vCISO und strategischer Security- und Compliance-Berater in Hamburg
Regulierte Organisationen und Betreiber kritischer Infrastrukturen müssen Sicherheit heute belegen können. NIS2 nimmt dabei die Geschäftsführung persönlich in die Pflicht, weitere Anforderungen kommen aus ISO 27001, dem EU AI Act und branchenspezifischen Vorgaben hinzu. Als vCISO führe ich Ihre Sicherheitsorganisation auf Leitungsebene, bis diese Anforderungen nicht mehr im Konzept stehen, sondern im Betrieb nachweisbar sind.
Bei einem Klinikverbund mit rund 1.200 Anwendern habe ich NIS2 und das ISMS nach ISO 27001 in eigener Linienverantwortung geführt, mit direkter Berichtslinie an die Geschäftsführung.
Anwender im KRITIS-Klinikverbund, ISMS und NIS2 in eigener Linienverantwortung
bis das ISMS nach ISO 27001 stand, danach fortlaufend weiterentwickelt
Führung auf C- und VP-Level, unter anderem bei IBM, Avanade und Tata Consultancy Services
herstellerneutral, ohne Produktprovisionen und ohne Bindung an Anbieter
Ich komme aus der Linie und nicht aus der Beratung. Meine Laufbahn führte über Führungsrollen bei IBM, Avanade und Tata Consultancy Services bis in die Geschäftsführung. Was ich Ihnen empfehle, habe ich vorher selbst verantwortet.
Sie arbeiten mit mir und nicht mit einem wechselnden Projektteam. Das begrenzt meine Kapazität, sorgt aber dafür, dass die Person, die im ersten Gespräch sitzt, auch die Umsetzung verantwortet.
01 Leistungen
Ausgangspunkt unserer Zusammenarbeit ist die Strategie, die wiederum an ihrer Umsetzung gemessen wird. Meine Beratung setzt auf der Ebene der Geschäftsführung an und es bleibt nicht beim Konzept: Vereinbarte Maßnahmen begleite ich bis zur nachvollziehbaren und termingerechten Umsetzung.
vCISO für regulierte Branchen und KRITIS-Betreiber
Als vCISO, also als Chief Information Security Officer auf Zeit, erarbeite ich mit Ihnen die Sicherheitsstrategie, eine belastbare Roadmap und ein Informationssicherheits-Managementsystem (ISMS) im Einklang mit ISO 27001 und NIS2. Die Sicherheitsorganisation führe ich auf Leitungsebene und berichte direkt an die Geschäftsführung. Die Verantwortung dafür übernehme ich vom ersten Tag an.
Nicht jede Organisation braucht ein Vollmandat. Als fester Sparringspartner der Geschäftsführung stehe ich Ihnen an einem Tag im Monat zur Verfügung, für die Security-Roadmap, die Begleitung von Audits und Zertifizierungen sowie für anstehende Richtungsentscheidungen. Zwischen den Terminen bin ich für kurze Rückfragen erreichbar. Das hält Ihren Aufwand überschaubar und sichert zugleich eine durchgehende Begleitung auf Leitungsebene.
Monatlicher Retainer 2.500 € zzgl. MwSt., Mindestlaufzeit sechs Monate. Weitere Tage nach Bedarf.
Zuerst klären wir die Betroffenheit, danach die Reihenfolge. Ich priorisiere mit Ihnen die erforderlichen Maßnahmen und unterstütze die Geschäftsführung dabei, ihrer Verantwortung gerecht zu werden. Die operative Umsetzung lässt sich delegieren, die Haftung der Leitung dagegen nicht.
Sobald KI im Haus ist, brauchen Sie Regeln dafür. Wir erarbeiten gemeinsam eine KI-Governance mit Rollen und Richtlinien, ein Verzeichnis der eingesetzten Systeme samt Risikoeinstufung und ein Schulungskonzept. So bleibt der Einsatz nachvollziehbar und erfüllt die Pflichten des EU AI Act.
Über die reine Compliance hinaus zählt der tatsächliche Schutz im Betrieb. Gemeinsam bewerten wir die Bedrohungslage und die Risiken, priorisieren die nötigen technischen und organisatorischen Schutzmaßnahmen und steuern ihre Umsetzung. Auch die Vorsorge für den Ernstfall gehört dazu, damit Ihre Organisation einem Angriff standhält und handlungsfähig bleibt.
IT-Strategie, Sanierung und Modernisierung bekommen Sie aus einer Hand, mit Erfahrung aus KRITIS-relevanten Unternehmen. Das passt besonders in Phasen, in denen Ihre IT für eine begrenzte Zeit eine erfahrene Führung braucht.
02 Einstiege
Jeder dieser Bausteine hat eine feste Dauer, ein definiertes Ergebnis und einen Festpreis. Zwei davon erfüllen zugleich eine gesetzliche Pflicht, die Sie ohnehin erfüllen müssen. Sie können also mit etwas beginnen, das für sich genommen bereits einen Nutzen hat, und danach entscheiden, ob wir weiterarbeiten.
Einstieg · Schulungsnachweis
§ 38 des BSI-Gesetzes (BSIG) verpflichtet die Leitung persönlich zu regelmäßigen Schulungen. In einem halben Tag vermittle ich in acht Modulen Pflichten, Haftung und Risikomanagement, mit Praxisfällen und Übungen statt Frontalvortrag.
Einstieg · Entscheidungsgrundlage
Was die Norm dem Unternehmen bringt, was der Weg zum Zertifikat kostet und wie er ohne überflüssige Bürokratie gelingt. Kompakt aufbereitet für Geschäftsführung und Gesellschafter.
Einstieg · Kompetenznachweis
Seit Februar 2025 müssen Unternehmen die KI-Kompetenz aller Personen fördern, die mit KI arbeiten. Diese Pflicht gilt unabhängig von Branche und Größe und wird bislang von den meisten übersehen. Die Schulung vermittelt Regeln, Risiken und Grenzen für den Alltag.
03 Standortbestimmung
Wenn feststeht, dass gehandelt werden muss, folgt die belastbare Grundlage dafür. Die Gap-Analyse zeigt, wo Ihr Unternehmen steht und in welcher Reihenfolge die Lücken zu schließen sind. Auch sie läuft zum Festpreis, mit fester Dauer und definiertem Ergebnis.
Nächster Schritt · Standortbestimmung
Wo stehen Sie, was fehlt und was ist zuerst zu tun. Ich bewerte Ihr Unternehmen entlang von zehn Themenfeldern mit einem Reifegradmodell von 0 bis 5, auf Basis Ihrer Unterlagen und von fünf bis sieben Interviews.
30 Minuten Gespräch. Wir klären die Ausgangslage, Umfang und Termin, kostenfrei und unverbindlich.
Angebot binnen 48 Stunden. Sie erhalten ein einseitiges Angebot mit Festpreis und Zeitplan.
Start binnen zwei Wochen. Die Ergebnisse liegen wenige Wochen später auf dem Tisch Ihrer Geschäftsleitung.
04 Fallbeispiele
Zwei von vier Mandaten im Überblick, vom Klinikverbund bis zum inhabergeführten Büro. Kunden nenne ich nicht namentlich, die Zahlen und Zeiträume sind belegbar.
Klinikverbund im KRITIS-Umfeld · Vollmandat
Ein Klinikverbund mit rund 1.200 Anwendern, etwa 200 Servern und zwei Standorten stand vor den Anforderungen aus NIS2, ohne über ein Managementsystem für Informationssicherheit zu verfügen. Ich übernahm die Rolle als Leiter Digitalisierung und IT mit direkter Berichtslinie an die Geschäftsführung, also nicht beratend von außen, sondern in eigener Linienverantwortung.
Ergebnis: Das ISMS stand nach fünf Monaten und wurde danach fortlaufend weiterentwickelt. Alle Projekte habe ich abgeschlossen und übergeben, die Tätigkeit wurde mit einer uneingeschränkten Empfehlung bewertet.
Ingenieurbüro im Mittelstand · Governance-Aufbau
Ein mittelständisches Ingenieurbüro betrieb eine über Jahre gewachsene IT. Verantwortlichkeiten für Informationssicherheit waren nicht benannt, verbindliche Regelungen fehlten und die Leitung hatte keinen Überblick über den eigenen Sicherheitsstand. Wir erarbeiteten Sicherheitsstrategie, Governance-Framework, Richtlinien und Rollen, dazu Kennzahlen mit festem Berichtsformat.
Ergebnis: Eine Sicherheitsorganisation mit benannten Rollen, verabschiedeten Richtlinien und einem regelmäßigen Bericht an die Geschäftsführung. Damit war die Grundlage geschaffen, auf der sich ein ISMS ohne Neuanfang aufsetzen lässt.
05 Unterlagen
Drei Unterlagen zum Herunterladen, ohne Anmeldung. In den beiden Werkzeugkästen finden Sie je Themenfeld das Ziel und die Lösungsklassen, die dafür in Frage kommen, herstellerneutral und ohne Produktempfehlung. Das Kurzprofil können Sie im Haus weitergeben, wenn die Entscheidung nicht bei Ihnen allein liegt.
06 Hintergrund
Mehrere Regelwerke greifen derzeit ineinander: NIS2 gilt bereits, der EU AI Act ebenfalls in Teilen und je nach Branche kommen weitere Vorgaben hinzu. Wahrscheinlich betrifft Sie mehr als eines davon. Erfahrene Fachkräfte für diese Aufgaben bleiben derweil knapp.
Rund 29.500 Unternehmen fallen ab 50 Mitarbeitern und in 18 Sektoren erstmals unter die Pflichten der NIS2-Richtlinie.
Die Geschäftsführung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Diese Verantwortung lässt sich nicht auf andere übertragen.
Seit Februar 2025 müssen Unternehmen die KI-Kompetenz aller Personen fördern, die mit KI arbeiten. Der Digital Omnibus hat diese Pflicht im Juli 2026 abgeschwächt, aber nicht gestrichen, und die Pflichten für Hochrisiko-Systeme auf Dezember 2027 verschoben.
Etwa 60 Prozent der Sicherheitsverantwortlichen nennen den Fachkräftemangel als ihre größte Herausforderung.
Der Cyber Resilience Act nimmt Hersteller vernetzter Produkte in die Pflicht. Meldepflichten gelten ab September 2026, die vollständigen Anforderungen ab Dezember 2027.
Krankenhäuser müssen nach § 75c SGB V den Stand der Technik in der IT-Sicherheit umsetzen und nachweisen, in der Regel über den branchenspezifischen Standard B3S.
Die Übergangsfrist auf die Fassung ISO 27001:2022 endete am 31. Oktober 2025. Ältere Zertifikate sind ungültig, die aktuelle Version ist verbindlich.
Der Digital Operational Resilience Act gilt seit Januar 2025 für den Finanzsektor. Banken, Versicherer und ihre IT-Dienstleister müssen ihre digitale Widerstandsfähigkeit nachweisen.
07 Werdegang und Erfahrung
Die folgende Auswahl zeigt einige Stationen meiner Laufbahn und die erzielten Ergebnisse.
Als Leiter Digitalisierung und IT verantwortete ich das NIS2-Umsetzungsprogramm, das ISMS nach ISO 27001 und die Telematikinfrastruktur als Gesamtprojekt. Das ISMS stand nach fünf Monaten und wurde danach fortlaufend weiterentwickelt, denn ein Managementsystem lebt von der laufenden Pflege. Hinzu kamen eine neue Digitalisierungsstrategie und die Begleitung der IT-Anforderungen für einen Krankenhausneubau. Der Verbund umfasste rund 1.200 Anwender, etwa 200 Server und zwei Standorte, mit direkter Berichtslinie an die Geschäftsführung. Alle Projekte habe ich abgeschlossen und übergeben, die Tätigkeit wurde mit einer uneingeschränkten Empfehlung bewertet.
Ich begleitete Projekte aus dem Krankenhauszukunftsgesetz (KHZG) sowie Vorhaben rund um das Krankenhausinformationssystem und das Computer Aided Facility Management (CAFM) für Medizintechnik, Betriebstechnik und Bauplanung. Darüber hinaus beriet ich bei öffentlichen Ausschreibungsverfahren, bewertete eingehende Angebote und unterstützte die Umsetzung der Projekte.
Das Geschäft mit Cloud Services, Branchenlösungen, IT-Architektur und dem Rechenzentrumsbetrieb lag in meiner Verantwortung.
Der Cloud- und Rechenzentrumsbetrieb sowie die Restrukturierung und Portfolio-Steuerung gehörten zu diesen Mandaten.
Zu den Rollen zählten Vice President Managed Services für die Region Deutschland, Österreich und Schweiz bei Avanade, Lead Engagement Manager für Zentraleuropa bei Tata Consultancy Services und Client Solution Executive für Strategic Outsourcing bei IBM. Geführt wurden dabei internationale Teams über mehrere Länder hinweg.
Berufseinstieg 1984, mit Stationen unter anderem bei Sun Microsystems, Digital Equipment Corporation, Credit Suisse und Winter Partners AG.
08 Qualifikation
Die Grundlage meiner Arbeit ist geführte Verantwortung. Was daraus in der Praxis geworden ist, steht in den Fallbeispielen und im Werdegang. Die folgenden Zertifizierungen bauen darauf auf.
Fallbeispiele ansehen Werdegang ansehen
09 Über mich
Wie ich arbeite. Die Kommunikation auf Ebene der Geschäftsführung und des Vorstands ist mir vertraut, ebenso die Steuerung der anschließenden Umsetzung. Wichtig ist dabei, dass Ergebnisse messbar sind und im vereinbarten Zeitrahmen vorliegen.
KI berate ich nicht nur, ich baue sie auch. Der PKV-Agent ist eine KI-gestützte Anwendung für das Leistungsmanagement der privaten Krankenversicherung aus einem eigenen Projekt. Was ich zu KI-Governance sage, kommt daher aus eigener Umsetzung und nicht nur aus der Beratungsperspektive. Mehr dazu unter pkv-agent.de.
Standort
Als vCISO mit Sitz in Hamburg begleite ich Geschäftsführungen in der Stadt und im Umkreis von rund 100 Kilometern, dazu bundesweit remote. Für Workshops, Leitungsrunden und die Begleitung von Audits bin ich vor Ort, die laufende Arbeit läuft weitgehend remote. So bleibt die Zusammenarbeit persönlich und der Aufwand für beide Seiten überschaubar.
Der Bedarf ist in Hamburg besonders greifbar. Logistik, Hafen-IT, Finanzdienstleistung, Industrie und Gesundheitswesen stehen unter wachsendem Druck aus NIS2, ISO 27001 und branchenspezifischen Vorgaben. Als externer CISO auf Zeit bringe ich die nötige Führung auf Leitungsebene ins Haus, ohne die Kosten einer Vollzeitstelle. Ob als vCISO im Vollmandat, im Beirat oder interimistisch richtet sich nach Ihrem Bedarf.
10 Kontakt
Eine kurze Beschreibung des Anliegens genügt; eine Rückmeldung erfolgt zeitnah.
Am schnellsten geht es über den Kalender. Wählen Sie einen Termin für ein kostenfreies Erstgespräch von 30 Minuten.
Per E-Mail: [E-Mail wird im Browser geladen]
Ein unverbindliches Erstgespräch lässt sich kurzfristig vereinbaren, auf Wunsch vorab mit einer Vertraulichkeitsvereinbarung.
Referenzen bespreche ich gern im persönlichen Gespräch.
Sprachen: Deutsch als Muttersprache, verhandlungssicheres Englisch und etwas Französisch.
