Informationssicherheit und ISO-Konformität

Informationssicherheit und ISO-Compliance-Projekte

Ich betrachte Informationssicherheit als Teil des Prozesses und nicht als separaten Schritt nach der Entwicklung. 2025 habe ich in diesem Bereich eine intensive Weiterbildung abgeschlossen und leite Projekte, die sich an den Grundsätzen von ISO-Managementsystemen orientieren.

Für wen ist das gedacht?

Das richtet sich an Organisationen, die aufgrund einer Kunden- oder Regulierungsanforderung ein Managementsystem wie ISO 27001 oder ISO 42001 aufbauen müssen, aber nicht wissen, wie sie Umfang und Aufwand planen sollen. Wir beginnen mit einem realistischen Umfang und gliedern die Arbeit dann in kleine Schritte.

Was ich mache

Penetrationstests und Sicherheitsbewertung
Anwendung von Prinzipien der sicheren Softwareentwicklung
Beratende Perspektive zu Informationssicherheit (ISO/IEC 27001:2022) und KI-Managementsystemen (ISO/IEC 42001:2023)
Digitale Forensik: Nachbetrachtung von Vorfällen und Perspektive der Beweisintegrität

Absolvierte Weiterbildungen: Lead-Auditor-Kurse für ISO/IEC 27001:2022 und 42001:2023, Fachkompetenz Cybersicherheit, Fachkompetenz Ethical (White-Hat) Hacking, Fachkompetenz Cyberkriminalität und Fachkompetenz Digitale Forensik. Details finden Sie auf der Seite Zertifikate. Diese Seite bedeutet nicht, dass eine organisatorische Zertifizierung erteilt wurde; sie beschreibt meine persönliche Weiterbildung und praktische Erfahrung.

Wie ich die Arbeit in diesem Bereich steuere

Compliance-Projekte gelten oft als Papierarbeit; die eigentliche Schwierigkeit besteht darin, den Umfang richtig abzugrenzen, Risiken Verantwortlichen zuzuordnen und Nachweise aus der täglichen Arbeit zu gewinnen.

Schritte

Umfang und Kontext: Es wird festgehalten, welche Einheit, welchen Prozess und welche Assets das Managementsystem abdeckt.
Risikobewertung: Assets, Bedrohungen und Risiken werden zusammen mit ihren Verantwortlichen erfasst.
Maßnahmen- und Dokumentationsplan: Welche Maßnahme wie umgesetzt wird und welche Aufzeichnungen geführt werden.
Umsetzung und Erfassung von Nachweisen: Maßnahmen werden in die tägliche Arbeit integriert, sodass Nachweise als Nebenprodukt entstehen.
Interne Überprüfung und Auditbereitschaft: Lücken werden vor dem Audit gefunden und geschlossen.

Ergebnisse

Erklärung zum Umfang
Risikoregister und Behandlungsplan
Entwürfe für Richtlinien und Verfahren
Zusammenfassung der internen Überprüfung und Liste zur Auditbereitschaft

Methoden und Werkzeuge

Der Projektplan bindet die Kette aus Umfang, Risiko, Dokumentation und Überprüfung an einen regelmäßigen Kalender. Dies ist kein Zertifizierungsversprechen, sondern eine Leistung, um Compliance-Arbeit geordnet durchzuführen.

Häufige Risiken und mein Umgang damit

Zu weit oder zu eng gefasster Umfang: Der Umfang wird gemeinsam mit den Geschäftszielen und dem Asset-Inventar überprüft.
Dokumente vorhanden, Praxis nicht: Maßnahmen werden in die tägliche Arbeit eingebettet; Nachweise entstehen aus dem Prozess.
Risiken ohne Verantwortliche: Jedes Risiko erhält einen Verantwortlichen und einen Termin für die Gegenmaßnahme.

Abnahmekriterien

Die Erklärung zum Umfang wurde von der Geschäftsleitung genehmigt.
Das Risikoregister ist aktuell; jedes Risiko hat einen Verantwortlichen und eine Behandlungsentscheidung.
Richtlinien und Verfahren spiegeln die tatsächlich ausgeführte Arbeit wider.
Feststellungen der internen Überprüfung sind geschlossen oder terminiert.

Was ich Sie vor dem Start fragen werde

Welcher Standard oder welche Kundenanforderung treibt diese Arbeit?
Welche Einheiten, Prozesse und Systeme sollen im Umfang liegen?
Gibt es bestehende Richtlinien und Aufzeichnungen?
Gibt es einen angestrebten Audittermin und eine Zertifizierungsstelle?

Kommunikationsrhythmus

Eine monatliche Zusammenfassung für das Management, zweiwöchentliche Arbeitsbesprechungen und eine Liste offener Punkte mit Verantwortlichen.

Warum das für die Führung von KI-Teams wichtig ist

Meine Lead-Auditor-Ausbildung für ISO/IEC 42001 hilft mir, KI-Governance auf konkrete Fragen herunterzubrechen: Wofür ist dieses System da, wer ist verantwortlich, welche Daten nutzt es, wie wird es überwacht? In einer C-Level-KI-Rolle werden diese Fragen zur gemeinsamen Sprache zwischen dem technischen Team und dem Vorstand.

Häufige Fragen

Stellen Sie Zertifizierungen aus?

Nein. Zertifizierung ist Aufgabe akkreditierter Stellen; ich helfe bei der Planung und Durchführung der Compliance-Arbeit.

Ist ISO 27001 für ein kleines Team sinnvoll?

Ja, wenn der Umfang klein und realistisch gefasst wird; das beurteilen wir im Bedarfsgespräch.

So starten wir: Beschreiben Sie Ihr Ziel in zwei oder drei Sätzen über Kontakt oder per WhatsApp (+90 531 679 10 14). Meine Gesamtmethode finden Sie unter Projektmanagement, meinen Arbeitsrhythmus unter Meine Arbeitsweise und weitere Bereiche unter Leistungen. Ich arbeite remote, auch über Zeitzonen hinweg – siehe FAQ.