IT Security & Compliance Manager (Part-Time)

VIA HealthTech automatisiert die Dokumentation von Psychotherapie – von Sitzungsnotizen bis hin zu psychologischen Berichten – damit Therapeuten weniger Zeit mit administrativen Aufgaben und mehr Zeit mit Patienten verbringen. Wir arbeiten an der Schnittstelle von psychischer Gesundheitsversorgung, KI und Software. Sicherheit ist zentral für das, was wir aufbauen: Wir verarbeiten hochsensible Daten und haben bereits die C5- und ISO27001-Zertifizierung.

Aufgaben

• Compliance end-to-end: ISO27001 und, am wichtigsten, C5: Audits, Nachweise, Risikomanagement, Korrekturmaßnahmen, Auditorenkommunikation, interne Schulungen
• Kontrollen: Entscheiden, was eine Kontrolle sein sollte, sie aufbauen und überprüfen, ob sie funktioniert
• Vanta: Aktuell und genau halten, während wir wachsen
• Interne IT-Sicherheit: Sie sind verantwortlich für Design und Baseline wie Identität, MDM, Geräte-Richtlinien, Endpoint-Härtung, Zugriffsmodell, On-/Offboarding
• SaaS-Sicherheitsadministration: Konfiguration, Berechtigungen, Zugriffsüberprüfungen über unsere Tool-Landschaft
• Koordination externer Sicherheitsarbeiten: Penetrationstests, Sicherheitsüberprüfungen, Anbieter- und Unterauftragnehmerbewertungen
• Sicherheitsdokumentation, auf die Auditoren und Kunden angewiesen sind: TOMs, VVT, AVVs mit Anbietern

Qualifikation

• Sie haben mindestens einmal eine ISO27001-Zertifizierung oder C5-Bestätigung end-to-end getragen, einschließlich Auditverantwortung und Auditorenkommunikation.
• Sie können Kontrollen entwerfen und implementieren, nicht nur dokumentieren.
• Sie haben die interne IT-Sicherheit praktisch geleitet – Identität, MDM, Endpoint-Baselines, SaaS-Administration, Zugriffsmodell – und konfigurieren Systeme selbst.
• Sie arbeiten direkt mit Ingenieuren an technischen Sicherheitsthemen und können beurteilen, ob eine Kontrolle in einer cloud-nativen, infrastructure-as-code Umgebung effektiv ist.
• Pragmatische Urteilsfähigkeit und starke operative Verantwortung in einem kleinen, asynchronen Team.
• Deutsch auf Arbeitsebene und fließendes Englisch – Auditoren und klinische Kunden sind auf Deutsch, unser Team arbeitet auf Englisch.

Nice to have:

• Gesundheitswesen oder ein anderes Umfeld, das hochsensible Daten verarbeitet.
• Erfahrung beim Aufbau von IT und Sicherheit in einem frühen oder schnell wachsenden Unternehmen.
• Deutsche Datenschutzpraxis: AVV, VVT, TOM, DPIA. Wir haben einen externen Datenschutzbeauftragten für die rechtliche Tiefe, daher ist dies nützlich, aber nicht erforderlich.

Was über die Checkliste hinaus wichtig ist:

Wir sind ein 10-Personen-Startup. Diese Rolle benötigt Breite, Verantwortung und praktische Ausführung. ISO27001 und C5 sind vorhanden und gehören Ihnen. Das bedeutet, sie zu pflegen, Vanta aktuell zu halten und Kontrollen und Richtlinien anzupassen, während wir wachsen. Was wir nicht brauchen, ist jemand, der nur Beweise sammelt. Wir brauchen jemanden, der entscheidet, was eine Kontrolle tatsächlich sein sollte, sie aufbaut und beurteilen kann, ob sie funktioniert. Wir suchen nicht jemanden, der nur Richtlinien schreibt, sondern jemanden, der die Sicherheits- und Compliance-Grundlage aufbaut und betreibt, die VIA benötigt, während es wächst.

Die Rolle ist Teilzeit aufgrund der kleinen Teamgröße, aber die Arbeitslast kann variieren (z.B. erhöht, wenn bestimmte Sicherheitsfunktionen aufgebaut werden oder während der Auditperioden).

Benefits

• Büro in Berlin Mitte, flexible Arbeitszeiten
• Direkter Zugang zu Gründern, CTO und dem gesamten multidisziplinären Team
• Breite Verantwortung über eine zentrale Unternehmensfunktion
• Eigenkapitalbeteiligung
• Keine Mikromanagement – Ergebnisse zählen mehr als geleistete Stunden
• Arbeiten an der Schnittstelle von KI, Gesundheitsversorgung, Software und Sicherheit