vCISO und strategischer Security- und Compliance-Berater in Hamburg
Regulierte Organisationen und Betreiber kritischer Infrastrukturen müssen Sicherheit heute belegen können. NIS2 nimmt dabei die Geschäftsführung persönlich in die Pflicht, weitere Anforderungen kommen aus ISO 27001, dem EU AI Act und branchenspezifischen Vorgaben hinzu. Als vCISO führe ich Ihre Sicherheitsorganisation auf Leitungsebene, bis diese Anforderungen nicht mehr im Konzept stehen, sondern im Betrieb nachweisbar sind.
Bei einem Klinikverbund mit rund 1.200 Anwendern habe ich NIS2 und das ISMS nach ISO 27001 in eigener Linienverantwortung geführt, mit direkter Berichtslinie an die Geschäftsführung.
Anwender im KRITIS-Klinikverbund, ISMS und NIS2 in eigener Linienverantwortung
bis das ISMS nach ISO 27001 stand, danach fortlaufend weiterentwickelt
Führung auf C- und VP-Level, unter anderem bei IBM, Avanade und Tata Consultancy Services
herstellerneutral, ohne Produktprovisionen und ohne Bindung an Anbieter
Ich komme aus der Linie und nicht aus der Beratung. Meine Laufbahn führte über Führungsrollen bei IBM, Avanade und Tata Consultancy Services bis in die Geschäftsführung. Was ich Ihnen empfehle, habe ich vorher selbst verantwortet.
Sie arbeiten mit mir und nicht mit einem wechselnden Projektteam. Das begrenzt meine Kapazität, sorgt aber dafür, dass die Person, die im ersten Gespräch sitzt, auch die Umsetzung verantwortet.
01 Leistungen
Ausgangspunkt unserer Zusammenarbeit ist die Strategie, die wiederum an ihrer Umsetzung gemessen wird. Meine Beratung setzt auf der Ebene der Geschäftsführung an und es bleibt nicht beim Konzept: Vereinbarte Maßnahmen begleite ich bis zur nachvollziehbaren und termingerechten Umsetzung.
vCISO für regulierte Branchen und KRITIS-Betreiber
Als vCISO, also als Chief Information Security Officer auf Zeit, erarbeite ich mit Ihnen die Sicherheitsstrategie, eine belastbare Roadmap und ein Informationssicherheits-Managementsystem (ISMS) im Einklang mit ISO 27001 und NIS2. Die Sicherheitsorganisation führe ich auf Leitungsebene und berichte direkt an die Geschäftsführung. Die Verantwortung dafür übernehme ich vom ersten Tag an.
Nicht jede Organisation braucht ein Vollmandat. Als fester Sparringspartner der Geschäftsführung stehe ich Ihnen an einem Tag im Monat zur Verfügung, für die Security-Roadmap, die Begleitung von Audits und Zertifizierungen sowie für anstehende Richtungsentscheidungen. Zwischen den Terminen bin ich für kurze Rückfragen erreichbar. Das hält Ihren Aufwand überschaubar und sichert zugleich eine durchgehende Begleitung auf Leitungsebene.
Monatlicher Retainer 2.500 € zzgl. MwSt., Mindestlaufzeit sechs Monate. Zwischen Beirat und Vollmandat liegen zwei weitere Stufen mit zwei beziehungsweise drei bis vier Beratertagen im Monat, ein Wechsel ist zum Ende eines Vertragsmonats möglich.
Zuerst klären wir die Betroffenheit, danach die Reihenfolge. Ich priorisiere mit Ihnen die erforderlichen Maßnahmen und unterstütze die Geschäftsführung dabei, ihrer Verantwortung gerecht zu werden. Die operative Umsetzung lässt sich delegieren, die Haftung der Leitung dagegen nicht. Für Betreiber kritischer Anlagen kommt seit März 2026 das KRITIS-Dachgesetz mit Risikoanalyse und Resilienzplan hinzu, das führen wir mit der NIS2-Arbeit zusammen statt es daneben zu stellen.
Sobald KI im Haus ist, brauchen Sie Regeln dafür. Wir erarbeiten gemeinsam eine KI-Governance mit Rollen und Richtlinien, ein Verzeichnis der eingesetzten Systeme samt Risikoeinstufung und ein Schulungskonzept. Dazu gehören auch die Transparenzpflichten aus Art. 50, die seit August 2026 gelten und Chatbots wie KI-erzeugte Inhalte betreffen. So bleibt der Einsatz nachvollziehbar und erfüllt die Pflichten des EU AI Act.
Über die reine Compliance hinaus zählt der tatsächliche Schutz im Betrieb. Gemeinsam bewerten wir die Bedrohungslage und die Risiken, priorisieren die nötigen technischen und organisatorischen Schutzmaßnahmen und steuern ihre Umsetzung. Auch die Vorsorge für den Ernstfall gehört dazu, damit Ihre Organisation einem Angriff standhält und handlungsfähig bleibt.
IT-Strategie, Sanierung und Modernisierung bekommen Sie aus einer Hand, mit Erfahrung aus KRITIS-relevanten Unternehmen. Das passt besonders in Phasen, in denen Ihre IT für eine begrenzte Zeit eine erfahrene Führung braucht.
02 Einstiege
Jeder dieser Bausteine hat eine feste Dauer, ein definiertes Ergebnis und einen Festpreis. Drei davon erfüllen zugleich eine gesetzliche Pflicht, die Sie ohnehin erfüllen müssen. Sie können also mit etwas beginnen, das für sich genommen bereits einen Nutzen hat und danach entscheiden, ob wir weiterarbeiten.
Einstieg · Pflichtnachweis
Die Frist ist abgelaufen. Die Registrierung nach § 33 BSIG war am 6. März 2026 fällig, die Nachmeldephase des BSI endete am 31. Juli 2026. Registriert waren zu diesem Zeitpunkt 18.845 Einrichtungen, geschätzt worden waren rund 29.500. Ob die Schätzung zu hoch lag oder die Registrierung zu niedrig, ändert für Sie wenig: Die Pflicht entfällt nicht dadurch, dass die Frist abgelaufen ist.
Einstieg · Schulungsnachweis
§ 38 Abs. 3 des BSI-Gesetzes (BSIG) verpflichtet die Leitung persönlich zu regelmäßigen Schulungen, delegieren lässt sich das nicht. In einem halben Tag vermittle ich in acht Modulen Pflichten, Haftung und Risikomanagement, mit Praxisfällen und Übungen statt Frontalvortrag. Fünf Werktage später haben Sie die Nachweise in der Hand.
Einstieg · Entscheidungsgrundlage
Was die Norm dem Unternehmen bringt, was der Weg zum Zertifikat kostet und wie er ohne überflüssige Bürokratie gelingt. Kompakt aufbereitet für Geschäftsführung und Gesellschafter.
Einstieg · Kompetenznachweis
Seit Februar 2025 müssen Unternehmen die KI-Kompetenz aller Personen fördern, die mit KI arbeiten. Diese Pflicht gilt unabhängig von Branche und Größe und wird bislang von den meisten übersehen. Die Schulung vermittelt Regeln, Risiken und Grenzen für den Alltag. Anders als bei NIS2 verlangt das Gesetz hier kein bestimmtes Kompetenzniveau und keinen förmlichen Nachweis. Dokumentiert wird trotzdem, sonst lässt sich später nichts belegen.
03 Standortbestimmung
Wenn feststeht, dass gehandelt werden muss, folgt die belastbare Grundlage dafür. Zwei Standortbestimmungen stehen zur Wahl, eine für Informationssicherheit und eine für den Einsatz von KI. Beide zeigen, wo Ihr Unternehmen steht und in welcher Reihenfolge die Lücken zu schließen sind. Beide laufen zum Festpreis, mit fester Dauer und definiertem Ergebnis.
Nächster Schritt · Standortbestimmung
Wo stehen Sie, was fehlt und was ist zuerst zu tun. Ich bewerte Ihr Unternehmen entlang von zehn Themenfeldern mit einem Reifegradmodell von 0 bis 5, auf Basis Ihrer Unterlagen und von fünf bis sieben Interviews.
Nächster Schritt · Standortbestimmung
Wo überall im Haus KI im Einsatz ist, welche Pflichten daraus folgen und was zuerst zu regeln ist. Ich erfasse die eingesetzten Systeme, stufe sie ein und kläre Ihre Rolle als Betreiber oder Anbieter. Erfahrungsgemäß taucht dabei mehr auf, als die Geschäftsführung erwartet.
30 Minuten Gespräch. Wir klären die Ausgangslage, Umfang und Termin, kostenfrei und unverbindlich.
Angebot binnen 48 Stunden. Sie erhalten ein einseitiges Angebot mit Festpreis und Zeitplan.
Start binnen zwei Wochen. Die Ergebnisse liegen wenige Wochen später auf dem Tisch Ihrer Geschäftsleitung.
04 Fallbeispiele
Zwei von vier Mandaten im Überblick, vom Klinikverbund bis zum inhabergeführten Büro. Kunden nenne ich nicht namentlich, die Zahlen und Zeiträume sind belegbar.
Klinikverbund im KRITIS-Umfeld · Vollmandat
Ein Klinikverbund mit rund 1.200 Anwendern, etwa 200 Servern und zwei Standorten stand vor den Anforderungen aus NIS2, ohne über ein Managementsystem für Informationssicherheit zu verfügen. Ich übernahm die Rolle als Leiter Digitalisierung und IT mit direkter Berichtslinie an die Geschäftsführung, also nicht beratend von außen, sondern in eigener Linienverantwortung.
Ergebnis: Das ISMS stand nach fünf Monaten und wurde danach fortlaufend weiterentwickelt. Alle Projekte habe ich abgeschlossen und übergeben, die Tätigkeit wurde mit einer uneingeschränkten Empfehlung bewertet.
Ingenieurbüro im Mittelstand · Governance-Aufbau
Ein mittelständisches Ingenieurbüro betrieb eine über Jahre gewachsene IT. Verantwortlichkeiten für Informationssicherheit waren nicht benannt, verbindliche Regelungen fehlten und die Leitung hatte keinen Überblick über den eigenen Sicherheitsstand. Wir erarbeiteten Sicherheitsstrategie, Governance-Framework, Richtlinien und Rollen, dazu Kennzahlen mit festem Berichtsformat.
Ergebnis: Eine Sicherheitsorganisation mit benannten Rollen, verabschiedeten Richtlinien und einem regelmäßigen Bericht an die Geschäftsführung. Damit war die Grundlage geschaffen, auf der sich ein ISMS ohne Neuanfang aufsetzen lässt.
05 Unterlagen
Drei Unterlagen zum Herunterladen, ohne Anmeldung. In den beiden Werkzeugkästen finden Sie je Themenfeld das Ziel und die Lösungsklassen, die dafür in Frage kommen, herstellerneutral und ohne Produktempfehlung. Das Kurzprofil können Sie im Haus weitergeben, wenn die Entscheidung nicht bei Ihnen allein liegt.
06 Hintergrund
Mehrere Regelwerke greifen derzeit ineinander: NIS2 gilt bereits, der EU AI Act ebenfalls in Teilen und je nach Branche kommen weitere Vorgaben hinzu. Wahrscheinlich betrifft Sie mehr als eines davon. Erfahrene Fachkräfte für diese Aufgaben bleiben derweil knapp.
So viele Einrichtungen hatten sich zum Ende der BSI-Nachmeldephase am 31. Juli 2026 registriert, geschätzt worden waren rund 29.500. Das Bundesinnenministerium hält die Differenz für ein Schätzproblem und sieht keine Registrierungslücke. Für Sie ändert das wenig: Die Pflicht aus § 33 BSIG entfällt nicht dadurch, dass die Frist abgelaufen ist.
Die Geschäftsführung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Diese Verantwortung lässt sich nicht auf andere übertragen.
Seit Februar 2025 müssen Unternehmen die KI-Kompetenz aller Personen fördern, die mit KI arbeiten. Der Digital Omnibus hat diese Pflicht im Juli 2026 abgeschwächt, aber nicht gestrichen. Die Pflichten für Hochrisiko-Systeme sind zugleich auf Dezember 2027 verschoben worden.
Seit dem 2. August 2026 müssen Chatbots als Maschine erkennbar und KI-erzeugte Inhalte gekennzeichnet sein. Für die maschinenlesbare Kennzeichnung generativer Systeme, die vorher schon im Markt waren, läuft die Frist am 2. Dezember 2026 ab.
Neun von zehn Organisationen in Deutschland haben Schwierigkeiten, qualifizierte Cyber-Fachkräfte zu gewinnen. Am größten ist die Lücke im Risikomanagement. Quelle: Strategy& und PwC, Cyber-Fachkräftemangel in Deutschland 2025, 1.200 Befragte.
Der Cyber Resilience Act nimmt Hersteller vernetzter Produkte in die Pflicht. Die Meldepflichten nach Art. 14 greifen am 11. September 2026 und erfassen auch Produkte, die bereits im Markt sind. Die vollständigen Anforderungen gelten ab dem 11. Dezember 2027.
Krankenhäuser müssen nach § 75c SGB V den Stand der Technik in der IT-Sicherheit umsetzen und ihn mindestens alle zwei Jahre anpassen. Der übliche Weg dafür ist der branchenspezifische Sicherheitsstandard B3S, aktuell in der Fassung 1.3.1 vom 6. Januar 2026.
Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und regelt die physische Resilienz kritischer Anlagen. Wer registrierungspflichtig ist, bestimmt die KRITIS-Verordnung, die bislang nur als Entwurf vorliegt. Mit ihrem Inkrafttreten bleiben drei Monate für die Registrierung bei BBK und BSI, danach neun Monate bis zur Risikoanalyse und zehn Monate bis zu Resilienzplan, Meldeprozess und Leitungspflichten. Die Muster des BBK für Resilienzpläne kommen erst acht Monate nach der Verordnung, wer darauf wartet, wartet bis 2027.
Für KI-Managementsysteme gibt es seit 2023 eine zertifizierbare Norm. Sie ersetzt keine Konformitätsbewertung, denn die Vermutung nach Art. 40 der KI-Verordnung entsteht nur über harmonisierte europäische Normen. CEN und CENELEC zielen auf die Schlüsselnormen im vierten Quartal 2026, die Veröffentlichung im Amtsblatt wird für Anfang 2027 erwartet. Wer jetzt aufbaut, arbeitet vor.
Der Digital Operational Resilience Act gilt seit Januar 2025 für den Finanzsektor. Banken, Versicherer und ihre IT-Dienstleister müssen ihre digitale Widerstandsfähigkeit nachweisen.
Rechtsstand 31. August 2026: Alle Angaben zu Fristen, Paragrafen und Normen auf dieser Website werden regelmäßig gegen den geltenden Gesetzestext und die amtlichen Quellen geprüft. Das Datum nennt den letzten Prüflauf, nicht das Erstelldatum der Seite. Diese Angaben ersetzen keine Rechtsberatung.
07 Werdegang und Erfahrung
Die folgende Auswahl zeigt einige Stationen meiner Laufbahn und die erzielten Ergebnisse.
Als Leiter Digitalisierung und IT verantwortete ich das NIS2-Umsetzungsprogramm, das ISMS nach ISO 27001 und die Telematikinfrastruktur als Gesamtprojekt. Das ISMS stand nach fünf Monaten und wurde danach fortlaufend weiterentwickelt, denn ein Managementsystem lebt von der laufenden Pflege. Hinzu kamen eine neue Digitalisierungsstrategie und die Begleitung der IT-Anforderungen für einen Krankenhausneubau. Der Verbund umfasste rund 1.200 Anwender, etwa 200 Server und zwei Standorte, mit direkter Berichtslinie an die Geschäftsführung. Alle Projekte habe ich abgeschlossen und übergeben, die Tätigkeit wurde mit einer uneingeschränkten Empfehlung bewertet.
Ich begleitete Projekte aus dem Krankenhauszukunftsgesetz (KHZG) sowie Vorhaben rund um das Krankenhausinformationssystem und das Computer Aided Facility Management (CAFM) für Medizintechnik, Betriebstechnik und Bauplanung. Darüber hinaus beriet ich bei öffentlichen Ausschreibungsverfahren, bewertete eingehende Angebote und unterstützte die Umsetzung der Projekte.
Das Geschäft mit Cloud Services, Branchenlösungen, IT-Architektur und dem Rechenzentrumsbetrieb lag in meiner Verantwortung.
Der Cloud- und Rechenzentrumsbetrieb sowie die Restrukturierung und Portfolio-Steuerung gehörten zu diesen Mandaten.
Zu den Rollen zählten Vice President Managed Services für die Region Deutschland, Österreich und Schweiz bei Avanade, Lead Engagement Manager für Zentraleuropa bei Tata Consultancy Services und Client Solution Executive für Strategic Outsourcing bei IBM. Geführt wurden dabei internationale Teams über mehrere Länder hinweg.
Berufseinstieg 1984, mit Stationen unter anderem bei Sun Microsystems, Digital Equipment Corporation, Credit Suisse und Winter Partners AG.
08 Qualifikation
Die Grundlage meiner Arbeit ist geführte Verantwortung. Was daraus in der Praxis geworden ist, steht in den Fallbeispielen und im Werdegang. Die folgenden Zertifizierungen bauen darauf auf.
Fallbeispiele ansehen Werdegang ansehen
09 Über mich
Wie ich arbeite. Die Kommunikation auf Ebene der Geschäftsführung und des Vorstands ist mir vertraut, ebenso die Steuerung der anschließenden Umsetzung. Wichtig ist dabei, dass Ergebnisse messbar sind und im vereinbarten Zeitrahmen vorliegen.
KI berate ich nicht nur, ich baue sie auch. Der PKV-Agent ist eine KI-gestützte Anwendung für das Leistungsmanagement der privaten Krankenversicherung aus einem eigenen Projekt. Was ich zu KI-Governance sage, kommt daher aus eigener Umsetzung und nicht nur aus der Beratungsperspektive. Mehr dazu unter pkv-agent.de.
Standort
Als vCISO mit Sitz in Hamburg begleite ich Geschäftsführungen in der Stadt und im Umkreis von rund 100 Kilometern, dazu bundesweit remote. Für Workshops, Leitungsrunden und die Begleitung von Audits bin ich vor Ort, die laufende Arbeit läuft weitgehend remote. So bleibt die Zusammenarbeit persönlich und der Aufwand für beide Seiten überschaubar.
Der Bedarf ist in Hamburg besonders greifbar. Logistik, Hafen-IT, Finanzdienstleistung, Industrie und Gesundheitswesen stehen unter wachsendem Druck aus NIS2, ISO 27001 und branchenspezifischen Vorgaben. Als externer CISO auf Zeit bringe ich die nötige Führung auf Leitungsebene ins Haus, ohne die Kosten einer Vollzeitstelle. Ob als vCISO im Vollmandat, im Beirat oder interimistisch richtet sich nach Ihrem Bedarf.
10 Kontakt
Eine kurze Beschreibung des Anliegens genügt; eine Rückmeldung erfolgt zeitnah.
Am schnellsten geht es über den Kalender. Wählen Sie einen Termin für ein kostenfreies Erstgespräch von 30 Minuten.
Per E-Mail: [E-Mail wird im Browser geladen]
Ein unverbindliches Erstgespräch lässt sich kurzfristig vereinbaren, auf Wunsch vorab mit einer Vertraulichkeitsvereinbarung.
Referenzen bespreche ich gern im persönlichen Gespräch.
Sprachen: Deutsch als Muttersprache, verhandlungssicheres Englisch und etwas Französisch.
