Über mich

Als Cybersecurity Auditor in der Versicherungsaufsicht prüfe ich, wie Organisationen ihre Cyber- und Informations­sicherheit steuern und ob ihre Vorgaben, Zuständigkeiten und Prozesse angemessen ausgestaltet sind.

Meine beruflichen Anfänge liegen in der Elektrotechnik, gelernt habe ich Energieelektroniker. Nach dem Abschluss als staatlich geprüfter Techniker, Fachrichtung Elektrotechnik/Datentechnik, kam ich bei einem Energieversorger in die EDV, wie es damals noch hiess. Dort war ich zu Zeiten von Windows NT 3.51 für alles zuständig, was anfiel: Arbeitsplätze und Server, Fileservices und Mailsystem, Backup und Virenschutz.

Anschliessend baute ich bei einem Schweizer Detailhandelsunternehmen die konzernweite Software-Verteilung für die Server auf. Dabei paketierte ich die Betriebssysteme mit gehärteten Konfigurationen, insbesondere für Server, die aus dem Internet erreichbar waren. Daneben wirkte ich an der Lancierung und am Betrieb des Online-Supermarkts mit.

Die damaligen Systeme sind längst Geschichte. Eine Erkenntnis aus meiner Erfahrung begleitet mich jedoch bis heute: Technik allein reicht nicht. Ohne klare Vorgaben, Zuständigkeiten und Entscheidwege wird improvisiert. Die Fragen dahinter bleiben: Wer ist verantwortlich, worauf stützt sich ein Entscheid, und wird das Beschlossene umgesetzt?

Mit jeder neuen Technik stellt sich die Frage der Steuerung neu. Schatten-IT entstand damals, wo Vorgaben unklar waren oder den Bedarf nicht abdeckten. Schatten-KI entsteht heute häufig dort, wo klare Regeln fehlen oder der freigegebene Weg den Bedarf nicht deckt.

Über die Leitung von IT-Projekten führte mein Weg weiter in die Sicherheit, zunächst als IT-Sicherheits­beauftragter in einem Bundesamt. Anschliessend wechselte ich als Auditor für Informationssicherheit und Datenschutz zu einer kantonalen Aufsichtsstelle.

Danach koordinierte ich als CISO die Informationssicherheit von fünf Schweizer Unternehmen eines internationalen Industriekonzerns, in einem davon zugleich als Datenschutz­beauftragter. Zurück in der Bundesverwaltung war ich Informations­sicherheits­beauftragter eines Bundesamts und leitete zudem stellvertretend eine Sektion für Unternehmensarchitektur und Sicherheit.

Neben meiner Tätigkeit als Auditor nehme ich heute mit einem kleinen Teilpensum die Stellvertretung des Informations­sicherheits­beauftragten (ISBO) des Amts wahr, in dem die Versicherungsaufsicht angesiedelt ist. Dabei befasse ich mich insbesondere mit Vorgaben und rechtlichen Fragen.

Aus meiner Erfahrung in Sicherheitsfunktionen weiss ich, worauf es bei einem wirksamen Managementsystem für Informationssicherheit (ISMS) ankommt: eine oberste Leitung, die ihre Verantwortung wahrnimmt, die Sicherheitsfunktion aktiv führt und sie unabhängig arbeiten lässt. Ebenso wichtig ist, dass Informations­sicherheit, Unternehmens­risiko­management, Business Continuity, Krisenmanagement und Datenschutz eng koordiniert zusammenarbeiten. Diese Erfahrung prägt meinen Blick als Auditor: Ich kenne die Anforderungen sowohl aus der Umsetzung als auch aus der Prüfung.

In meinen privat verfassten Whitepapern beschäftige ich mich mit wiederkehrenden Fragen zu Governance, Risikosteuerung und Prüfpraxis. Dabei verbinde ich Erfahrungen aus technischen, steuernden und prüfenden Funktionen. Sie stützen sich auf öffentlich zugängliche Quellen und meine berufliche Erfahrung, enthalten aber keine nicht öffentlichen Informationen aus meiner Tätigkeit in der Aufsicht und geben keine Aufsichtserwartungen wieder.

Zertifizierungen

• ISO/IEC 27001:2022 Lead Auditor (gültig bis Februar 2028)
• ISO 22301:2019 Lead Auditor (gültig bis Juni 2028)
• ISO/IEC 42001:2023 Lead Auditor (gültig bis Oktober 2029)
• ISO/IEC 27001:2022 Lead Implementer (gültig bis Februar 2028)
• Generative AI Professional (gültig bis März 2028)
• DSGVO-Praktiker, Swiss Infosec AG

Weiterbildung

• Master of Advanced Studies in Information Systems Management, FHNW
• CAS Security & Risk Management, FHNW
• CAS IT Management, FHNW
• CAS Project Management, HWZ
• Betriebswirtschaftslehre, Grundlagenmodul, FHNW