Information Security Officer

Ihre Rolle

Die Person, die die ICT-Infrastruktur betreibt, und die Person, die unabhängig testet, ob die ICT-Kontrollen funktionieren, müssen unterschiedliche Personen sein. In dieser Rolle sind Sie für das ISMS verantwortlich, treiben die ISO 27001- und DORA-Compliance voran und fungieren als unabhängige Herausforderung für alle ICT-Risiken bei Blockrise. Sie haben direkten Zugang zum Vorstand und zu regulatorischen Gesprächen. Sie bauen die Funktion mit der richtigen strukturellen Unabhängigkeit auf.

Was Sie tun werden:

• Besitzen Sie das ISMS. Pflegen und entwickeln Sie das Informationssicherheitsmanagementsystem von Blockrise und halten Sie es aktuell, während das Unternehmen wächst und sich das regulatorische Umfeld weiterentwickelt.
• Treiben Sie die ISO 27001-Zertifizierung voran. Verwalten Sie die laufende Compliance und die Bereitschaft zur Prüfung. Pflegen Sie die Beziehung zu unserem externen Prüfer und der Zertifizierungsstelle.
• Implementieren Sie DORA. Übersetzen Sie die Artikel 5-15 (ICT-Risikomanagement), 23-25 (Ereignismeldung) und 28-30 (Drittanbieter-Risiko) in operationale Kontrollen, dokumentierte Nachweise und Testzyklen.
• Definieren und durchsetzen Sie die Sicherheitsrichtlinien. Besitzen Sie den Richtlinienrahmen in der gesamten Organisation. Die Richtlinien müssen sowohl bei Prüfungen als auch in einem tatsächlichen Vorfall standhalten.
• Überwachen Sie das Schwachstellenmanagement und Penetrationstests. Arbeiten Sie mit unserem IT-Team und externen Parteien zusammen, um sicherzustellen, dass Ergebnisse verfolgt, priorisiert und behoben werden.
• Leiten Sie die Reaktion auf Sicherheitsvorfälle. Besitzen Sie den Prozess von der Vorbereitung über die Erkennung, Eindämmung und regulatorische Meldung, wo erforderlich.
• Verwalten Sie das Risiko von Drittanbietern und Cloud-Sicherheit. Bewerten und überwachen Sie die Sicherheitslage unserer GCP-Umgebung und kritischer ausgelagerter Dienstleister.
• Agieren Sie als zweite Herausforderung. Überprüfen, testen und verifizieren Sie unabhängig, dass die ersten ICT-Kontrollen wie beabsichtigt funktionieren. Berichten Sie Ergebnisse ohne Filter.
• Berichten Sie an den Vorstand und die Regulierungsbehörden. Übersetzen Sie technische Risiken in einfache Geschäftssprache. Vertreten Sie die Sicherheit auf hoher und regulatorischer Ebene.
• Halten Sie den Tool-Stack aktuell. Halten Sie die Systeme des ICT-Risikomanagements und den Endpunktschutz aktuell. Identifizieren Sie Lücken und schlagen Sie Lösungen vor.

Was Sie mitbringen:

• Mindestens 5 Jahre Erfahrung in der Informationssicherheit, davon mindestens 2 Jahre mit ISMS-Verantwortung oder gleichwertigem Umfang.
• Praktische Erfahrung in der Implementierung oder Aufrechterhaltung der ISO 27001-Zertifizierung.
• Solides Wissen über DORA, insbesondere über die Artikel 5-15, 23-25 und 28-30, mit Erfahrung in der Übersetzung regulatorischer Anforderungen in Kontrollen.
• Erfahrung im Schwachstellenmanagement, der Überwachung von Penetrationstests und der Reaktion auf Sicherheitsvorfälle.
• Eine nachweisliche Erfolgsbilanz bei der Definition und Durchsetzung von Sicherheitsrichtlinien.
• Erfahrung in der Cloud-Sicherheit: GCP bevorzugt; AWS oder Azure akzeptabel.
• Vertrautheit mit SIEM, Schwachstellenscannern und Endpunktschutz; direkte Erfahrung mit Vanta und/oder einem anderen ICT-Risikomanagementsystem ist von Vorteil.
• Ein klares Verständnis des Modells der drei Verteidigungslinien. Sie wissen, was echte Unabhängigkeit der zweiten Linie erfordert und können erklären, warum dies für einen CTO, der derzeit beide Funktionen innehat, wichtig ist.
• Fähigkeit, Sicherheitsrisiken in Geschäftsterminen an den Vorstand und die Regulierungsbehörden zu kommunizieren. Sicherheit im Umgang mit Zahlen und regulatorischer Sprache.
• Starke schriftliche und mündliche Englischkenntnisse. Niederländisch ist ein Plus.
• CISSP, CISM oder ISO 27001 Lead Implementer/Auditor (bevorzugt). CRISC ist ein Bonus.

Schön zu haben:

• Erfahrung im Finanzdienstleistungssektor oder in Bitcoin- und digitalen Vermögensgeschäften.
• Kenntnisse über MiCAR und deren Auswirkungen auf die operationale Resilienz.
• Erfahrung mit regulatorischen Prüfungen, die von DNB, AFM oder gleichwertigen Behörden durchgeführt werden.
• Risikomanagement von Drittanbietern in ausgelagerten oder cloud-first Umgebungen, insbesondere für kritische Dienstleister.

Was wir bieten:

• Wettbewerbsfähiges monatliches Gehalt von 6.500 - 8.500 EUR basierend auf einer Vollzeitbeschäftigung, abhängig von Ihrer Erfahrung.
• Bis zu 300 EUR zur Investition in Werkzeuge, die Ihren Arbeitsablauf verbessern (Kopfhörer, Tastaturen usw.).
• Monatliche Bitcoin-Rente von 50 EUR.
• 25 Urlaubstage.
• Option zur Teilnahme an unserem Aktienzertifikatsprogramm.
• Reisekostenerstattung oder NS Business Card für Ihren Arbeitsweg.
• Möglichkeiten für hybrides Arbeiten, obwohl persönliche Zusammenarbeit hoch geschätzt wird.
• Bezahlte Schulungen und Lernressourcen, um Ihre Fähigkeiten scharf und aktuell zu halten.
• Eine voll ausgestattete Speisekammer und einen Kühlschrank im Büro, mit Mahlzeiten, Snacks und Getränken.
• Vergünstigter Zugang zu Urban Sports Club und LeaseBike-Plänen.

Kontaktieren Sie uns:

Um sich zu bewerben, füllen Sie bitte das untenstehende Formular aus. Bei Fragen zur Stellenanzeige, Ihrer Bewerbung oder Blockrise kontaktieren Sie bitte recruitment@blockrise.com. Wir erwarten, innerhalb einer Woche zu antworten. Wir berücksichtigen jede Bewerbung unabhängig von Ihrem Hintergrund und Ihren Überzeugungen. Nach einer Einführung kann eine Aufgabe Teil des Bewerbungsprozesses sein.

Bitte beachten Sie, dass Blockrise (gemäß unserer Datenschutzrichtlinie) durch die Einreichung Ihrer Bewerbung die Erlaubnis erhält, Ihre Bewerbungsdaten zu beantragen, zu speichern und zu verarbeiten, um die Beschäftigung zu prüfen. Wir werden Ihre Bewerbungsdaten innerhalb von 30 Tagen löschen, wenn Ihre Bewerbung nicht mehr berücksichtigt wird.

Unsolizitierte Rekrutierung:

Wir akzeptieren keine unaufgeforderten Lebensläufe von Personalvermittlern oder Arbeitsagenturen. Wir werden keine Vergütung oder Gebühren für Empfehlungen im Zusammenhang mit unaufgeforderten Lebensläufen in Betracht ziehen oder vereinbaren.