Ich bin Lukas Kulmitzer, Gründer von NextSecure. Bei mir sprechen Sie vom ersten Gespräch bis zur Umsetzung mit derselben Person.
Gründer von NextSecure. Ich bin seit über zehn Jahren im Bereich der Informationssicherheit tätig, für internationale Konzerne, mittelständische Unternehmen und europäische Scale-ups.
In vielen Unternehmen habe ich erlebt, dass Informationssicherheit zwischen allen Stühlen sitzt: Die IT hat keine Zeit, im Haus fehlt das Fachwissen, und eine teure interne CISO-Stelle rechnet sich nicht. Dann bleiben wichtige Themen liegen, bis ein Prüfer, ein Kunde oder ein Vorfall sie auf den Tisch bringt. Ich habe NextSecure gegründet, damit Sie diese Themen in Ruhe und mit Plan angehen können, bevor der Zeitdruck kommt.
Ich arbeite von Klagenfurt aus, mitten in der neuen AREA Süd, dem gemeinsamen Wirtschaftsraum von Kärnten und der Steiermark. Seit Graz und Klagenfurt durch die Koralmbahn zusammengerückt sind, ist die ganze Region mein Heimatmarkt. Darüber hinaus berate ich in ganz Österreich und im DACH-Raum, vor Ort und remote.
Bevor ich etwas empfehle, lerne ich Sie und Ihr Business kennen. Alles andere wäre nicht seriös.
Ich entwickle Lösungen in dem Umfang, den Ihr Unternehmen braucht und im Alltag umsetzen kann.
Ich begleite die Umsetzung, solange Sie mich brauchen.
Sprechen Sie mit mir über Ihr Vorhaben.Im kostenlosen Orientierungsgespräch kläre ich, wie ich Sie unterstützen kann.
Ich habe unter anderem als internationaler CISO, Auditor, Notfallmanager und Universitätsdozent gearbeitet und halte aktuell sechs international anerkannte Zertifizierungen im Bereich Informationssicherheit.
Wer mich in sein Unternehmen lässt, zeigt mir seine Schwachstellen. Vertraulichkeit gehört deshalb zur Leistung. Kundennamen nenne ich nur, wenn die Organisation es ausdrücklich freigibt. Meine Qualifikation können Sie trotzdem prüfen: über die Zertifikate oben, meinen Lehrauftrag an der Universität Klagenfurt und meine Vorträge.
Ich spreche auf Fachkonferenzen, unterrichte an Universitäten und leite Workshops für Entscheidungsträger. Dort arbeite ich mit denselben Methoden wie in der Beratung.
NextSecure begleitet seit 2025 Unternehmen bei Informationssicherheit, NIS2 / NISG 2026 und Business Continuity. Dazu kommen über zehn Jahre Projekterfahrung aus meiner beruflichen Laufbahn: in leitenden Rollen im Unternehmen, als externer Berater und als Auditor, vom einzelnen Audit bis zum konzernweiten Programm.
Das Unternehmen fällt unter das NISG 2026 und muss die Anforderungen in einem festen Zeitrahmen umsetzen und nachweisen. Ich leite das Projekt und steuere das Projektteam.
Das Unternehmen braucht eine fest benannte Person für die Informationssicherheit, ohne eine eigene Vollzeitstelle zu schaffen. Ich übernehme die Rolle des externen CISO.
Der Konzern musste eine konzernweite Security-Organisation und ein Informationssicherheitsmanagementsystem aufbauen.
Konzeption und operative Steuerung: Governance, Rollen, Richtlinien, Risikosteuerung, Management Reporting sowie Koordination von Audits, Awareness, Incident Management und Lieferantensicherheit.
Ein zertifizierungsfähiges ISMS auf Basis von ISO 27001 und BSI IT-Grundschutz.
Cyberrisiken sollten international nach einheitlichen Kriterien bewertet und gesteuert werden.
Entwicklung der Methodik auf Basis von NIST CSF und CIS RAM, Definition der Bewertungskriterien, Moderation internationaler Risiko-Workshops.
Eine unternehmensweit einsetzbare Methodik mit Risikoregister, Management Reporting und Risk-Treatment-Prozess.
Das Unternehmen strebte eine Zertifizierung seines Business Continuity Managements nach ISO 22301 an.
Konzeption des BCMS als Lead Implementer, Begleitung der Implementierungsphasen und Durchführung der Business-Impact-Analyse-Workshops.
Ein BCMS, begleitet bis zur Zertifizierungsreife.
Kritische Prozesse und ihre Wiederanlaufziele waren nicht systematisch erfasst, eine BCM-Governance fehlte.
Aufbau der BCM-Governance, strukturierte Business-Impact-Analysen, Entwicklung von Recovery-Strategien und Notfallplänen.
Kritische Prozesse mit Wiederanlaufzielen erfasst, Notfallpläne erstellt und Abläufe in Tabletop-Übungen erprobt.
Das Awareness-Programm sollte langfristig wirken und messbar sein.
Awareness-Strategie mit Basisschulungen, zielgruppengerechten Formaten, Phishing-Simulationen und Kampagnen; Aufbau eines Ambassador-Netzwerks.
Ein langfristiges Programm mit Kennzahlen zur Wirksamkeit.
Standorte mit Schwerpunkt Südostasien mussten gegen ISO 27001 und TISAX geprüft werden.
Planung und Durchführung der Audits, Bewertung von Dokumentation und Kontrollen, Interviews, Klassifizierung der Abweichungen.
Maßnahmen aus den Audits nachverfolgt und die TISAX-Zertifizierung begleitet.
Incident-, Eskalations- und Notfallprozesse liefen nebeneinander statt ineinander.
Harmonisierung der Prozesse, Aufbau einer Krisenstabsstruktur, Festlegung von Alarmierungs-, Kommunikations- und Entscheidungswegen.
Einheitliche Abläufe mit klarer Krisenstabsstruktur, überprüft durch Simulationen.
Für Geschäfts- und IT-Service-Prozesse war ein prüffähiges internes Kontrollsystem nachzuweisen.
Ableitung von Risiken, Kontrollzielen und Kontrollen, Definition von Control Ownership und Nachweisanforderungen.
Design und Wirksamkeit der Kontrollen bewertet, Nachweisführung strukturiert aufgebaut.
Richtlinien, Rollenmodelle und Basisprozesse sollten verständlich vermittelt und verankert werden.
Workshops zu Richtlinien, Rollen, Basisprozessen, Awareness und Gerätesicherheit; Konzeption universitärer Lehrveranstaltungen.
Workshops gehalten, Lehrveranstaltungen zu System- und Informationssicherheit konzipiert und durchgeführt.
Das Gespräch dauert 30 Minuten und ist kostenlos und unverbindlich. Danach wissen Sie, ob wir zueinander passen.
