07.10.2026 aktualisiert
Premiumkunde
100 % verfügbarOT-Security, KRITIS und ISMS: Experte für Informationssicherheit und regulatorische Anforderungen
Wiesbaden, Deutschland
Deutschland +1
Diplom-Ingenieur Elektrotechnik, IT- und Kommunikationstechnik, Diplom-Wirtschaftsingenieurinfo: Deutschland, Schweiz
Über mich
Als externer CISO, OT-Security Manager und Auditor unterstütze ich Betreiber kritischer Infrastrukturen und regulierte Unternehmen genau dort, wo interne Ressourcen fehlen: Von der Nachweisführung nach BSIG über den Aufbau und Betrieb des ISMS bis zum System zur Angriffserkennung SzA im Wirkbetrieb.
Skills
AuditsInformationssicherheitISO / IEC 27001SystemsicherheitIEC 62443Informationssicherheits-Managementsystem
Meine Schwerpunkte
- OT- und ICS-Security: Leittechnik (Siemens PCS 7 / WinCC, ABB System 800xA), Zonenkonzept, Segmentierung, Rückwirkungsfreiheit, IEC 62443
- System zur Angriffserkennung (SzA) nach § 31 BSIG und BSI OH-SzA: Nach der Ausschreibung Projektleitung für Rollout, Meldekette, SOC-Anbindung, Probe- und Wirkbetrieb
- KRITIS-Nachweise nach BSIG: Geltungsbereiche, Netzstrukturpläne, B3S, BSI-RuN und BSI-GAiN
- ISMS-Aufbau und -Betrieb nach ISO/IEC 27001 und ISO/IEC 27019, einschließlich Zertifizierungsbegleitung
- NIS-2 und BSIG (neu): Risikomanagement (§ 30), Angriffserkennung (§ 31), Meldepflichten (§ 32), Pflichten der Geschäftsleitung (§ 38), Nachweise (§ 39)
- Risikomanagement, Schutzbedarfsfeststellung, Business Impact Analyse, BCM und Notfallkonzepte
- Sichere Fernwartung und Dienstleistersteuerung mit Freigabeprozess, SLA und Nachweismatrix
- Interne und externe Audits, Auditvorbereitung und Berichterstattung an Vorstand und Geschäftsleitung
- Awareness und Schulungen für Führungskräfte und Beschäftigte
- Weitere Regulatorik: NIS-2, VDA ISA 6 / TISAX, DORA, BSI IT-Grundschutz
Belegte Ergebnisse (Auszug)
- KRITIS-Betreiber Siedlungsabfallentsorgung, 2025 bis 2026: ISO/IEC 27001-Zertifizierung an drei Standorten, bestandene KRITIS-Prüfung nach BSI-RuN, SzA nach BSI OH-SzA im Wirkbetrieb mit SOC-Überwachung. Projekt im Budget, ohne Nachträge.
- Universitätsklinikum, KRITIS Gesundheitswesen, 2023 bis 2024: externer CISO, Kombiaudit nach ISO/IEC 27001 und BSIG erfolgreich bestanden. Referenzschreiben liegt vor.
- Energieversorger, KRITIS, 2021 bis 2022: ISMS nach ISO/IEC 27001 und ISO/IEC 27019 aufgebaut, Kombiaudit erfolgreich bestanden.
Ausbildung
- Diplom-Ingenieur Elektrotechnik, IT- und Kommunikationstechnik,
- Diplom-Wirtschaftsingenieur
Fachliche Expertise / Branchenerfahrung
- Siedlungsabfallentsorgung (KRITIS)
- Gesundheitswesen (KRITIS)
- Energieversorgung (KRITIS)
- Versicherungen und Finanzdienstleistungen
- Automotive (Produktion und Dienstleister)
- Industrieunternehmen
- Applikationsentwicklung und Testing
Qualifikation (Zertifizierung)
- ISO/IEC 27001 Officer, Foundation, Auditor Professional
- IT-Security-Beauftragter, BSI IT-Grundschutz, B3S-KRITIS
- KRITIS Prüfverfahrenskompetenz nach BSIG
- Branchenspezifische Sicherheitsstandards (B3S)
- Umsetzung der NIS-2-Anforderungen
- VAIT und BAIT, DORA
- Projektmanager (TÜV PersCERT)
- KI-Beauftragter
Warum ich?
Ich liefere prüffeste Ergebnisse statt Papier: Normativ verankert, im Audit belastbar und im laufenden Anlagenbetrieb umsetzbar. Meine Kunden schätzen die Verbindung aus technischem Verständnis der Leittechnik und der Fähigkeit, gegenüber Vorstand und Behörden verständlich zu berichten.
Sprechen Sie mich an, wenn Sie einen KRITIS-Nachweis, eine Zertifizierung oder ein SzA-Projekt sicher zum Abschluss bringen wollen:
--> Tel. 0172 6907309
Erfahrung
Berufserfahrungmehr als 10 Jahre
Freelancer seit2010
Sprachen
DeutschMutterspracheEnglischgut
Projekthistorie
Verantwortung für die Informationssicherheit im Umfeld der Betriebstechnik (OT) an drei Standorten für einen Betreiber einer kritischen Anlage im Sektor Siedlungsabfallentsorgung, entsprechend den Anforderungen des BSI-Gesetzes und der ISO/IEC 27001.
- Erstellung der Geltungsbereiche, Netzstrukturpläne und Nachweise auf Grundlage des B3S, BSI-RuN und BSI-GAiN.
- Aufbau des Assetregisters mit Schutzbedarfsfeststellung, Risikoanalyse (Werkzeug TTS-Trax) und Business Impact Analyse.
- Konzeption der physischen Sicherheitsbereiche sowie des Zutritts- und Berechtigungsmanagements und Erstellung der Vorgabedokumente für die physische Sicherheit.
- Projektleitung für das System zur Angriffserkennung (SzA) nach § 31 BSIG, von der EU-weiten Ausschreibung über den Rollout an allen Standorten bis zum überwachten Wirkbetrieb.
- Erstellung von Alarmplänen und Meldekette, Durchführung von SzA-Sicherheitstests als Übung an allen Standorten und Auswertung von Schwachstellen.
- Steuerung der sicheren Fernwartung über die Genua-Gateways mit geregeltem Freigabe- und Unterweisungsprozess.
- Vorbereitung des OT-Lieferantenmanagements mit Dienstleister-Richtlinie, Bewertung, Nachweismatrix und Service Level Agreements.
- Vorbereitung, Begleitung und Nachverfolgung der internen und externen Audits sowie der Sensibilisierungsmaßnahmen für Führungskräfte und Beschäftigte.
- Planung und Mitarbeit an Workshops zur Optimierung der ABB- und Siemens-Leittechnik auf Basis der IEC 62443.
Übernahme der CISO-Funktion für das Universitätsklinikum als Betreiber einer kritischen Infrastruktur im Sektor Gesundheitswesen, einschließlich der Leitung der Stabsstelle Informationssicherheit.
- Zuständigkeit für das ISMS und die Stabsstelle Informationssicherheit am UKD.
- Planung, Implementierung, Betrieb und kontinuierliche Verbesserung des ISMS.
- Ansprechpartner und Berater des Vorstands zu allen Fragen der Informationssicherheit.
- Regelmäßige Berichterstattung an den Vorstand und an das BSI über den aktuellen Stand der Informationssicherheit.
- Überwachung der Maßnahmenumsetzung aus der KRITIS-Prüfung nach § 8a BSIG und Berichterstattung an das BSI.
- Koordination der BSI-Meldestelle.
- Definition, Mitwirkung und Koordination sicherheitsrelevanter Kernprozesse.
- Entwicklung und Steuerung von Informationssicherheitsregelungen wie Leitlinien, Richtlinien und weiterer Regelungsdokumente.
- Steuerung des Risikomanagements in Bezug auf IT-Risiken und klinische Risiken.
- Initiierung zielgruppenorientierter Sensibilisierungs- und Schulungsmaßnahmen für Führungskräfte und Mitarbeiter.
- Untersuchung sicherheitsrelevanter Ereignisse und Vorfälle sowie anlassbezogene Abstimmung mit Behörden und externen Parteien.
- Steuerung interner Audits als Teil des Auditprogramms.
- Vorbereitung auf die Zertifizierung und die externe Prüfung nach ISO/IEC 27001 und § 8a BSIG.
Implementierung, Beratung, Auditierung entsprechend Anforderungen der VAIT (BaFin), ISO 27001, TISAX (Automobilindustrie) und Konzernanforderungen.
- Durchführung von GAP-Analysen zur Ermittlung des Istzustandes.
- Entwicklung der IT-Sicherheitsdokumentation (IT-Strategie, Leitlinie, Richtlinien, Prozesse und Vorlagen).
- Entwicklung und Dokumentation eines IT-Sicherheitskonzeptes, des Sicherheitsmanagements und der physischen Zutrittssteuerung.
- Entwicklung von Assetmanagement, Schutzbedarfsanalyse und Risikomanagement der Informationssicherheit.
- Entwicklung des Schwachstellenmanagements zur Überwachung des IT-Sicherheitsniveaus und laufender Gefährdungen.
- Entwicklung der Klassifizierung und Handhabung von Informationen.
- Entwicklung des Identitäts- und Rechtemanagements für Zutritt, Zugang und Zugriff, einschließlich Berechtigungskonzepten für IT-Systeme, beispielsweise Active Directory.
- Entwicklung von Verfahren für Kryptographie sowie Vorgaben für Clean Desk und Awareness-Trainings.
- Entwicklung und Dokumentation von Vorgaben für IT-Betrieb, Backup und Recovery, Patchmanagement, Eventmanagement (SIEM, SOC), Ereignisprotokollierung, Cloud Computing und Netzwerksicherheit, beispielsweise VPN und Segmentierung.
- Entwicklung von Vorgaben für Anwendungs- und Softwareentwicklung, IT-Testmanagement und Härtung.
- Entwicklung von Vorgaben für BIA, BCM, Notfall und Testing sowie deren Umsetzung.
- Vorbereitung des Unternehmens auf die Prüfungen nach ISO/IEC 27001, BaFin und TISAX.