IT-Sicherheitsexperte mit CISM / CISA / CRISC

Dieser Lehrgang bündelt die drei wichtigsten ISACA-Zertifizierungen für leitende IT-Sicherheits-, Audit- und Risikomanagement-Rollen in einem strukturierten Qualifizierungsweg: CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor) und CRISC (Certified in Risk and Information Systems Control). Alle drei Zertifizierungen stammen von ISACA, der weltweit führenden Organisation für IT-Governance, IT-Audit und IT-Risikomanagement. Wer alle drei Abschlüsse hält, deckt das komplette GRC-Spektrum ab — von der strategischen Sicherheitssteuerung über das operative Risikomanagement bis zur unabhängigen Prüfung von IT-Systemen. Aktuelle Entwicklungen rund um Künstliche Intelligenz werden in einem eigenen Abschnitt berücksichtigt.

Modul 1 — Governance und Sicherheitsmanagement (CISM) CISM ist die führende ISACA-Zertifizierung für IT-Sicherheitsmanager und CISOs. Sie behandelt, wie IT-Sicherheitsprogramme aufgebaut, geführt und kontinuierlich verbessert werden — immer im Kontext der Unternehmensstrategie. Wer CISM anstrebt, muss nicht nur technische Sicherheitskontrollen kennen, sondern auch erklären können, warum sie existieren und wie sie zum Geschäftserfolg beitragen.

• Aufbau eines IT-Governance-Frameworks: Prinzipien, Verantwortlichkeiten, Steuerungsorgane
• Rollen und Verantwortlichkeiten im CISM-Kontext: CISO, Sicherheitsteam, Executive Management
• Entwicklung von Informationssicherheitsstrategien: Leitlinien, Richtlinien, Standards, Verfahren
• Steuerung von Sicherheitsprogrammen: Budget, Ressourcen, KPIs und Metriken
• Integration von KI-gestützten Analysewerkzeugen in Sicherheitsentscheidungsprozesse
• Business-Impact-Analyse als Grundlage für Sicherheitspriorisierungen

Modul 2 — IT-Risikoanalyse und Risikomanagement (CRISC) CRISC ist speziell auf IT-Risikomanager ausgerichtet und beleuchtet, wie IT-Risiken identifiziert, bewertet, kommuniziert und durch Kontrollen gesteuert werden. Im Unterschied zu CISM, das die strategische Steuerung in den Vordergrund stellt, fokussiert CRISC auf den operativen und analytischen Risikoprozess.

• Risikobewertungsverfahren: qualitative und quantitative Methoden, Risikokategorien
• Entwicklung und Implementierung von Risikominderungs- und Kontrollmaßnahmen
• Restrisiko, Risikoakzeptanz und Eskalationsprozesse im Unternehmenskontext
• Kommunikation und Reporting von IT-Risiken an Stakeholder und Führungsgremien
• Einsatz von KI-Werkzeugen zur automatisierten Risikoidentifikation in großen Datensätzen
• CRISC-Prüfungsdomänen: IT-Risikoidentifikation, Bewertung, Reaktion und Überwachung

Modul 3 — IT-Audit und Kontrolle (CISA) CISA deckt die unabhängige Prüfperspektive ab: Wie werden IT-Systeme, -prozesse und -kontrollen systematisch und methodisch geprüft? Die Prüfung orientiert sich am CISA Review Manual mit fünf Domänen, die von Auditprozessen über IT-Governance bis zum Schutz von Informationsassets reichen.

• Auditplanung: Risikobasierte Priorisierung, Audit-Charter, Ressourcenplanung
• Durchführung von IS-Audits: Stichprobenverfahren, Befragungen, Dokumentenanalyse, Tests
• Prüfung interner Kontrollsysteme: Kontrollenrahmen, Kontrollschwächen, Restrisiko
• IT-Service Management und Asset Management im Audit-Kontext (ITIL-bezogene Prüfpunkte)
• Digitale Prüfroutinen: datengestützte Auditverfahren, kontinuierliche Prüfung, KI-gestützte Kontrollen
• Abschlussbericht und Nachverfolgung von Auditempfehlungen

Modul 4 — Künstliche Intelligenz in Governance und Audit Künstliche Intelligenz verändert, wie Governance-, Risiko- und Audit-Prozesse durchgeführt werden. Dieser Block gibt einen praxisorientierten Überblick über KI-Anwendungen im GRC-Kontext und bereitet optional auf ergänzende KI-Zertifizierungen vor.

• Grundlagen der KI im Unternehmenskontext: Machine Learning, Natural Language Processing, Automatisierung
• Anwendungsbeispiele in der GRC-Praxis: Anomalieerkennung in Transaktionsdaten, automatisiertes Audit-Reporting
• KI im Risikomanagement: prädiktive Risikomodelle, automatisierte Kontrollüberwachung
• Einordnung und kritische Bewertung von KI-Tools: Erklärbarkeit, Bias, regulatorische Anforderungen
• Optionale Erweiterungen: Microsoft AI-900, CertNexus AIBIZ, CertNexus GenAIBIZ

Praxisbezug und verknüpfende Übungen Die drei ISACA-Zertifizierungen werden im Lehrgang nicht isoliert nebeneinandergestellt, sondern durch gemeinsame Praxisszenarien miteinander verknüpft, die zeigen, wie CISM, CISA und CRISC in der Praxis zusammenwirken.

• Entwicklung einer Informationssicherheitsstrategie (CISM) und anschließende Risikoanalyse (CRISC)
• Überführung von Audit-Findings (CISA) in Risikobewertungen und Governance-Entscheidungen
• Erstellung eines vollständigen IT-Risiko-Registers für eine fiktive Organisation
• Auditplan für ein IT-Governance-Framework entwerfen und mit CISA-Kriterien prüfen
• CISM-Sicherheitsrichtlinien auf Basis von CRISC-Risikobewertungen formulieren
• KI-gestützte Anomalieerkennung in einem CISA-Kontext: Daten auswerten, Auffälligkeiten dokumentieren
• Rollenspiel: Präsentation von Audit-Ergebnissen vor dem Executive Management
• CISM-Prüfungsdomänen-Review: Informationssicherheits-Governance, Incident Management, Programmmanagement
• CRISC-Prüfungsdomänen-Review: Risikoidentifikation, Risikobewertung, Risikoreaktion, Risikoüberwachung
• CISA-Prüfungsdomänen-Review: IS-Audit-Prozess, IT-Governance, Informationssysteme, IT-Betrieb, Asset-Schutz
• Simulierte Prüfungsfragen und Analysen typischer Fragetypen aller drei Zertifizierungen
• Abschlussfall: integrierte GRC-Analyse eines mittelständischen Unternehmens mit Audit-, Risiko- und Governance-Perspektive

Der Lehrgang richtet sich ausdrücklich an Fachkräfte, die nicht nur eine Prüfung bestehen, sondern eine leitende Rolle in der IT-Sicherheit oder Compliance übernehmen wollen. Die Integration aller drei ISACA-Zertifizierungen in einem strukturierten Lehrgang spart Zeit gegenüber drei separat gebuchten Einzelkursen und schafft die inhaltlichen Verbindungen, die im Berufsalltag täglich relevant sind.

Der Lehrgang richtet sich an erfahrene IT-Fachkräfte mit Ambitionen in strategischen GRC-Rollen sowie an Personen, die bereits in Audit-, Compliance- oder Risikomanagementfunktionen tätig sind und eine formal anerkannte Qualifizierung anstreben.

• IT-Sicherheitsbeauftragte und CISOs in mittelständischen und großen Unternehmen
• IT-Auditoren und interne Revisoren, die ihren Horizont auf Risikomanagement und Governance erweitern wollen
• IT-Risk-Manager und GRC-Verantwortliche, die alle drei Perspektiven formalisieren möchten
• IT-Manager mit Fokus auf Governance und Compliance aus regulierten Branchen
• Fachkräfte mit erster Berufserfahrung im IT- oder Compliance-Umfeld, die ISACA-Zertifizierungen anstreben

Der Lehrgang wird im Combined-Learning-Format durchgeführt, das Live-Unterrichtseinheiten im virtuellen Klassenraum mit selbstständigen Lernphasen und Praxisübungen kombiniert. Die Modulstruktur erlaubt eine flexible Schwerpunktsetzung je nach Vorkenntnissen und beruflicher Ausrichtung. Praxisszenarien verknüpfen die Inhalte aller drei Zertifizierungen miteinander. Vollzeit- und Teilzeitformate stehen zur Verfügung.

Die Kombination aus drei ISACA-Vollzertifizierungen erfordert einen umfangreichen Lehrgang über mehrere Wochen bis Monate. Die genaue Dauer hängt vom Vorkenntnisstand und dem gewählten Format ab. Das Modulformat erlaubt es, einzelne Bestandteile zeitlich zu strecken oder zu komprimieren.

Die Prüfungsvorbereitung zielt auf drei vollständige ISACA-Zertifizierungen: CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor) und CRISC (Certified in Risk and Information Systems Control). Jede Prüfung wird separat bei ISACA abgelegt; die Zertifikate werden nach Nachweis der geforderten Berufserfahrung ausgestellt. Optional können ergänzend KI-Zertifizierungen (AI-900, AIBIZ, GenAIBIZ) angestrebt werden. Ergänzend erhalten alle Teilnehmenden eine qualifizierte Teilnahmebescheinigung des Anbieters.

Fachkräfte mit allen drei ISACA-Zertifizierungen sind auf dem Markt außergewöhnlich selten — und außergewöhnlich gefragt. Wer CISM, CISA und CRISC kombiniert, kann in Organisationen die vollständige GRC-Funktion abdecken: strategische Sicherheitssteuerung, unabhängige Prüfung und operatives Risikomanagement. Das ist eine Kompetenz, für die Unternehmen sonst mehrere Spezialisten engagieren. Die zunehmende regulatorische Dichte in Europa — NIS2, DORA, DSGVO, sektorspezifische Anforderungen im Gesundheitswesen und Finanzsektor — treibt die Nachfrage nach zertifizierten GRC-Fachkräften weiter an. Unternehmen müssen nachweisen können, dass ihre IT-Sicherheits-, Risiko- und Auditfunktionen durch qualifiziertes Personal abgedeckt sind. Dieser Lehrgang liefert genau diese Qualifikation in einem Zug. Die KI-Integration im vierten Modul ist kein Trendthema ohne Substanz: Audit-Tools mit ML-basierter Anomalieerkennung, automatisiertes Risikoreporting und KI-gestützte Compliance-Überprüfung sind bereits in vielen Unternehmen im Einsatz. Wer versteht, wie diese Werkzeuge funktionieren und wo ihre Grenzen liegen, kann sie in GRC-Prozesse einbetten — ein Kompetenzvorsprung, der in den nächsten Jahren an Bedeutung gewinnen wird.