Information Security & Compliance Manager (all genders) in Wien

Standort: Wien — hybrid, mit regelmäßiger Präsenz vor Ort (und vollständiger Präsenz während Audits)

Sprachen: Englisch (C1); Deutsch von Vorteil

Erfahrung: 5+ Jahre in Informationssicherheit, Compliance oder GRC, einschließlich mindestens eines ISO 27001 Auditzyklus, der end-to-end verantwortet wurde

Gehalt: Wettbewerbsfähig, basierend auf Erfahrung

Vertrag: Vollzeit, unbefristet

Fiskaly ist zertifiziert nach ISO 27001, und unser Re-Zertifizierungsaudit ist für Anfang 2027 geplant. Wir suchen einen Informationssicherheits- und Compliance-Manager, der die end-to-end Verantwortung für unser ISMS übernimmt: Schließen Sie die offenen Nichtkonformitäten aus unserem letzten Audit, entwickeln Sie das Managementsystem weiter und führen Sie uns durch die Re-Zertifizierung — und heben Sie die Messlatte weiter an, während wir in sieben europäischen Märkten wachsen.

Dies ist eine Eigentumsrolle, keine Koordinationsrolle. Sie setzen die Richtung fest — was passieren muss, in welcher Reihenfolge und warum — und liefern einen großen Teil selbst: Prozesse verbessern, interne Audits durchführen, Nachweise vorbereiten und im Raum mit den Auditoren sitzen. Gegenüber unserem Managementteam sind Sie die unabhängige Expertenstimme für Sicherheit und Compliance; gegenüber Engineering, Produkt und Recht sind Sie der praktische Partner, der dafür sorgt, dass Kontrollen in einer cloud-nativen SaaS-Umgebung funktionieren.

Über ISO 27001 hinaus kümmern Sie sich um unser ISO 9001 Qualitätsmanagementsystem und unser GDPR-Rahmenwerk und halten uns im Hinblick auf NIS2 und das AI-Gesetz auf dem Laufenden.

Was Sie tun werden:

• Übernehmen Sie unser ISMS end-to-end — Umfang, Richtlinien, Kontrollen, Risikoregister, Managementbewertung und kontinuierliche Verbesserung — und seien Sie verantwortlich für dessen Effektivität, nicht nur für die Dokumentation.
• Leiten Sie unsere Re-Zertifizierung Anfang 2027: Bewerten Sie den aktuellen Stand (frühere Feststellungen, bestehende Richtlinien und Prozesse, Lücken), schließen Sie die offenen Nichtkonformitäten, planen und führen Sie interne Audits durch, bereiten Sie die Managementbewertung und die Nachweise vor, koordinieren Sie mit der Zertifizierungsstelle und seien Sie während des gesamten Audits präsent.
• Definieren und bauen Sie ISMS-Prozesse, die auf fiskaly zugeschnitten sind — Geschäftskontinuität, Änderungsmanagement, Vorfall- und Schwachstellenmanagement, Lieferantenmanagement — entworfen für die Arbeitsweise eines cloud-nativen Engineering-Teams, nicht kopiert von einer Vorlage.
• Führen Sie das unternehmensweite Risikomanagementprogramm, indem Sie abstrakte Risiken in priorisierte, umsetzbare Engineering- und Geschäftstasks übersetzen und das Geschäftsrisiko im Vergleich zum technischen Risiko der Führungsebene erklären.
• Seien Sie die unabhängige Expertenstimme gegenüber dem Management: Berichten Sie über den Stand der Sicherheit und Compliance, erklären Sie, wofür unsere Prozesse gedacht sind, und geben Sie konkrete Anweisungen, was verbessert werden muss und in welcher Reihenfolge.
• Arbeiten Sie mit Engineering und Produkt zusammen, um Sicherheit von Anfang an in den SDLC, CI/CD und Infrastruktur-als-Code zu integrieren und die Nachweiserfassung von manueller Erfassung auf automatisierte, kontinuierliche Überwachung zu verlagern, wo immer dies möglich ist.
• Unterstützen Sie Recht und Vertrieb bei der Kundenprüfung: Sicherheitsfragebögen, Vertragsprüfungen zur Sicherheit und Audits von Unternehmenskunden.
• Überwachen Sie das Risikomanagement von Anbietern mit leichten, skalierbaren Bewertungen, die Drittrisiken aufdecken, ohne den Beschaffungsprozess zu verzögern.
• Pflegen Sie unser ISO 9001 QMS und das GDPR-Rahmenwerk, überwachen Sie die regulatorische Landschaft (NIS2, AI-Gesetz) und übersetzen Sie diese in praktische Fahrpläne für die Führungsebene.
• Fördern Sie eine sicherheitsbewusste Kultur über die obligatorische Schulung hinaus — positionieren Sie Compliance als Geschäftsermöglicher, nicht als Blocker.

Was Sie mitbringen:

• 5+ Jahre in Informationssicherheit, Compliance oder Risikomanagement, mit nachweislicher Erfahrung im Aufbau oder in der Weiterentwicklung eines ISMS.
• Sie haben mindestens eine ISO 27001-Zertifizierung, Überwachung oder Re-Zertifizierung auditend end-to-end verantwortet — von der Gap-Analyse und dem Schließen von Nichtkonformitäten bis hin zum Gespräch mit dem Auditor.
• Tiefes Wissen über ISO 27001 (2022) und deren Kontrollen; praktische Kenntnisse über ISO 9001 und GDPR; in der Lage, NIS2 ohne Unterstützung zu navigieren.
• Echte Vertrautheit mit SaaS- und Cloud-Umgebungen: Sie verstehen GCP und/oder Azure, CI/CD, Infrastruktur-als-Code und modernes Änderungsmanagement gut genug, um sie zu auditieren und mit Ingenieuren auf Augenhöhe zu sprechen.
• Ein solides Verständnis des sicheren SDLC — wie es gut aussieht und wo die Nachweise zu finden sind.
• Starke Grundlagen im Risikomanagement (ISO 31000, COSO oder vergleichbar) und die Fähigkeit, Risiken in geschäftlichen Begriffen an C-Level-Stakeholder zu präsentieren.
• Eine praktische, ergebnisorientierte Denkweise: Sie definieren, was getan werden muss, und setzen es dann um, wobei Sie Ihre Anstrengungen an die Frist anpassen.
• Ausgezeichnete Kommunikations- und Präsentationsfähigkeiten.