Cybersecurity Engineer

Gravis Robotics ist ein Startup, das schwere Baumaschinen in intelligente und autonome Roboter verwandelt. Unsere einzigartige Kombination aus lernbasierter Automatisierung und erweitertem Fernsteuerung ermöglicht es einem einzelnen Bediener, eine Flotte von Erdbewegungsmaschinen in einer spielerischen Umgebung sicher zu verwalten. Mit über einem Jahrzehnt akademischer Erfahrung an der Spitze der großangelegten Robotik übersetzt unser Team dieses Fachwissen schnell in reale Einsätze mit Branchenführern in einem Billionen-Dollar-Markt.

Bei Gravis arbeiten wir an der Schnittstelle von Hardware, Software und realen Einsätzen. Unser Rooftop Autonomous Control Kit (RACK) integriert Sensorik, Berechnung, Kommunikation und Netzwerke in eine herstellerunabhängige Lösung, die über eine breite Palette von Baumaschinen hinweg einsetzbar ist.

Als Cybersecurity Engineer bei Gravis sind Sie verantwortlich für die Entwicklung unserer digitalen Sicherheit über den gesamten Produktlebenszyklus; von dem eingebetteten Software-Stack innerhalb der RACK-Hardware bis hin zu unserer Cloud-Infrastruktur und Lieferkette. Sie werden die Expertenstimme des Unternehmens zur EU Cyber Resilience Act (CRA) Bereitschaft sein. Sie leiten den Sicherheitsentwicklungslebenszyklus und integrieren Sicherheit in unsere Entwicklungsprozesse von Anfang an, während Sie das Entwicklungsteam zu Best Practices anleiten. Als Mitglied des Sicherheitsteams fungieren Sie als vertrauenswürdiger Partner in den Bereichen Engineering, Produkt, Recht und Betrieb. Dies ist eine hochwirksame Rolle als individueller Beitragender mit dem Mandat, eine Sicherheitsfunktion aufzubauen, während Gravis global wächst.

Was Sie tun werden:

• Regulatorik & Compliance: Führen Sie die CRA-Bereitschaft für Gravis-Produkte mit digitalen Elementen: Scoping, Produktklassifizierung, Lückenanalysen gegen wesentliche Anforderungen, Risikoanalysen, Steuerungsdesign und Sanierungsfahrpläne.
• Übersetzen Sie die Anforderungen der CRA, NIS2 und Maschinenverordnung in umsetzbare Kontrollrahmen und Richtlinien; ordnen Sie diese ISO 27001/27002/27036, NIST CSF, NIST SP 800-161, NIST SSDF, CIS Controls und OWASP zu.
• Halten Sie umfassende technische Dokumentationen bereit, um Konformitätsbewertungen, CE-Kennzeichnungen und die Zusammenarbeit mit benannten Stellen zu unterstützen.
• Bleiben Sie über aufkommende Bedrohungen, regulatorische Änderungen und Best Practices in der Produktsicherheit, Lieferkettensicherheit und GRC informiert.

Produkt-Sicherheit:

• Etablieren und reifen Sie die Fähigkeiten zur Produktsicherheit: sicherer Entwicklungslebenszyklus, sichere Aktualisierungsprozesse, Umgang mit Schwachstellen, koordinierte Schwachstellenoffenlegung (CVD), PSIRT-Einrichtung und -Betrieb, SBOM-Generierung, -Management und -Triage von Schwachstellen.
• Führen Sie Risikoanalysen und Bedrohungsmodellierungen für Produkte und Lieferanten durch; definieren Sie Minderungstrategien, Kennzahlen und KPIs.
• Teilnahme an Überprüfungen von Vorfällen und Alarmen; Vorschlagen und Implementieren von Verbesserungsmaßnahmen.
• Bewerten und verbessern Sie die Sicherheitsverfestigung von Unternehmens- und eingebetteten Lösungen.

Sichere Ingenieurwissenschaft:

• Schreiben Sie sicheren Code für kritische Systemkomponenten in C, C++, Python und/oder Rust.
• Führen Sie manuelle und automatisierte Codeüberprüfungen mit striktem Fokus auf Sicherheitsanfälligkeiten (OWASP Top 10, CWE) durch.
• Definieren und setzen Sie sichere Codierungsrichtlinien und SAST/DAST-Tools in den Ingenieurteams durch.
• Mentorieren und schulen Sie Ingenieure zu Best Practices in der sicheren Entwicklung.

Zusammenarbeit & Kommunikation:

• Zusammenarbeit mit Sicherheits-, Ingenieur-, Produkt-, Betriebs-, Rechts- und Compliance-Teams; Workshops moderieren und Veränderungen vorantreiben.
• Erstellen Sie klare, qualitativ hochwertige Ergebnisse: Bewertungsberichte, Steuerungsdesigns, Implementierungspläne, Richtlinien, Prozesskarten und Schulungsmaterialien.
• Überwachen und berichten Sie regelmäßig über Sicherheitskennzahlen, Sicherheitslage und Compliance-Status an das Management.
• Erklären Sie komplexe Sicherheitsthemen klar sowohl für technische als auch nicht-technische Stakeholder.

Erforderliche Qualifikationen:

• 3+ Jahre Sicherheitserfahrung mit direktem Fokus auf EU-Regulierungs-Compliance (CRA, NIS2, Maschinenverordnung) und GRC.
• Starke Vertrautheit mit industriellen oder eingebetteten Cybersicherheitsstandards, insbesondere IEC 62443.
• Breites Wissen über Sicherheitsrahmen — ISO 27001, NIST CSF, NIST SP 800-161, NIST SSDF, CIS Controls, OWASP — einschließlich Kontrollzuordnung und maßgeschneiderte Implementierung.
• Nachweisbare Erfahrung in der Etablierung von Fähigkeiten zur Produktsicherheit (PSIRT, CVD, SBOM, sichere Entwicklungs-/Aktualisierungspipelines) in einer Produkt- oder Softwareorganisation.
• Fähigkeit, sicheren Code in einer oder mehreren der folgenden Sprachen zu schreiben: C, C++, Python, Rust.
• Erfahrung in der Durchführung manueller und automatisierter Codeüberprüfungen mit Fokus auf die Identifizierung von Sicherheitsanfälligkeiten.
• Tiefes Verständnis der gängigen Schwachstellenklassen (OWASP Top 10, CWE) und nachgewiesene Minderungstrategien.
• Starke schriftliche und mündliche Kommunikationsfähigkeiten; komfortabel im Umgang mit Ingenieuren und Führungskräften.

Wünschenswert:

• Relevante Cybersicherheitszertifizierungen: CISSP, CISM, CISA, CRISC, ISO 27001 Lead Implementer/Auditor, CCSK oder CCSP.
• Praktische Erfahrung mit Konformitätsbewertungen, technischer Dokumentation und CE-Kennzeichnungsprozessen.
• Erfahrung mit Penetrationstests und Schwachstellenbewertungen.
• Praktische Erfahrung mit SAST- und DAST-Tools.
• Erfahrung in der Zusammenarbeit mit benannten Stellen im Rahmen des Konformitätsbewertungsprozesses.
• Kenntnisse in Kryptographie, sicheren Boot-Prozessen und sicheren Over-the-Air (OTA)-Aktualisierungsmechanismen.
• Hintergrund in der industriellen Automatisierung, Robotik oder eingebetteten Systemumgebungen.

Wenn Sie nicht alle Anforderungen erfüllen? Wenn Sie begeistert von dieser Rolle sind, aber Ihre Erfahrung nicht jeder Qualifikation entspricht, ermutigen wir Sie dennoch, sich zu bewerben. Sie könnten der perfekte Kandidat für diese oder andere Positionen sein.

Dies ist eine Gelegenheit, Teil eines dynamischen und vielseitigen Teams zu werden und Teil eines jungen Startups zu sein, das die schwere Bauindustrie revolutionieren wird. Gravis Robotics bietet ein faires Markengehalt und einen Arbeitsort in der lebhaften Stadt Zürich. Als zukunftsorientiertes Startup verstehen wir, dass Work-Life-Balance und Flexibilität wichtige Überlegungen für viele Fachkräfte sind: Wenn Sie ein hochqualifizierter Kandidat mit den erforderlichen Fähigkeiten und Erfahrungen sind, ermutigen wir Sie, sich zu bewerben und während des Vorstellungsgesprächs über Ihre bevorzugte Arbeitsanordnung zu sprechen.

Gravis ist ein Arbeitgeber, der Chancengleichheit bietet. Wir setzen uns dafür ein, ein inklusives und diverses Team aufzubauen und diskriminieren nicht aufgrund von Rasse, Hautfarbe, Abstammung, nationaler Herkunft, Religion, Geschlecht, sexueller Orientierung, Alter, Geschlechtsidentität, Geschlechtsausdruck, Behinderung, Veteranenstatus oder anderen gesetzlich geschützten Merkmalen.

Wir sind ein internationales Team, das daran arbeitet, Probleme mit globaler Auswirkung zu lösen: Um eine effiziente Kommunikation und Zusammenarbeit zu ermöglichen, ist Englischkenntnis für alle Rollen erforderlich.