Was macht ein Information Security Manager?
Im Mittelpunkt steht das Informationssicherheits-Managementsystem, kurz ISMS. Information Security Manager legen fest, welche Werte im Unternehmen zu schützen sind, führen Risikoanalysen durch und leiten daraus Maßnahmen ab. Sie schreiben und pflegen Sicherheitsrichtlinien, etwa zu Zugriffsrechten, Passwörtern, Datensicherung oder dem Umgang mit Dienstleistern. Ein großer Teil der Arbeit ist Abstimmung: mit der IT-Abteilung über technische Maßnahmen, mit dem Datenschutzbeauftragten, mit Fachabteilungen und mit der Geschäftsführung, der regelmäßig über die Sicherheitslage berichtet wird. Hinzu kommen die Vorbereitung und Begleitung interner und externer Audits, die Bewertung von Lieferanten, Notfall- und Krisenpläne sowie Schulungen und Phishing-Kampagnen für Beschäftigte. Bei Sicherheitsvorfällen koordinieren sie die Aufarbeitung, die Dokumentation und gegebenenfalls Meldungen an Behörden. Die Rolle ist eher organisatorisch und steuernd als technisch; Firewalls konfigurieren oder Angriffe analysieren gehört meist zu anderen Stellen, das Verständnis dafür wird aber erwartet.
Wie wird man Information Security Manager?
Eine geschützte Ausbildung gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, teils auch ein anderes Studium mit späterer Spezialisierung. Häufig kommen Quereinsteiger aus der Systemadministration, der IT-Revision, dem Datenschutz oder der Unternehmensberatung. Einen hohen Stellenwert haben Zertifikate: ISO 27001 Foundation, Lead Implementer oder Lead Auditor, IT-Grundschutz-Praktiker des BSI, CISM oder CISSP. Für erfahrene Fachkräfte aus angrenzenden IT-Berufen ist der Wechsel über solche Lehrgänge realistisch, für Berufsanfänger ohne IT-Hintergrund dagegen schwer.
Was der Beruf verlangt
Die Arbeit ist von Dokumentation geprägt: Richtlinien, Risikoregister, Nachweise für Auditoren. Wer lieber technisch tüftelt, empfindet das oft als zäh. Information Security Manager müssen Maßnahmen durchsetzen, die Abläufe verlangsamen oder Geld kosten, und stoßen dabei auf Widerstand in Fachabteilungen. Sie tragen Verantwortung, ohne selbst über Budgets zu entscheiden. Vor Audits und Zertifizierungen steigt der Termindruck deutlich. Bei einem Sicherheitsvorfall sind kurzfristige Einsätze außerhalb der normalen Arbeitszeit möglich, in manchen Unternehmen gibt es dafür Rufbereitschaft. Die Regelwerke ändern sich laufend, sodass regelmäßige Weiterbildung zum Beruf gehört.
Aussichten
Die Nachfrage ist hoch und wächst. Die NIS2-Richtlinie, die Finanzmarktvorgabe DORA und Anforderungen von Kunden und Versicherern verpflichten deutlich mehr Unternehmen als früher zu einem nachweisbaren Sicherheitsmanagement, auch im Mittelstand. Fachkräfte mit Auditerfahrung und Zertifikaten sind knapp. Entwicklungswege führen zum Chief Information Security Officer, in die Beratung, in die Tätigkeit als zertifizierter Auditor oder in angrenzende Felder wie IT-Risikomanagement und Business Continuity Management. Auch die Selbstständigkeit als externer Informationssicherheitsbeauftragter für kleinere Unternehmen ist verbreitet.