Das Berufsbild
Was macht ein Information Security Officer?
Der Information Security Officer, in deutschen Instituten meist Informationssicherheitsbeauftragter (ISB) genannt, gehört zur Steuerung und Kontrolle und arbeitet als zweite Verteidigungslinie. Die Funktion ist organisatorisch vom IT-Betrieb getrennt, damit niemand die eigenen Systeme kontrolliert. Zum Alltag gehören das Pflegen der Sicherheitsleitlinie und der nachgelagerten Richtlinien, Schutzbedarfsfeststellungen für Anwendungen, Risikoanalysen zu Informations- und Kommunikationstechnik, die Bewertung von Sicherheitsvorfällen und das Nachhalten von Maßnahmen aus Prüfungen. Hinzu kommen die Überwachung von Auslagerungen, Schulungen und Phishing-Kampagnen für Beschäftigte sowie regelmäßige Berichte an den Vorstand. In einer Sparkasse oder Volksbank ist die Rolle oft mit einer oder zwei Personen besetzt und deckt alles ab, häufig neben Notfallmanagement oder Auslagerungsmanagement. In einer Großbank oder Landesbank arbeitet ein ganzes Team unter einem Chief Information Security Officer, aufgeteilt nach Governance, Risikoanalyse und Security-Architektur. In der genossenschaftlichen und der Sparkassengruppe betreiben Atruvia und Finanz Informatik den Großteil der Technik; der ISB im Haus steuert deshalb viel über Dienstleisterberichte und Verbundvorgaben statt über eigene Systeme.
Der Weg in die Rolle
Es gibt zwei typische Wege. Der eine führt über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, oft nach Stationen in IT-Revision, Beratung oder Wirtschaftsprüfung. Der andere führt über die Bankausbildung, Jahre in Organisation oder IT-Koordination und eine Weiterbildung zum ISB. Gesetzlich vorgeschriebene Nachweise gibt es nicht, verbreitet und in Ausschreibungen häufig verlangt sind Zertifikate wie ISO 27001 Lead Implementer oder Lead Auditor, CISM, CISSP oder T.I.S.P. Die Akademien der Bankengruppen bieten eigene ISB-Lehrgänge an. Quereinsteiger aus der IT-Prüfung bei Wirtschaftsprüfungsgesellschaften sind gesucht, weil sie die Prüfungsperspektive kennen.
Was die Rolle verlangt
Vertriebsziele gibt es nicht, dafür eine dichte Regulatorik: MaRisk, bis 2025 die BAIT, seither die DORA-Verordnung mit ihren technischen Standards, dazu ISO 27001 und der BSI-Grundschutz als Referenz. Ein großer Teil der Arbeit ist Dokumentation, die bei Sonderprüfungen der Aufsicht, durch die Revision und den Jahresabschlussprüfer gelesen wird. Wer technische Arbeit an Firewalls oder Systemen erwartet, wird enttäuscht; der ISB bewertet und fordert, umgesetzt wird von anderen. Schwer fällt oft die Rolle zwischen den Stühlen: Fachbereiche und IT empfinden Vorgaben als Bremse, die Geschäftsleitung erwartet klare Risikoaussagen. Die Arbeitszeiten sind meist geregelt, bei Sicherheitsvorfällen kann es kurzfristig Einsätze außerhalb der Kernzeit geben.
Aussichten
Die Nachfrage ist hoch und bleibt es. DORA hat Pflichten zu Vorfallmeldungen, Resilienztests und Drittparteienrisiken erweitert, und viele kleinere Institute finden kaum geeignete Bewerber. Manche lösen das durch Auslagerung der Funktion an Verbunddienstleister, was die Zahl der Stellen in kleinen Häusern begrenzt, dafür aber Stellen bei Rechenzentralen und Verbänden schafft. Entwicklungswege führen zum CISO, in die IT-Revision, ins Management operationeller Risiken oder in die Leitung von Auslagerungs- und Notfallmanagement.
Die Aufgaben
- Sicherheitsleitlinie und Richtlinien zur Informationssicherheit erstellen und aktualisieren
- Schutzbedarfsfeststellungen und IKT-Risikoanalysen durchführen und bewerten
- Sicherheitsvorfälle analysieren und Meldungen nach DORA vorbereiten
- Auslagerungen und IT-Dienstleister auf Einhaltung der Sicherheitsvorgaben überwachen
- Feststellungen aus Revision und Aufsichtsprüfungen nachhalten
- Schulungen und Sensibilisierungsmaßnahmen für Beschäftigte organisieren
- Regelmäßige Berichte zur Informationssicherheitslage an den Vorstand schreiben
Das sollten Sie mitbringen
- • Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit oder Bankausbildung mit langjähriger Erfahrung in Organisation oder IT
- • Kenntnisse von MaRisk, DORA, ISO 27001 und BSI-Grundschutz
- • Zertifikate wie ISO 27001 Lead Implementer, CISM, CISSP oder T.I.S.P. sind verbreitet und häufig gewünscht
- • Verständnis von IT-Architektur, Netzwerken und Anwendungslandschaften ohne eigene Administrationsaufgaben
- • Sorgfalt in der Dokumentation und Durchsetzungsvermögen gegenüber Fachbereichen und IT
Der Weg in die Rolle
Üblich ist ein Bachelor- oder Masterstudium in Informatik oder Wirtschaftsinformatik von drei bis fünf Jahren, gefolgt von einigen Jahren in IT, IT-Revision oder Beratung. Alternativ führt die Bankausbildung mit Weiterbildung zum ISB über eine Bankakademie oder zu einem Zertifikat wie ISO 27001 Lead Implementer in die Rolle.
Wo gearbeitet wird
- Stabsabteilung einer Sparkasse oder Volksbank
- Zentrale einer Großbank oder Privatbank
- Landesbank oder Förderbank
- Rechenzentrale der Bankengruppen wie Finanz Informatik oder Atruvia
- Direktbank