Was macht ein Consultant Informationssicherheit?
Ein Consultant für Informationssicherheit arbeitet meist für eine Beratungsfirma oder ein IT-Dienstleistungsunternehmen und betreut wechselnde Kunden. Ein großer Teil der Arbeit ist organisatorisch, nicht technisch: Prozesse und Verantwortlichkeiten aufnehmen, Schutzbedarf von Daten und Anwendungen bestimmen, Risiken bewerten und Maßnahmen vorschlagen. Daraus entstehen Sicherheitsrichtlinien, Notfallkonzepte und Dokumentationen, die den Anforderungen von ISO 27001, dem IT-Grundschutz des BSI oder branchenspezifischen Regeln wie NIS2, DORA oder KRITIS genügen müssen. Dazu kommen Workshops mit Fachabteilungen, Interviews mit IT-Verantwortlichen, die Vorbereitung auf Audits und die Präsentation von Ergebnissen vor der Geschäftsführung. Technisch ausgerichtete Consultants prüfen zusätzlich Netzwerkarchitekturen, Berechtigungskonzepte oder Cloud-Konfigurationen. Viel Zeit verbringen sie mit Textverarbeitung, Tabellen und Folien.
Wie wird man Consultant Informationssicherheit?
Einen festgelegten Ausbildungsweg gibt es nicht. Üblich ist ein Studium der Informatik, Wirtschaftsinformatik, IT-Sicherheit oder eines verwandten Fachs, oft mit Bachelor- oder Masterabschluss. Auch Fachinformatikerinnen und Fachinformatiker mit einigen Jahren Berufserfahrung in Administration oder IT-Betrieb wechseln in die Beratung. Quereinsteiger aus Revision, Datenschutz, Qualitätsmanagement oder Recht finden ebenfalls Zugang, wenn sie sich das technische Grundwissen aneignen. Zertifikate spielen eine große Rolle: ISO 27001 Lead Implementer oder Lead Auditor, BSI-IT-Grundschutz-Praktiker, CISSP oder CISM werden in Stellenanzeigen häufig verlangt und oft vom Arbeitgeber finanziert. Viele Beratungen stellen Absolventinnen und Absolventen als Junior Consultants ein und bilden sie im Projekt weiter.
Was der Beruf verlangt
Die Arbeit erfordert die Fähigkeit, sich schnell in fremde Organisationen einzuarbeiten und mit Menschen aller Hierarchieebenen zu sprechen. Sicherheitsmaßnahmen kosten Geld und stören eingespielte Abläufe, daher stoßen Consultants regelmäßig auf Widerstand und müssen überzeugen, ohne Weisungsbefugnis zu haben. Normtexte und Regulierung ändern sich laufend, wer nicht ständig dazulernt, fällt zurück. Die Dokumentationsarbeit ist umfangreich und für manche ermüdend. In vielen Beratungen wird eine hohe Auslastung mit abrechenbaren Stunden erwartet, vor Audits und Fristen entstehen Überstunden. Reisen zu Kunden gehören häufig dazu, auch wenn seit einigen Jahren mehr remote gearbeitet wird. Nach einem Sicherheitsvorfall kann es kurzfristig sehr hektisch werden.
Aussichten
Die Nachfrage ist hoch und dürfte hoch bleiben. Neue EU-Vorgaben wie NIS2 und DORA verpflichten deutlich mehr Unternehmen zu nachweisbarem Sicherheitsmanagement, gleichzeitig nehmen Angriffe durch Ransomware zu. Erfahrene Fachkräfte sind knapp, was die Verhandlungsposition verbessert. Nach einigen Jahren führt der Weg zum Senior Consultant, Projektleiter oder Manager in der Beratung. Andere wechseln auf die Unternehmensseite und werden Informationssicherheitsbeauftragte oder Chief Information Security Officer. Möglich ist auch die Spezialisierung auf Auditierung, Cloud-Sicherheit oder bestimmte regulierte Branchen wie Banken, Energieversorgung oder Gesundheitswesen sowie der Schritt in die Selbstständigkeit.
