Was macht man in diesem Beruf?

Informationssicherheitsmanager verantworten den Schutz von Informationen in einer Organisation. Sie bauen ein Informationssicherheitsmanagementsystem (ISMS) auf und pflegen es, meist nach ISO/IEC 27001 oder nach dem IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik. Dazu gehören Risikoanalysen, Sicherheitsrichtlinien, Notfallkonzepte und die Kontrolle, ob technische und organisatorische Maßnahmen tatsächlich umgesetzt werden. In Behörden heißt die Rolle oft Informationssicherheitsbeauftragter, in Konzernen auch Information Security Coordinator. Die Arbeit ist überwiegend konzeptionell und beratend: Firewalls konfigurieren andere, der Informationssicherheitsmanager legt fest, welches Schutzniveau nötig ist, und prüft, ob es erreicht wird.

Arbeitsalltag

Der Alltag findet überwiegend am Bildschirm und in Besprechungen statt. Informationssicherheitsmanager schreiben und aktualisieren Richtlinien, führen Schutzbedarfsfeststellungen durch, begleiten interne und externe Audits und bereiten Zertifizierungen vor. Sie stimmen sich mit IT-Betrieb, Datenschutzbeauftragten, Fachabteilungen und Geschäftsleitung ab und berichten regelmäßig an die Leitung. Schulungen und Sensibilisierungsmaßnahmen für Beschäftigte gehören ebenso dazu wie die Bewertung von Dienstleistern. Die reguläre Arbeitszeit liegt meist im Tagdienst, oft mit Gleitzeit und Homeoffice-Anteil. Bei Sicherheitsvorfällen kann kurzfristig Mehrarbeit anfallen, in manchen Organisationen gibt es Rufbereitschaft. Vor Audits und bei neuen gesetzlichen Vorgaben wie NIS2 entsteht Termindruck. Reisen fallen an, wenn mehrere Standorte betreut werden oder in Beratungsunternehmen Kunden vor Ort geprüft werden.

Perspektiven

Die Nachfrage ist hoch und steigt, weil gesetzliche Pflichten für Betreiber kritischer Infrastrukturen, Verwaltungen und viele mittelständische Unternehmen zunehmen. Öffentliche Arbeitgeber, Banken, Versicherungen, Energieversorger und Krankenhäuser suchen dauerhaft. Mit Erfahrung sind Wechsel in die Rolle des Chief Information Security Officer, in die Leitung einer Sicherheitsabteilung, in die Auditierung oder in die Beratung möglich. Zertifikate wie ISO 27001 Lead Auditor, CISSP oder CISM sowie Kenntnisse im Business Continuity Management verbessern die Chancen.

Mit Schwerbehinderung in diesem Beruf

Körperlich ist der Beruf wenig belastend: Schweres Heben, langes Stehen oder Gehen spielen kaum eine Rolle. Gefordert sind lange Bildschirmarbeit, das Lesen umfangreicher Normtexte und Dokumentationen, viel Kommunikation in Besprechungen und Telefonaten sowie Konzentration unter Zeitdruck bei Vorfällen oder Audits. Hilfreich sind ergonomische Arbeitsplätze mit höhenverstellbarem Tisch, große Monitore, Vergrößerungs- und Screenreader-Software, Spracheingabe sowie Hörtechnik oder Untertitelung in Videokonferenzen. Technische Arbeitshilfen und eine Arbeitsassistenz kann das Integrations- bzw. Inklusionsamt fördern, beim Berufseinstieg kommen Eingliederungszuschüsse der Agentur für Arbeit in Betracht. Da viele Stellen im öffentlichen Dienst liegen, gilt dort die Pflicht zur Einladung zum Vorstellungsgespräch nach § 165 SGB IX, sofern die fachliche Eignung nicht offensichtlich fehlt. Schwerbehinderte Beschäftigte können sich auf Verlangen von Mehrarbeit freistellen lassen (§ 207 SGB IX), was bei Rufbereitschaft und Vorfallbearbeitung wichtig sein kann.