Verordnung über die Prüfung zum anerkannten Fortbildungsabschluss mit der Bezeichnung Geprüfter Berufsspezialist für Informationssicherheit oder Geprüfte Berufsspezialistin für Informationssicherheit (InSiFPrV)

Ausfertigungsdatum: 2024-09-24

Fundstelle: BGBl. I 2024, Nr. 296, 10

§ 1 Ziel der Prüfung und Bezeichnung des Fortbildungsabschlusses

(1) Mit der erfolgreich abgelegten Prüfung nach dieser Verordnung wird die auf einen beruflichen Aufstieg abzielende Ergänzung der beruflichen Handlungsfähigkeit auf der ersten beruflichen Fortbildungsstufe der höherqualifizierenden Berufsbildung nachgewiesen.

(2) Die Prüfung wird von der nach dem Berufsbildungsgesetz zuständigen Stelle durchgeführt.

(3) Durch die Prüfung ist festzustellen, ob die zu prüfende Person nach § 53b Absatz 2 Satz 1 des Berufsbildungsgesetzes die erforderlichen Fertigkeiten, Kenntnisse und Fähigkeiten, die sie in der Regel im Rahmen der Berufsausbildung erworben hat, vertieft hat und die in der Regel im Rahmen der Berufsausbildung erworbene berufliche Handlungsfähigkeit um neue Fertigkeiten, Kenntnisse und Fähigkeiten ergänzt hat. Insbesondere ist festzustellen, ob die zu prüfende Person in der Lage ist, eigenständig und verantwortlich Maßnahmen zur Gewährleistung der Informationssicherheit unter Einhaltung des Datenschutzes und Gewährleistung der Datensicherheit zu entwickeln, Gefährdungen zu identifizieren, Risiken zu analysieren und Maßnahmen zu deren Vermeidung zu implementieren sowie dabei die Dimensionen des nachhaltigen Wirtschaftens und auch deren ethische Aspekte zu berücksichtigen. Im Einzelnen umfasst dies insbesondere folgende Tätigkeiten:

1. Analysieren von Bedrohungs- und Risikoszenarien,

2. Planen von Sicherheitsmaßnahmen,

3. Gewährleisten des sicheren Betriebs von IT-Systemen,

4. Dokumentieren und Evaluieren von Sicherheitsmaßnahmen sowie

5. Unterstützen der Projektleitung bei der Vorbereitung, der Planung, der Durchführung und dem Abschluss von Projekten.

(4) Für den Erwerb der in Absatz 3 bezeichneten Fertigkeiten, Kenntnisse und Fähigkeiten bedarf es in der Regel eines Lernumfangs von insgesamt mindestens 400 Stunden. Der Lerninhalt bestimmt sich nach den Anforderungen des in § 3 in Verbindung mit § 4 genannten Prüfungsbereichs.

(5) Die erfolgreich abgelegte Prüfung führt zum anerkannten Fortbildungsabschluss mit der Bezeichnung „Geprüfter Berufsspezialist für Informationssicherheit“ oder „Geprüfte Berufsspezialistin für Informationssicherheit“.

§ 2 Zulassungsvoraussetzungen

(1) Zur Prüfung ist zuzulassen, wer die Anforderungen des § 53b des Berufsbildungsgesetzes erfüllt und Folgendes nachweist:

1. eine erfolgreich abgelegte Abschluss- oder Gesellenprüfung in einem anerkannten Ausbildungsberuf im Bereich der Informations- und Kommunikationstechnologie,

2. eine erfolgreich abgelegte Abschluss- oder Gesellenprüfung in einem anderen anerkannten Ausbildungsberuf und eine auf die Berufsausbildung folgende, mindestens einjährige Berufspraxis,

3. den Erwerb von mindestens 60 Leistungspunkten nach dem Europäischen System zur Übertragung und Akkumulierung von Studienleistungen in einem Studium und eine mindestens zweijährige Berufspraxis oder

4. eine mindestens vierjährige Berufspraxis.

(2) Die Berufspraxis nach Absatz 1 Nummer 2 bis 4 muss wesentliche inhaltliche Bezüge zu den in § 1 Absatz 3 genannten Tätigkeiten aufweisen. Die Dauer und der Inhalt der Berufspraxis sind in geeigneter Weise nachzuweisen.

(3) Abweichend von Absatz 1 ist zur Prüfung auch zuzulassen, wer durch Vorlage von Zeugnissen oder auf andere Weise glaubhaft macht, eine berufliche Handlungsfähigkeit erworben zu haben, die mit den Zulassungsvoraussetzungen nach Absatz 1 vergleichbar ist.

§ 3 Inhalt der Prüfung

Die Prüfung findet im Prüfungsbereich „Informationssicherheit gewährleisten“ nach § 4 statt.

§ 4 Prüfungsbereich „Informationssicherheit gewährleisten“

Im Prüfungsbereich „Informationssicherheit gewährleisten“ hat die zu prüfende Person nachzuweisen, dass sie in der Lage ist, Bedrohungs- und Risikoszenarien zu analysieren, Sicherheitsmaßnahmen zu planen, einzuleiten und zu dokumentieren sowie den sicheren Betrieb von IT-Systemen zu gewährleisten. In diesem Rahmen wird aus den Inhalten der folgenden Qualifikationsschwerpunkte geprüft:

1. Qualifikationsschwerpunkt „Bedrohungs- und Risikoszenarien analysieren“:

a) Durchführen von Risiko- und Schwachstellenanalysen in Bezug auf die Informationssicherheit anhand von Vorgaben,

b) Mitwirken bei der Erstellung von Datenschutz-Folgenabschätzungen im Hinblick auf mögliche Datenschutzverletzungen,

c) Analysieren von IT-Infrastrukturen, von Netzwerkkommunikation, von Protokolldaten, von Softwareverhalten und von System- und Softwarekonfigurationen sowie Ableiten von risikominimierenden Schutz- und Gegenmaßnahmen sowie

d) Identifizieren und Analysieren von Schadsoftware und deren Verbreitungswegen sowie Dokumentieren der Analyseergebnisse,

2. Qualifikationsschwerpunkt „Sicherheitsmaßnahmen planen“:

a) Mitwirken bei der Entwicklung eines Konzepts zur Informationssicherheit,

b) Definieren von Notfallsystemen in Absprache mit den jeweiligen Fachabteilungen und Ansprechpartnern,

c) Erstellen von Rechte- und Rollenkonzepten zur Einhaltung von Datenschutzbestimmungen und zur Gewährleistung der Datensicherheit,

d) fachliches Unterstützen bei der Erstellung datenschutzrelevanter Dokumente,

e) Mitwirken bei der Erstellung und Einführung eines Informationssicherheitsmanagementsystems,

f) fachliches Beraten bei der Entwicklung von Testkonzepten, insbesondere zur Koordination und Durchführung von Schwachstellen- und Penetrationstests,

g) Bereitstellen von aktuellen IT-Sicherheitsinformationen und Aufbereiten sicherheitsrelevanter Erkenntnisse,

h) Informieren von Anwenderinnen und Anwendern über Regularien der Informationssicherheit, insbesondere zur Datenklassifizierung sowie zum Umgang mit IT-Ausstattung und mit Daten sowie

i) Sicherstellen der Einhaltung der Regularien zur Informationssicherheit,

3. Qualifikationsschwerpunkt „Sicheren Betrieb gewährleisten“:

a) Umsetzen der Vorgaben eines Sicherungs- und Wiederherstellungskonzepts sowie Testen der Funktionalität des Sicherungs- und Wiederherstellungskonzepts,

b) Konfigurieren von Soft- und Hardware der Sicherheitsinfrastruktur zur Gewährleistung der Informationssicherheit anhand definierter Sicherheitsrichtlinien,

c) Durchführen von Notfallübungen und Dokumentieren der Ergebnisse,

d) Erstellen und Umsetzen von Schulungskonzepten zur Sicherstellung des Datenschutzes und der Datensicherheit, insbesondere im Hinblick auf die Sensibilisierung der Mitarbeitenden,

e) Überprüfen der Einhaltung von Sicherheitsvorgaben, auch im Bereich von Kritischen Infrastrukturen,

f) fortlaufendes Bewerten von Sicherheitsrisiken und Ableiten von Sicherheitsmaßnahmen aus den ermittelten Sicherheitsrisiken,

g) fortlaufendes Berichten und Dokumentieren des Status von Maßnahmen zur Sicherstellung der Informationssicherheit,

h) Mitwirken bei der Planung und Durchführung von Sicherheitsaudits sowie bei der Bewertung und Behandlung von Schwachstellen und Sicherheitsvorfällen,

i) Mitwirken bei der Überprüfung und der Analyse von Anwendungssoftware im Hinblick auf die Gefährdung der Informationssicherheit,

j) Gewährleisten der Sicherheit vernetzter Systeme und Geräte durch die Umsetzung von Ende-zu-Ende-Verschlüsselungen sowie durch die Integration sicherer Geräteauthentifizierungen und digitaler Identitäten,

k) Mitwirken beim Einsatz von Lösungen zur Sicherheitsüberwachung unter Berücksichtigung rechtlicher Aspekte,

l) Organisieren und Durchführen von Penetrationstests im laufenden Betrieb sowie

m) Unterstützen bei der Implementierung eines datenbasierten Security-Information-and-Event-Managements sowie Analysieren, Auswerten und Interpretieren von aktuellen und vergangenen sicherheitsrelevanten Ereignissen,

4. Qualifikationsschwerpunkt „Sicherheitsmaßnahmen einleiten, dokumentieren und evaluieren“:

a) Erkennen und Dokumentieren von IT-Sicherheitsvorfällen sowie Informieren der verantwortlichen Stellen über IT-Sicherheitsvorfälle,

b) Auswählen, Durchführen und Evaluieren von Tests der Sicherheitsinfrastruktur, Dokumentieren der Evaluationsergebnisse, einschließlich Hinweisen auf Schwachstellen in der Sicherheitsinfrastruktur sowie Einleiten von Maßnahmen zur Verbesserung der Sicherheitsinfrastruktur,

c) Gewährleisten der Qualitätssicherung, insbesondere durch Dokumentieren der IT-Sicherheitsmaßnahmen,

d) Archivieren datenschutzrelevanter und IT-sicherheitsrelevanter Unterlagen nach betrieblichen und rechtlichen Vorgaben, insbesondere von Verträgen, Richtlinien und Dokumentationen,

e) Einleiten von Notfallmaßnahmen bei akuten Bedrohungssituationen sowie

f) Einleiten von Prozeduren zum Wiederanlauf von Systemen gemäß Notfallhandbuch sowie Testen und Sicherstellen der Funktionalität der wiederangelaufenen Systeme,

5. Qualifikationsschwerpunkt „Organisatorische und rechtliche Vorgaben“:

a) Ermitteln von Anforderungen an Datensicherheitskonzepte,

b) Mitwirken bei der Entwicklung von Datensicherheitskonzepten,

c) Berücksichtigen und Umsetzen von Datensicherheitskonzepten,

d) Identifizieren und Bewerten von Risiken sowie Einleiten von Maßnahmen zur Minimierung von Risiken sowie

e) Sicherstellen der Einhaltung organisatorischer und rechtlicher Vorgaben sowie

6. Qualifikationsschwerpunkt „Projektunterstützung und -koordination“:

a) Unterstützen der Projektleitung durch Übernehmen und Umsetzen von Teilprojekten,

b) organisatorisches Begleiten von Projekten, insbesondere Erstellen von Projektplänen und Planen des Mitarbeitendeneinsatzes,

c) Mitwirken bei der Aufwandsanalyse und -kalkulation von Projekten,

d) projektbegleitendes Beraten von Kunden sowie Unterstützen und Beraten von Kunden in der Roll-out-Phase,

e) Mitwirken beim Projektcontrolling, bei der Nachverfolgung von Aufgaben und beim Aufbereiten von Statusberichten sowie

f) Planen und Umsetzen von projektbezogenen Schulungs- und Trainingsmaßnahmen.

§ 5 Form und Ablauf der Prüfung

(1) Die Prüfung gliedert sich in

1. eine schriftliche Prüfung nach § 6 und

2. eine mündliche Prüfung nach § 7.

(2) Die Prüfung beginnt mit dem Ablegen der schriftlichen Prüfung nach Absatz 1 Nummer 1. Das Prüfungsverfahren ist innerhalb von zwei Jahren, beginnend mit dem ersten Tag der Prüfung der zuerst abzulegenden Prüfungsleistung, abzuschließen. Bei Überschreiten der Frist gelten die erbrachten Prüfungsleistungen als mit null Punkten bewertet.

(3) Absatz 2 Satz 3 ist nicht anzuwenden, wenn die Nichteinhaltung der Frist durch die nach dem Berufsbildungsgesetz zuständige Stelle zu vertreten ist.

§ 6 Schriftliche Prüfung

(1) Die schriftliche Prüfung wird auf der Grundlage der Beschreibung einer betrieblichen Situation, aus der die Aufgabenstellungen abzuleiten sind, durchgeführt. Die Aufgabenstellungen sind so zu gestalten, dass alle Qualifikationsschwerpunkte des Prüfungsbereichs nach § 4 Satz 3 situationsbezogen thematisiert werden. Die Aufgabenstellungen müssen der zu prüfenden Person eigenständig entwickelte Lösungen ermöglichen.

(2) Die schriftliche Prüfung besteht aus zwei Prüfungsleistungen in Form von zwei schriftlich unter Aufsicht zu bearbeitenden Aufgaben.

(3) Die Bearbeitungszeit beträgt für jede Aufgabe mindestens 90 Minuten. Insgesamt soll die Bearbeitungszeit nicht mehr als 240 Minuten betragen.

(4) Wurden in einer der beiden schriftlichen Prüfungsleistungen nach Absatz 2 weniger als 50 Punkte erreicht, so ist für diese Prüfungsleistung eine mündliche Ergänzungsprüfung anzubieten. Wurden beide schriftlichen Prüfungsleistungen mit weniger als 50 Punkten bewertet oder wurde eine schriftliche Prüfungsleistung mit weniger als 30 Punkten bewertet, so ist eine mündliche Ergänzungsprüfung ausgeschlossen. Die mündliche Ergänzungsprüfung soll höchstens 20 Minuten dauern. Aus der Bewertung der Prüfungsleistung in der mündlichen Ergänzungsprüfung und der Bewertung der schriftlichen Prüfungsleistung, für die die mündliche Ergänzungsprüfung vorgenommen wurde, wird das gewichtete arithmetische Mittel berechnet. Dabei wird die Bewertung der schriftlichen Prüfungsleistung doppelt gewichtet.

§ 7 Mündliche Prüfung

(1) Die mündliche Prüfung besteht aus zwei Prüfungsleistungen in Form einer Präsentation und eines sich unmittelbar anschließenden Fachgesprächs.

(2) In der Präsentation hat die zu prüfende Person nachzuweisen, dass sie in der Lage ist, Bedrohungs- und Risikoszenarien zu analysieren, den Einsatz von Sicherheitsmaßnahmen zu planen, einzuleiten und zu dokumentieren sowie den sicheren Betrieb von IT-Systemen zu gewährleisten. Die zu prüfende Person wählt selbständig ein Thema für die Präsentation und reicht eine Beschreibung des Themas spätestens bis zum Termin der schriftlichen Prüfung bei der nach dem Berufsbildungsgesetz zuständigen Stelle zur Genehmigung ein. Das Thema ist so zu gestalten, dass alle Qualifikationsschwerpunkte des Prüfungsbereichs nach § 4 berücksichtigt werden. Der Prüfungsausschuss führt mit der zu prüfenden Person ein Gespräch zur Genehmigung des Themas. Entspricht das Thema den Anforderungen, hat der Prüfungsausschuss es im Gespräch zu genehmigen; andernfalls fordert er die zu prüfende Person zur erneuten Vorlage auf. Das Ergebnis des Gesprächs zur Genehmigung des Themas und die vereinbarten Inhalte der Präsentation werden formlos vom Prüfungsausschuss protokolliert. Die zu prüfende Person hat innerhalb von 30 aufeinanderfolgenden Kalendertagen, gerechnet ab dem Tag der Genehmigung des Themas, die Präsentation zu erstellen und die Präsentationsunterlagen einzureichen. Die Präsentation soll höchstens 15 Minuten dauern.

(3) Im Fachgespräch hat die zu prüfende Person nachzuweisen, dass sie in der Lage ist, ausgehend von ihrer Präsentation Fragen zu Hintergründen, zur Vorgehensweise und zu den entwickelten Vorschlägen zu beantworten. Das Fachgespräch soll höchstens 30 Minuten dauern.

§ 8 Bewertung der Prüfungsleistungen

(1) Jede Prüfungsleistung ist nach Maßgabe der Anlage 1 mit Punkten zu bewerten.

(2) In der schriftlichen Prüfung sind die beiden Prüfungsleistungen nach § 6 Absatz 2 jeweils einzeln zu bewerten. Sind in jeder Prüfungsleistung mindestens 50 Punkte erreicht worden, wird aus den einzelnen Bewertungen als Bewertung der schriftlichen Prüfung das arithmetische Mittel berechnet.

(3) In der mündlichen Prüfung sind als Prüfungsleistungen jeweils einzeln zu bewerten:

1. die Präsentation nach § 7 Absatz 2 und

2. das Fachgespräch nach § 7 Absatz 3.

(4) Aus den Bewertungen der Präsentation und des Fachgesprächs wird als Bewertung der mündlichen Prüfung das gewichtete arithmetische Mittel berechnet. Dabei sind die Bewertungen wie folgt zu gewichten:

1. die Bewertung der Präsentation mit einem Drittel,

2. die Bewertung des Fachgesprächs mit zwei Dritteln.

§ 9 Bestehen der Prüfung, Gesamtnote

(1) Die Prüfung ist bestanden, wenn in allen Prüfungsleistungen ohne Rundung jeweils mindestens 50 Punkte erreicht worden sind.

(2) Ist die Prüfung bestanden, sind die folgenden Punktebewertungen jeweils kaufmännisch auf eine ganze Zahl zu runden:

1. die Bewertung der schriftlichen Prüfung nach § 8 Absatz 2,

2. die Bewertung der mündlichen Prüfung nach § 8 Absatz 3.

(3) Für die Bildung einer Gesamtnote ist als Gesamtpunktzahl das arithmetische Mittel der nach Absatz 2 gerundeten Bewertungen zu berechnen. Die Gesamtpunktzahl ist kaufmännisch auf eine ganze Zahl zu runden. Der gerundeten Gesamtpunktzahl ist nach Anlage 1 die Note als Dezimalzahl und die Note in Worten zuzuordnen. Die zugeordnete Note ist die Gesamtnote.

§ 10 Befreiung von einzelnen Prüfungsbestandteilen

Wird die zu prüfende Person nach § 56 Absatz 2 des Berufsbildungsgesetzes von der Ablegung einzelner Prüfungsbestandteile befreit, bleiben diese Prüfungsbestandteile für die Anwendung der §§ 8 und 9 außer Betracht. Für die übrigen Prüfungsbestandteile erhöhen sich die Anteile nach § 8 Absatz 2 Satz 2 oder Absatz 3 Satz 2 oder § 9 Absatz 3 Satz 1 entsprechend ihrem Verhältnis zueinander.

§ 11 Zeugnisse

(1) Wer die Prüfung nach § 9 Absatz 1 bestanden hat, erhält von der nach dem Berufsbildungsgesetz zuständigen Stelle zwei Zeugnisse nach Maßgabe der Anlage 2 Teil A und B.

(2) Auf dem Zeugnis mit den Inhalten nach Anlage 2 Teil B sind die Noten als Dezimalzahlen mit einer Nachkommastelle sowie die Gesamtnote als Dezimalzahl mit einer Nachkommastelle und in Worten anzugeben. Jede Befreiung nach § 10 ist mit Ort, Datum und der Bezeichnung des Prüfungsgremiums der vergleichbaren Prüfung anzugeben.

(3) Die Zeugnisse können zusätzliche nicht amtliche Bemerkungen zur Information (Bemerkungen) enthalten, insbesondere

1. über den erworbenen Abschluss oder

2. auf Antrag der geprüften Person über während oder anlässlich der Fortbildung erworbene besondere oder zusätzliche Fertigkeiten, Kenntnisse und Fähigkeiten.

§ 12 Wiederholung von Prüfungsleistungen

(1) Prüfungsleistungen, die mit weniger als 50 Punkten bewertet worden sind, dürfen nach Maßgabe der Absätze 2 bis 3 wiederholt werden.

(2) Jede der beiden schriftlichen Prüfungsleistungen darf höchstens zweimal wiederholt werden.

(3) Wurde in der mündlichen Prüfung mindestens eine Prüfungsleistung mit weniger als 50 Punkten bewertet, so muss die gesamte mündliche Prüfung wiederholt werden. Die mündliche Prüfung darf höchstens zweimal wiederholt werden.

(4) Die Frist zur Wiederholung von Prüfungsleistungen beträgt zwei Jahre. Sie beginnt mit dem Tag, an dem der Bescheid über das Nichtbestehen der Fortbildungsprüfung oder über das Nichtbestehen der ersten Wiederholungsprüfung der zu prüfenden Person zugeht. Die Frist nach § 5 Absatz 2 wird für die Dauer der Wiederholungsprüfung unterbrochen.

(5) Wer sich nach Ablauf der Frist nach Absatz 4 zur Wiederholung von Prüfungsleistungen anmeldet, muss die gesamte Fortbildungsprüfung wiederholen.

Anlage 1 (zu den §§ 8 und 9)Bewertungsmaßstab und -schlüssel

(Fundstelle: BGBl. 2024 I Nr. 296, S. 15 - 16)

Punkte	Note als Dezimalzahl	Note in Worten	Definition
100	1,0	sehr gut	eine Leistung, die den Anforderungen in besonderem Maß entspricht
98 und 99	1,1
96 und 97	1,2
94 und 95	1,3
92 und 93	1,4
91	1,5	gut	eine Leistung, die den Anforderungen voll entspricht
90	1,6
89	1,7
88	1,8
87	1,9
85 und 86	2,0
84	2,1
83	2,2
82	2,3
81	2,4
79 und 80	2,5	befriedigend	eine Leistung, die den Anforderungen im Allgemeinen entspricht
78	2,6
77	2,7
75 und 76	2,8
74	2,9
72 und 73	3,0
71	3,1
70	3,2
68 und 69	3,3
67	3,4
65 und 66	3,5	ausreichend	eine Leistung, die zwar Mängel aufweist, aber im Ganzen den Anforderungen noch entspricht
63 und 64	3,6
62	3,7
60 und 61	3,8
58 und 59	3,9
56 und 57	4,0
55	4,1
53 und 54	4,2
51 und 52	4,3
50	4,4
48 und 49	4,5	mangelhaft	eine Leistung, die den Anforderungen nicht entspricht, jedoch erkennen lässt, dass gewisse Grundkenntnisse noch vorhanden sind
46 und 47	4,6
44 und 45	4,7
42 und 43	4,8
40 und 41	4,9
38 und 39	5,0
36 und 37	5,1
34 und 35	5,2
32 und 33	5,3
30 und 31	5,4
25 bis 29	5,5	ungenügend	eine Leistung, die den Anforderungen nicht entspricht und bei der selbst Grundkenntnisse fehlen
20 bis 24	5,6
15 bis 19	5,7
10 bis 14	5,8
5 bis 9	5,9
0 bis 4	6,0

Anlage 2 (zu § 11)Zeugnisinhalte

(Fundstelle: BGBl. 2024 I Nr. 296, S. 17)

Teil A – Zeugnis ohne Prüfungsergebnisse:

1. Bezeichnung der ausstellenden Behörde,

2. Name und Geburtsdatum der geprüften Person,

3. Datum des Bestehens der Prüfung,

4. Bezeichnung des erworbenen Fortbildungsabschlusses nach § 1 Absatz 5,

5. Bezeichnung und Fundstelle dieser Fortbildungsprüfungsverordnung nach den Angaben im Bundesgesetzblatt unter Berücksichtigung erfolgter Änderungen dieser Verordnung,

6. Datum der Ausstellung des Zeugnisses samt Faksimile oder Unterschrift einer zeichnungsberechtigten Person der zuständigen Stelle.

Teil B – Zeugnis mit Prüfungsergebnissen:

Alle Angaben des Teils A sowie zusätzlich

1. Benennung des Prüfungsbereichs,

2. Bewertung der schriftlichen Prüfung,

3. zur mündlichen Prüfung die Benennung des Themas der Präsentation und deren Bewertung,

4. zur mündlichen Prüfung die Bewertung des Fachgesprächs,

5. Bewertung der mündlichen Prüfung,

6. die errechnete Gesamtpunktzahl für die gesamte Prüfung,

7. die Gesamtnote als Dezimalzahl,

8. die Gesamtnote in Worten,

9. Befreiungen nach § 10.