Information Security Officer (IS-Security Officer)

Die Weiterbildung zum Information Security Officer vermittelt vertieftes Fachwissen für den Aufbau, die Implementierung und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) auf Basis der international anerkannten Norm ISO/IEC 27001. Im Mittelpunkt stehen die normativen Anforderungen der ISO 27001, die praktische Anwendung der 93 Sicherheitsmaßnahmen (Controls) aus ISO 27002 sowie bewährte Methoden des Risikomanagements nach ISO 27005. Darüber hinaus wird die Umsetzung gesetzlicher Anforderungen aus der NIS2-Richtlinie behandelt, die für eine wachsende Zahl von Unternehmen und Behörden verbindlich ist. Absolventen sind nach Kursabschluss in der Lage, ein ISMS eigenständig aufzubauen, einen Zertifizierungsprozess vorzubereiten und ihre Organisation dauerhaft auf einem hohen Informationssicherheitsniveau zu halten.

Das erste Modul legt die normativen und konzeptionellen Grundlagen der Informationssicherheit. Teilnehmer erhalten einen strukturierten Überblick über die ISO-27000-Normenfamilie, die Harmonized Structure (HLS/Annex SL) und die wesentlichen Begriffe und Definitionen. Besonders wichtig ist das Verständnis des Anwendungsbereichs (Scope) und des organisatorischen Kontexts als Ausgangspunkt für jedes ISMS.

• Grundlagen der Informationssicherheit und Abgrenzung zu IT-Sicherheit und Cybersecurity
• Überblick über die ISO-27000-Normenfamilie und verwandte Rahmenwerke (BSI-Grundschutz, COBIT)
• Harmonized Structure (HLS) und ihre Bedeutung für integrierte Managementsysteme
• Normativer Teil der ISO 27001: Kapitel 4 bis 10 im Überblick
• Scope-Definition: Geltungsbereich des ISMS festlegen und dokumentieren
• Interne und externe Kontextanalyse: relevante Stakeholder und Anforderungen identifizieren

Das zweite Modul behandelt Risikomanagement als Herzstück des ISMS. Nach ISO 27001 muss jede Organisation einen strukturierten Risikomanagementprozess betreiben. Dieses Modul vermittelt die methodische Vorgehensweise von der Risikoidentifikation über die Bewertung bis zur Behandlung und Dokumentation.

• Risikomanagement nach ISO 27001 und ISO 27005: Methodik und Prozessschritte
• Asset-Inventarisierung und Schutzbedarfsanalyse
• Bedrohungs- und Schwachstellenanalyse
• Risikobewertung nach Eintrittswahrscheinlichkeit und Auswirkung
• Risikobehandlungsoptionen: Vermeidung, Reduktion, Transfer, Akzeptanz
• Risikobehandlungsplan erstellen und dokumentieren

Das dritte Modul vertieft die ISO 27002 Controls und deren praktische Umsetzung. Die 93 Sicherheitsmaßnahmen des Anhangs A sind das operative Herzstück des ISMS. Dieses Modul vermittelt, wie Controls bedarfsgerecht ausgewählt, angepasst und implementiert werden.

• Überblick über die vier Kontrollkategorien der ISO 27002 (organisatorisch, personenbezogen, physisch, technologisch)
• Auswahl und Anpassung von Controls auf Basis der Risikobehandlungsentscheidungen
• Statement of Applicability (SoA): Aufbau, Inhalt und Begründungspflichten
• Beispiel-Controls und Implementierungspläne für typische Unternehmensszenarien
• Steuerungstechnische Auswahl und Priorisierung von Maßnahmen
• Dokumentation der Umsetzung für Audit- und Zertifizierungszwecke

Praxisblock: ISMS-Aufbau, Audit und Zertifizierungsvorbereitung Dieser praxisorientierte Block verbindet alle gelernten Konzepte und führt Teilnehmer durch den vollständigen ISMS-Aufbauprozess — von der ersten Kontextanalyse bis zur Zertifizierungsreife. Begleitend werden Musterdokumente erarbeitet und an realen Unternehmensszenarien erprobt.

• Scope-Statement für das eigene ISMS formulieren
• RACI-Tabelle und Rollenmatrix für die Informationssicherheit entwickeln
• Erste Version der Informationssicherheitsleitlinie (IS-Policy) verfassen
• Awareness- und Kommunikationsplan für interne Schulungen erstellen
• Interne Auditplanung: Checklisten, Auditplan und Beispiel-Fragen entwickeln
• Durchführung eines simulierten internen Audits mit Auswertung und Korrekturmaßnahmen
• Nichtkonformitäten nach ISO 10002/27001 systematisch bearbeiten
• Managementreview: Agenda vorbereiten und ISMS-Selbstbewertung durchführen
• Zertifizierungsvorbereitung: Anforderungen an Dokumentation und Nachweisführung
• Externer Auditprozess: Ablauf Stage 1 und Stage 2 verstehen und vorbereiten
• NIS2-Anforderungen im ISMS abbilden: Mindestanforderungen und Meldepflichten
• Kontinuierliche Verbesserung: KPIs und Kennzahlen für das ISMS definieren

Das abschließende Prüfungsvorbereitungsmodul fasst alle prüfungsrelevanten Inhalte zusammen, analysiert typische Prüfungsformate und schließt mit Probeklausuren, deren Ergebnisse gemeinsam besprochen werden. Der Kurs zeichnet sich durch einen hohen Anteil an praktischen Übungen und Musterdokumenten aus, die Teilnehmer direkt in ihr eigenes Unternehmen übernehmen können. Die Verbindung normativer Anforderungen mit konkreten Umsetzungsbeispielen macht diesen Kurs besonders wertvoll für Personen, die im Berufsalltag unmittelbar mit dem Aufbau oder der Weiterentwicklung eines ISMS befasst sind.

Der Kurs richtet sich an Fach- und Führungskräfte, die Verantwortung für Informationssicherheit, IT-Compliance oder IT-Risikomanagement tragen. Er ist besonders geeignet für Personen, die ein ISMS nach ISO/IEC 27001 einführen, weiterentwickeln oder auditieren sollen, sowie für Verantwortliche, die die Anforderungen der NIS2-Richtlinie in ihrer Organisation umsetzen müssen.

• Informationssicherheitsbeauftragte (ISB) in Unternehmen und Behörden
• Chief Information Security Officer (CISO) und IT-Sicherheitsverantwortliche
• IT-Leitung und IT-Projektverantwortliche mit ISMS-Auftrag
• Compliance-Manager und Datenschutzbeauftragte mit Bezug zur IT-Sicherheit
• Interne Auditoren, die ISMS-Audits planen oder durchführen

Der Kurs wird hauptsächlich im Combined-Learning-Format durchgeführt, das Präsenzphasen mit Online-Unterrichtseinheiten verbindet. Erfahrene Trainer mit ISO-27001-Auditorenhintergrund vermitteln die Inhalte anhand von Fallstudien, Musterdokumenten und simulierten Auditübungen. Gruppenarbeiten fördern den Erfahrungsaustausch unter den Teilnehmern. Alle erarbeiteten Dokumente — Scope-Statement, RACI, SoA, Auditchecklisten — sind sofort praxisreif und können direkt im eigenen Unternehmen weiterverwendet werden.

Die Weiterbildung dauert typischerweise zwischen mehr als einer Woche und bis zu einem Monat, je nach gewähltem Intensitätsmodell und Vorkenntnissen. Vollzeit- und Teilzeitoptionen stehen zur Verfügung. Im Beratungsgespräch werden Kursdauer und Startzeitpunkt individuell abgestimmt.

Nach erfolgreichem Kursabschluss erhalten Teilnehmer ein international anerkanntes Herstellerzertifikat sowie ein Lehrgangszertifikat des Anbieters. Das Zertifikat weist die erworbenen Kompetenzen als Information Security Officer formal nach und ist auf dem Arbeitsmarkt anerkannt. Kursinhalt ist außerdem die Vorbereitung auf eine externe Zertifizierung des ISMS nach ISO/IEC 27001, wobei das persönliche Zertifikat und die Organisationszertifizierung zwei unterschiedliche Verfahren sind.

Die Informationssicherheit hat sich in den vergangenen Jahren zu einem der zentralen strategischen Themen für Unternehmen und öffentliche Einrichtungen entwickelt. Cyberangriffe nehmen in Zahl und Schwere zu, regulatorische Anforderungen — allen voran die NIS2-Richtlinie — verschärfen den Druck auf Organisationen, ein nachweisbares und funktionsfähiges ISMS zu betreiben. Fachkräfte, die ein solches System nach ISO 27001 aufbauen und managen können, sind auf dem Arbeitsmarkt stark gefragt und können in Unternehmen aller Branchen und Größen tätig werden. Der Kurs verbindet systematisches Normenwissen mit unmittelbar einsetzbaren Werkzeugen: Musterdokumente, Checklisten und simulierte Audits stellen sicher, dass Absolventen nach Kursabschluss nicht nur theoretische Kenntnisse besitzen, sondern das ISMS in ihrer eigenen Organisation von Tag eins an voranbringen können. Die Verknüpfung von ISO 27001 mit NIS2 macht die Weiterbildung besonders zukunftssicher, da regulatorische Anforderungen weiter steigen werden. Bei AZAV-zertifizierten Bildungsträgern ist der Kurs in der Regel über einen Bildungsgutschein förderbar. Weitere Fördermöglichkeiten bestehen über das Qualifizierungschancengesetz für Beschäftigte, Leistungen der Deutschen Rentenversicherung zur beruflichen Rehabilitation sowie die Berufsförderung der Bundeswehr. Eine frühzeitige Kontaktaufnahme mit der zuständigen Förderstelle — Agentur für Arbeit, Jobcenter oder Rentenversicherungsträger — ist empfehlenswert.