuliert und Verantwortliche an Fristen erinnert, ist hier oft unzufrieden. Gleichzeitig braucht es genug technisches Verständnis, um mit Administratoren auf Augenhöhe über Netzsegmentierung, Berechtigungen oder Backups zu sprechen. Gefragt sind Durchsetzungsvermögen und Geduld, denn Sicherheitsmaßnahmen stoßen in Fachabteilungen häufig auf Widerstand. Vor Audits und gesetzlichen Stichtagen entsteht deutlicher Termindruck. In Beratungshäusern kommen Auslastungsziele und Reisen zu Kunden hinzu, mitunter mit Übernachtungen. Die Regelwerke ändern sich laufend, regelmäßige Weiterbildung gehört deshalb fest zum Beruf.
Aussichten
Die Nachfrage ist hoch und dürfte es bleiben. NIS2, DORA, der Cyber Resilience Act und steigende Anforderungen von Versicherungen und Geschäftspartnern zwingen zahlreiche Unternehmen, erstmals ein ISMS aufzubauen. Fachkräfte mit Auditerfahrung und anerkannten Zertifikaten sind knapp. Entwicklungswege führen zum Senior oder Principal Consultant, in die Projekt- oder Teamleitung, in die Rolle eines Chief Information Security Officer auf Unternehmensseite oder in die Selbstständigkeit als freiberuflicher Berater oder Auditor. Auch ein Wechsel in Zertifizierungsstellen oder zu Behörden ist möglich.