Leiter für Informationssicherheit & Compliance

Über uns

Ikerian AG (ehemals RetinAI Medical) ist ein schnell wachsendes Unternehmen für medizinische Software mit Sitz in Bern, Schweiz. Unsere Mission ist es, die richtigen Entscheidungen im Gesundheitswesen schneller zu ermöglichen, durch transformative KI- und Datenmanagementlösungen für die Krankheitsfrüherkennung und -überwachung. Schließen Sie sich unserem vielfältigen Team von Unternehmern, Entwicklern, Forschern und kommerziellen Experten an, die gemeinsam die Zukunft des Gesundheitswesens gestalten.

Stellenbeschreibung

In Berichterstattung an den CTO ist der Leiter für Informationssicherheit & Compliance für unser Informationssicherheitsmanagementsystem (ISMS) verantwortlich. Sie werden die ISO 27001-Zertifizierung vorantreiben, die EU-KI-Verordnung, das DE-Digitaldienstgesetz, die GDPR/HIPAA/PIPEDA/Schweizer Datenschutzgesetze und die UK IT Governance-Verordnung (UKGDPR) einhalten und aufrechterhalten sowie alle anderen Daten- und Cybersicherheitsanforderungen erfüllen, das Risikomanagement und die Lieferantensicherheit leiten und als zentraler Ansprechpartner für Auditoren, Kunden und Regulierungsbehörden fungieren. Dies ist eine praktische, eigenständige Senior-Rolle mit Einfluss auf Engineering, IT-Operationen, HR und Beschaffung.

Hauptverantwortlichkeiten

• Leitung der ISO 27001-Implementierung & Zertifizierung
• Festlegung des Umfangs, der Risikomethodik, der Anwendbarkeitserklärung und der Kontrolleinführung.
• Vorsitz im ISMS-Lenkungsausschuss und Präsentation der vierteljährlichen KPIs an die Führungsebene.
• SOC2/HITRUST oder ähnliche Zertifizierung.  
• Verantwortung für die laufende Sicherheits- & Datenschutz-Compliance
• Aufrechterhaltung von ISO 27001, GDPR (EU/CH), HIPAA (US) und MDR Anhang I IT-Klauseln sowie FDA IT- & Cybersicherheitsklauseln.
• Als benannter Datenschutzbeauftragter (DPO) und Datensicherheitsbeauftragter (DSO) fungieren.
• Compliance mit der EU-KI-Verordnung, dem DE-Digitaldienstgesetz, PIPEDA/Schweizer Datenschutz und der UK IT Governance-Verordnung (UKGDPR). 
• Risikomanagement & kontinuierliche Verbesserung
• Das Asset/Risiko-Register aktuell halten; jährliche Risikoanalysen & Behandlungspläne durchführen.
• Korrekturmaßnahmen aus Vorfällen, Audits und Penetrationstests vorantreiben.
• Audit- & Kundenabsicherung
• Planung und Durchführung interner Audits, externer Überwachungsprüfungen und Kundenbewertungen.
• Erstellung von Sicherheits-Whitepapers, Due-Diligence-Fragebögen (DDQs) und SoC-ähnlichen Artefakten.
• Lieferanten- & Cloud-Sicherheitsgovernance
• Verantwortung für die Lieferantenanmeldung, Sicherheitsfragebögen, Prüfungsrechte und regelmäßige Überprüfungen.
• Ermöglichung von Sicherheitsengineering
• Zusammenarbeit mit DevOps zur Härtung der Cloud-Infrastruktur (AWS) und CI/CD-Pipelines.
• Einbettung von Secure-SDLC-Praktiken (Bedrohungsmodellierung, SAST/DAST, Abhängigkeitsprüfung).
• Bewusstsein & Kultur
• Durchführung von Schulungen zur Einarbeitung, Phishing-Simulationen und rollenbasierten Sicherheitssitzungen.
• Veröffentlichung monatlicher Sicherheitskennzahlen und Erkenntnisse aus Vorfällen an das breitere Team.

5–8 Jahre Erfahrung in Informationssicherheit / GRC, einschließlich End-to-End-ISO 27001 oder SOC 2 Implementierungserfahrung in einer cloud-nativen Umgebung.

Nachweisliche Erfolge als ISMS-Eigentümer oder Lead Auditor; Management von Audits und Korrekturmaßnahmen.

Vertrautheit mit GDPR, HIPAA und Risikomanagement für SaaS oder medizinische Software.

Bachelor- oder Masterabschluss in Informationssicherheit, Informatik oder ähnlichem.

ISO 27001 Lead Implementer/Auditor, CISM oder CISSP (starker Pluspunkt).

Ausgezeichnete schriftliche & gesprochene Englischkenntnisse; starke Einflussnahme auf Stakeholder, Schulungsfähigkeiten und präzise Berichterstattung auf Exekutive-/Vorstandsebene.

Selbststarter, der sich in einem hochautonomen Startup wohlfühlt; in der Lage, Prioritäten zu setzen und mit begrenzten Ressourcen zu arbeiten.

Berechtigt, remote innerhalb Europas zu arbeiten; in der Lage, etwa 3 Mal pro Jahr in die Schweiz zu reisen.

• Wettbewerbsfähiges Gehalt & Bonus sowie Teilnahme an unserem Mitarbeiteraktienoptionsplan.
• Remote-first-Kultur mit flexiblen Arbeitszeiten und echtem Gleichgewicht zwischen Berufs- und Privatleben.
• Budget für Zertifizierungen, Konferenzen und Ausrüstung Ihrer Wahl.
• Gelegenheit, ein Greenfield-ISMS aufzubauen, das direkte Auswirkungen auf die Patientenergebnisse hat.
• Inklusives, kollaboratives Team, das Eigenverantwortung und schnelle Iteration schätzt.