Cyber Risk Manager

All About Work; Eindhoven; On-site; EUR 70,000 - 95,000; Full time

Job summary

All About Work zoekt een Cyber Risk Manager voor een universiteitsomgeving. Je vergroot het cyberrisicomanagement en verbindt technische risico’s met impact op onderwijs, onderzoek en bedrijfsvoering.

Je werkt in het GRC-team van Library and Information Services en professionaliseert risk management volgens ISO 27001, ISO 27005 en NIS2. Een centrale rol is het opzetten van processen, templates en metrics.

Qualifications

• Kennis van ISO 27001/27005 en NIS2 en risk management volgens TU/e framework.
• Vaardig in het identificeren van assets, dreigingen en beheersmaatregelen.
• Kunnen vertalen van cyberrisico’s naar concrete mitigaties en owners

Responsibilities

• Ontwikkelen en verbeteren van cyber risk assessment-methodologie.
• Documenteren van assets, dreigingen en risicoscenarios.
• Uitvoeren risk assessments voor kritieke diensten en leveranciers.
• Opstellen van impactanalyses voor onderwijs, onderzoek en bedrijfsvoering.
• Beheren van het cyber- en IT-risicoregister met acties en owners.
• Leveren van periodieke managementrapportages en dashboards.
• Integreren van risicomanagement in PDCA-cyclus en governance.
• Ondersteunen auditability en documentatie voor certificeringen.

Skills

Cyber risk assessment

ISO 27001

NIS2

Stakeholder management

GRC tooling

Tools

GRC tooling

Job description

Over de functie

Je gaat aan de slag als Cyber Risk Manager binnen een universiteitsomgeving waar onderwijs, onderzoek en ondersteunende diensten samenkomen. In deze opdracht speel je een centrale rol in het verder opzetten en professionaliseren van cyberrisicomanagement in lijn met NIS2 en ISO 27001. Je werkt binnen het GRC-team van Library and Information Services en draagt bij aan een volwassen risk management-aanpak die breed in de organisatie wordt toegepast. Daarbij verbind je technische risico’s met de impact op onderzoek, onderwijs en bedrijfsvoering. Je levert concrete producten op, brengt structuur aan en helpt stakeholders om zelfstandig beter met cyberrisico’s om te gaan.

Wat ga je doen

• Je ontwikkelt en verbetert een gedocumenteerde en praktische cyber risk assessment-methodologie, afgestemd op ISO 27001, ISO 27005, NIS2 en het TU/e risk management framework.
• Je stelt standaard templates, scorecriteria, risicocategorieën, impactschalen en beoordelingsrichtlijnen op voor inherente en residuele risico’s.
• Je voert risk assessments uit voor kritieke diensten, systemen, projecten, leveranciers, onderzoeksomgevingen en organisatieonderdelen.
• Je documenteert assets, dreigingen, kwetsbaarheden, bestaande beheersmaatregelen, risicoscenario’s, kans, impact en residueel risico.
• Je stelt business impact analyses op voor kritieke onderwijs-, onderzoeks-, operationele en ondersteunende processen.
• Je brengt kritieke activiteiten, systemen, data, leveranciers, faciliteiten, mensen en andere afhankelijkheden in kaart.
• Je definieert onder meer Maximum Tolerable Periods of Disruption, recovery priorities, Recovery Time Objectives en Recovery Point Objectives.
• Je beheert en actualiseert een gestructureerd cyber- en IT-risicoregister met treatment plans, prioriteiten, verantwoordelijken, deadlines en doelrisiconiveaus.
• Je monitort achterstallige acties, openstaande risico’s en risico’s die boven de vastgestelde risk appetite uitkomen.
• Je verzorgt periodieke managementrapportages, dashboards en escalatierapportages voor management en directie.
• Je integreert risicomanagement in de PDCA-cyclus, inclusief identificatie, beoordeling, behandeling, monitoring, review en verbetering.
• Je levert input voor business continuity, disaster recovery, crisismanagement, back-up, redundantie en cyber resilience.
• Je ondersteunt auditability en levert documentatie voor interne audits, externe certificering, toezicht en management accountability.
• Je verzorgt workshops, begeleiding en praktische training voor service owners, risk owners, projectmanagers, onderzoekers en technische teams.
• Je draagt kennis over aan de interne Risk Manager en het GRC-team.

Over jou

• Je werkt analytisch en gestructureerd en brengt orde in complexe en gedecentraliseerde IT-omgevingen.
• Je schakelt gemakkelijk met service owners, onderzoekers, architecten, engineers, projectmanagers en management.
• Je communiceert helder en vertaalt cyberrisico’s naar begrijpelijke impact op de business.
• Je werkt pragmatisch en zet kaders en wet- en regelgeving om in werkbare processen.
• Je hebt oog voor proportionaliteit en voorkomt onnodige complexiteit en administratieve last.
• Je voelt je thuis in een autonome en gedecentraliseerde universiteitsomgeving.
• Je hebt gevoel voor de specifieke dynamiek van wetenschappelijk onderzoek, onderwijs, laboratoria, research infrastructure en operational technology.
• Je weet de balans te vinden tussen security, compliance, resilience, gebruiksvriendelijkheid en onderzoeksdoelstellingen.

Eisen

• Je voldoet minimaal aan de kwalificaties en competenties zoals opgenomen in het functieprofiel.
• Je kunt assets, dreigingen, kwetsbaarheden, afhankelijkheden en bestaande controls identificeren.
• Je hebt ervaring met het beoordelen van likelihood, impact, inherent risk en residual risk volgens een consistente methodologie.
• Je kunt risico’s vertalen naar praktische mitigerende maatregelen, formele risicoacceptatie en duidelijk eigenaarschap.
• Je hebt kennis van risk appetite, risk tolerance en escalatiecriteria.
• Je kunt kritieke onderwijs-, onderzoeks-, IT- en bedrijfsprocessen identificeren.
• Je hebt ervaring met het beoordelen van operationele, financiële, juridische, reputatie-, veiligheids- en informatiebeveiligingsimpact van verstoringen.
• Je kunt maximum tolerable downtime, recovery priorities, kritieke afhankelijkheden, Recovery Time Objectives en Recovery Point Objectives bepalen.
• Je kunt BIA-uitkomsten vertalen naar eisen voor business continuity, disaster recovery en resilience.
• Je hebt sterke werkkennis van ISO 27001, ISO 27005 en information-security risk management.
• Je begrijpt NIS2-eisen op het gebied van risk management, incident handling, business continuity, supply-chain security, governance en management accountability.
• Je kunt geïdentificeerde risico’s koppelen aan relevante ISO 27001-controls en NIS2-verplichtingen.
• Je hebt ervaring met auditability, evidence collection, risicorapportages en continuous improvement.
• Je hebt ervaring met risk registers, dashboards, rapportages en GRC-tooling.
• Je beschikt over sterke workshop- en interviewvaardigheden voor het faciliteren van risk assessments en BIAs.
• Je kunt frameworks en wettelijke vereisten vertalen naar werkbare processen.
• Je kunt risicomanagement verankeren in projecten, changes, procurement, architectuur en servicemanagement.
• Je hebt een sterke eigenaarschaps- en opvolgingsstijl om te zorgen dat risk treatment actions worden afgerond.

Competenties

• Cyber Risk Assessment
• Business Impact Analysis
• Kennis van ISO 27001 en NIS2
• Analytisch en gestructureerd werken
• Stakeholdermanagement en facilitatie
• Pragmatische implementatie
• Organisatiesensitiviteit in een universiteitsomgeving