IT Security & Compliance Manager (Part-Time)

Das Unternehmen automatisiert die Dokumentation von Psychotherapie – von Sitzungsnotizen bis hin zu psychologischen Berichten – damit Therapeuten weniger Zeit mit administrativen Aufgaben und mehr Zeit mit Patienten verbringen können. Wir arbeiten an der Schnittstelle von psychischer Gesundheitsversorgung, KI und Software. Sicherheit ist zentral für das, was wir aufbauen: Wir verarbeiten hochsensible Daten und haben bereits die C5- und ISO27001-Zertifizierung.

Aufgaben

• Wir suchen einen praktischen IT Security & Compliance Manager, der unsere IT-Compliance, ISMS und unser IT-Sicherheitssetup von Anfang bis Ende verantwortet.
• Compliance von Anfang bis Ende: ISO27001 und, am wichtigsten, C5: Audits, Nachweise, Risikomanagement, Korrekturmaßnahmen, Kommunikation mit Auditoren, interne Schulungen.
• Kontrollen: Entscheiden, was eine Kontrolle sein sollte, sie aufbauen und überprüfen, ob sie funktioniert.
• Vanta: Aktuell und genau halten, während wir wachsen.
• Interne IT-Sicherheit: Sie sind verantwortlich für Design und Baseline wie Identität, MDM, Geräte-Richtlinien, Endpoint-Härtung, Zugriffsmodell, On-/Offboarding.
• SaaS-Sicherheitsadministration: Konfiguration, Berechtigungen, Zugriffsüberprüfungen über unsere Tool-Landschaft.
• Koordination externer Sicherheitsarbeiten: Penetrationstests, Sicherheitsüberprüfungen, Bewertungen von Anbietern und Unterauftragnehmern.
• Sicherheitsdokumentation, auf die Auditoren und Kunden angewiesen sind: TOMs, VVT, AVVs mit Anbietern.

Qualifikation

• Erforderlich: Sie haben mindestens einmal eine ISO27001-Zertifizierung oder C5-Bestätigung von Anfang bis Ende getragen, einschließlich Auditverantwortung und Kommunikation mit Auditoren.
• Sie können Kontrollen entwerfen und implementieren, nicht nur dokumentieren.
• Sie haben die interne IT-Sicherheit praktisch selbst in der Hand – Identität, MDM, Endpoint-Baselines, SaaS-Administration, Zugriffsmodell – und konfigurieren Systeme selbst.
• Sie arbeiten direkt mit Ingenieuren an technischen Sicherheitsthemen und können beurteilen, ob eine Kontrolle in einer cloud-nativen, infrastructure-as-code Umgebung effektiv ist.
• Pragmatisches Urteilsvermögen und starke operative Verantwortung in einem kleinen, asynchronen Team.
• Deutsch auf Arbeitsebene und fließendes Englisch – Auditoren und klinische Kunden sind auf Deutsch, unser Team arbeitet auf Englisch.
• Wünschenswert: Erfahrung im Gesundheitswesen oder in einem anderen Umfeld, das hochsensible Daten verarbeitet.
• Erfahrung in der Einrichtung von IT und Sicherheit in einem frühphasigen oder schnell wachsenden Unternehmen.
• Deutsche Datenschutzpraxis: AVV, VVT, TOM, DPIA. Wir haben einen externen Datenschutzbeauftragten für die rechtliche Tiefe, daher ist dies nützlich, aber nicht erforderlich.

Was über die Checkliste hinaus wichtig ist:

Wir sind ein 10-Personen-Startup. Diese Rolle benötigt Breite, Verantwortung und praktische Ausführung. ISO27001 und C5 sind vorhanden und gehören Ihnen. Das bedeutet, sie aufrechtzuerhalten, Vanta aktuell zu halten und Kontrollen und Richtlinien anzupassen, während wir wachsen. Was wir nicht brauchen, ist jemand, der Beweise sammelt. Wir brauchen jemanden, der entscheidet, was eine Kontrolle tatsächlich sein sollte, sie aufbaut und beurteilen kann, ob sie funktioniert. Wir suchen nicht jemanden, der nur Richtlinien schreibt, sondern jemanden, der die Sicherheits- und Compliance-Grundlage aufbaut und betreibt, die VIA benötigt, während es wächst. Die Rolle ist Teilzeit aufgrund der kleinen Teamgröße, aber die Arbeitslast kann variieren (z. B. erhöht, wenn bestimmte Sicherheitsfunktionen aufgebaut werden oder während der Auditperioden).

Vorteile

• Büro in Berlin Mitte, flexible Arbeitszeiten.
• Direkter Zugang zu Gründern, CTO und dem gesamten multidisziplinären Team.
• Breite Verantwortung über eine zentrale Unternehmensfunktion.
• Eigenkapitalbeteiligung.
• Keine Mikromanagement – Ergebnisse zählen mehr als geleistete Stunden.
• Arbeiten an der Schnittstelle von KI, Gesundheitsversorgung, Software und Sicherheit.