Was ist der Hauptunterschied zwischen CISSP und CISM?

Der CISSP von ISC2 prüft Informationssicherheit in acht Bereichen, von Risikomanagement über Netzwerke und Identitäten bis zur Softwareentwicklung, und verlangt damit auch technisches Verständnis. Der CISM von ISACA konzentriert sich auf die Leitung der Informationssicherheit, also auf Governance, Risikomanagement, das Sicherheitsprogramm und das Vorfallmanagement.

Welche Zertifizierung ist für einen Informationssicherheitsbeauftragten im Krankenhaus besser?

Das hängt vom Zuschnitt der Stelle ab. Wer Sicherheitsmaßnahmen fachlich mit der IT gestaltet und bewertet, profitiert vom breiten technischen Spektrum des CISSP. Wer vor allem ein Managementsystem steuert, Risiken bewertet und an die Geschäftsführung berichtet, findet im CISM die passendere Ausrichtung.

Wie viel Berufserfahrung brauche ich für CISSP und CISM?

Für den CISSP verlangt ISC2 fünf Jahre Vollzeit-Berufserfahrung in mindestens zwei der acht Prüfungsbereiche; ein passender Hochschulabschluss oder eine anerkannte Zertifizierung kann ein Jahr ersetzen. Für den CISM verlangt ISACA fünf Jahre Berufserfahrung in mindestens drei der vier CISM-Bereiche innerhalb der letzten zehn Jahre vor dem Antrag.

Kann ich die Prüfung ablegen, bevor ich die Berufserfahrung habe?

Ja, bei beiden. Wer die CISSP-Prüfung ohne ausreichende Erfahrung besteht, wird zunächst Associate of ISC2 und hat sechs Jahre Zeit, die Erfahrung nachzuholen. Beim CISM haben Sie nach bestandener Prüfung fünf Jahre Zeit, die Zertifizierung mit Erfahrungsnachweis zu beantragen.

Gibt es die Prüfungen auf Deutsch?

Die CISSP-Prüfung bietet ISC2 unter anderem auf Deutsch an, ebenfalls als adaptive Prüfung. Für die ISACA-Prüfungen CISA, CISM und CRISC nennt ISACA Deutsch als eine der verfügbaren Sprachen. Die offiziellen Unterlagen von ISACA sind englischsprachig.

Lohnt es sich, beide Zertifizierungen zu erwerben?

Für Leitungsfunktionen kann die Kombination sinnvoll sein, weil sich technische Breite und Managementfokus ergänzen. ISC2 erkennt den CISM als Zertifizierung an, die ein Jahr der CISSP-Berufserfahrung ersetzen kann. In der Praxis beginnen die meisten mit der Zertifizierung, die zu ihrer aktuellen Rolle passt.

CISSP oder CISM? Welche Zertifizierung passt?

Kurze Antwort

CISSP oder CISM – die Wahl hängt von Ihrer Rolle ab. Der CISSP von ISC2 deckt Informationssicherheit in acht Bereichen ab und verbindet Management mit Technik; er passt zu Informationssicherheitsbeauftragten, Sicherheitsarchitekten und IT-Leitungen, die Maßnahmen fachlich mitgestalten. Der CISM von ISACA konzentriert sich auf Governance, Risiko, Sicherheitsprogramm und Vorfallmanagement; er passt zu Personen, die Informationssicherheit leiten und gegenüber der Geschäftsführung verantworten.

Stand: November 2026

Das Wichtigste in Kürze

Beide Zertifizierungen verlangen rund fünf Jahre Berufserfahrung in der Informationssicherheit. Die Prüfung kann vorher abgelegt werden.
Der CISSP ist breiter und technischer: acht Prüfungsbereiche, adaptive Prüfung mit 100 bis 150 Fragen in drei Stunden.
Der CISM ist auf Management ausgerichtet: vier Prüfungsbereiche, 150 Fragen in vier Stunden.
Die Prüfungsgebühr liegt laut Hersteller (Stand November 2026) beim CISSP bei 749 US-Dollar, beim CISM bei 575 US-Dollar für ISACA-Mitglieder und 760 US-Dollar für Nichtmitglieder.
Beide müssen mit Weiterbildungspunkten (CPE) und einer Jahresgebühr aufrechterhalten werden.
Deutsches Recht und BSI-Standards prüfen beide nicht. Für NIS2, § 391 SGB V und IT-Grundschutz brauchen Sie zusätzliches Wissen.

Wie unterscheiden sich CISSP und CISM auf einen Blick?

Kurze Antwort

Der CISSP prüft eine größere Breite einschließlich technischer Themen, der CISM die Steuerung der Informationssicherheit. Format, Gebühren und Rezertifizierung unterscheiden sich im Detail.

Merkmal	ISC2 CISSP	ISACA CISM
Herausgeber	ISC2	ISACA
Zielgruppe	Erfahrene Sicherheitsfachleute: ISB, CISO, Sicherheitsarchitektur, IT-Leitung, Audit	Leitung und Steuerung der Informationssicherheit: ISB, CISO, Sicherheitsmanagement
Erfahrungsvoraussetzung	5 Jahre Vollzeit in mindestens 2 der 8 Bereiche; Hochschulabschluss oder anerkannte Zertifizierung ersetzt bis zu 1 Jahr	5 Jahre in mindestens 3 der 4 CISM-Bereiche, innerhalb von 10 Jahren vor dem Antrag
Ohne Erfahrung	Associate of ISC2, 6 Jahre Zeit zum Nachholen	Antrag bis 5 Jahre nach bestandener Prüfung
Prüfungsformat	Computerized Adaptive Testing (CAT), Testcenter von Pearson VUE	Multiple Choice, Testcenter von PSI oder online unter Aufsicht
Fragen	100 bis 150	150
Dauer	3 Stunden	4 Stunden
Bestehensgrenze	700 von 1.000 Punkten	450 auf einer Skala von 200 bis 800
Gebühr	749 USD (EMEA: 719,04 EUR) laut Hersteller, Stand November 2026	575 USD (Mitglieder), 760 USD (Nichtmitglieder) laut Hersteller, Stand November 2026; zusätzlich 50 USD Antragsgebühr
Gültigkeit und Rezertifizierung	Zyklus von 3 Jahren, 120 CPE-Punkte, Jahresgebühr 135 USD	jährlich mindestens 20, in 3 Jahren 120 CPE-Stunden, Jahresgebühr 45 USD (Mitglieder) oder 85 USD (Nichtmitglieder)
Sprache der Prüfung	Chinesisch, Deutsch, Englisch, Japanisch, Spanisch	laut ISACA u. a. Deutsch, Englisch, Französisch, Spanisch, Japanisch, Koreanisch, Chinesisch (vereinfacht)

Die Prüfungsgebühren sind nicht in den Seminarpreisen enthalten. Prüfen Sie vor der Anmeldung die aktuellen Angaben auf den Seiten der Verbände; Preise und Regeln ändern sich. ISC2 hat angekündigt, dass die CISSP-Prüfung ab dem 15. April 2027 auf einem neuen Prüfungsinhalt (Exam Outline) beruht.

Welche Inhalte prüfen CISSP und CISM?

Kurze Antwort

Der CISSP prüft acht Bereiche, darunter Netzwerksicherheit, Identitäten und sichere Softwareentwicklung. Der CISM prüft vier Bereiche, die sich ganz auf Steuerung und Organisation der Informationssicherheit beziehen.

CISSP – acht Bereiche mit durchschnittlicher Gewichtung laut ISC2:

Bereich	Anteil
Sicherheits- und Risikomanagement	16 %
Schutz von Werten (Asset Security)	10 %
Sicherheitsarchitektur und Engineering	13 %
Kommunikations- und Netzwerksicherheit	13 %
Identitäts- und Zugriffsmanagement	13 %
Sicherheitsbewertung und Tests	12 %
Sicherheitsbetrieb	13 %
Sicherheit in der Softwareentwicklung	10 %

CISM – vier Bereiche mit Gewichtung laut ISACA:

Bereich	Anteil
Governance der Informationssicherheit	18 %
Management von Informationssicherheitsrisiken	20 %
Informationssicherheitsprogramm	33 %
Vorfallmanagement	29 %

Der Unterschied zeigt sich in der Denkweise der Fragen. Beim CISSP sollen Sie technische Zusammenhänge verstehen – etwa Kryptografie, Netzwerkarchitektur oder Zugriffskontrollmodelle – und aus Sicht der Verantwortlichen die beste Entscheidung treffen. Der CISM fragt vor allem, wie Sie Ziele der Organisation, Risiken, Richtlinien, Budget und Kennzahlen zusammenbringen. Technische Details stehen dort im Hintergrund.

Welche Voraussetzungen gelten?

Kurze Antwort

Beide verlangen etwa fünf Jahre einschlägige Berufserfahrung, die Sie nach bestandener Prüfung nachweisen. Die Prüfung selbst können Sie vorher ablegen.

CISSP: ISC2 verlangt fünf Jahre kumulierte Vollzeit-Berufserfahrung in mindestens zwei der acht Bereiche. Teilzeit und Praktika werden anteilig angerechnet. Ein Bachelor- oder Masterabschluss in Informatik, IT oder einem verwandten Fach oder eine Zertifizierung von der Liste der ISC2 – darunter CISM, SSCP und CompTIA Security+ – kann bis zu ein Jahr ersetzen. Nach bestandener Prüfung bestätigt eine zertifizierte Person Ihre Erfahrung (Endorsement).

CISM: ISACA verlangt fünf Jahre Berufserfahrung in mindestens drei der vier CISM-Bereiche. Die Erfahrung muss innerhalb der zehn Jahre vor dem Antrag liegen. Nach bestandener Prüfung haben Sie fünf Jahre Zeit, die Zertifizierung zu beantragen. Für bestimmte Abschlüsse und Zertifizierungen sind Anrechnungen möglich; die Einzelheiten regelt ISACA im Antragsverfahren.

Welche Zertifizierung passt zu welcher Rolle im Gesundheitswesen?

Kurze Antwort

Für Informationssicherheitsbeauftragte kommen beide infrage, je nach Zuschnitt der Stelle. Für den CISO eines Klinikverbunds ist der CISM nah an der Aufgabe, für die IT-Administration ist keine der beiden der richtige Einstieg.

Rolle	Typische Aufgaben	Empfehlung
Informationssicherheitsbeauftragte im Krankenhaus	ISMS betreiben, Risiken bewerten, Maßnahmen mit der IT abstimmen, Vorfälle begleiten, an die Geschäftsführung berichten	CISSP, wenn die Stelle eng mit IT und Medizintechnik arbeitet; CISM, wenn Steuerung und Berichtswesen im Vordergrund stehen
CISO eines Klinikverbunds	Sicherheitsstrategie für mehrere Häuser, Budget, Richtlinien, Kennzahlen, Krisenorganisation, Abstimmung mit Vorständen und Aufsicht	CISM als Kern; CISSP oder ISSMP ergänzend, wenn technische Tiefe gefragt ist
IT-Leitung	Betrieb und Weiterentwicklung der IT, Sicherheitsarchitektur, Dienstleistersteuerung	CISSP
IT-Administration	Systeme härten, Identitäten verwalten, Schwachstellen beheben, Vorfälle erkennen	Noch keine der beiden; zuerst CompTIA Security+ oder ISC2 SSCP
Risikomanagement und Revision	IT-Risiken bewerten, Kontrollen prüfen	ergänzend CRISC oder CISA von ISACA

Informationssicherheitsbeauftragte im Krankenhaus: Die Aufgaben des ISB beschreibt der Artikel Informationssicherheitsbeauftragter im Krankenhaus. In kleineren Häusern ist die Rolle oft nah an der IT angesiedelt. Dann hilft die Breite des CISSP, Maßnahmen für KIS, Netzwerk, Identitäten und Medizintechnik fachlich zu bewerten. In größeren Häusern mit eigener Sicherheitsorganisation verschiebt sich die Rolle zur Steuerung; dort passt der CISM.

CISO eines Klinikverbunds: Im Verbund geht es um gemeinsame Richtlinien, Prioritäten über mehrere Standorte, Budget und Berichte an Geschäftsführung und Aufsichtsgremien. Das entspricht dem Kern des CISM: Governance, Risiko, Sicherheitsprogramm und Vorfallmanagement. Wer zusätzlich Architekturentscheidungen fachlich verantwortet, ergänzt den CISSP oder vertieft ihn später mit der Managementkonzentration ISSMP.

IT-Administration: Für Administratorinnen und Administratoren sind CISSP und CISM zu früh. Sinnvoller ist ein praxisnaher Einstieg mit CompTIA Security+ oder ISC2 SSCP. Diese Zertifizierungen können später auch Erfahrungszeit für den CISSP verkürzen.

In welcher Reihenfolge erwerben Fachleute die Zertifizierungen?

Kurze Antwort

Typisch ist ein Weg von einer Einstiegs- oder Praktikerzertifizierung zum CISSP oder CISM, danach eine Vertiefung. Wer beide anstrebt, beginnt mit der Zertifizierung, die zur aktuellen Aufgabe passt.

Einstieg: ISC2 Certified in Cybersecurity (CC) oder CompTIA Security+ für Grundlagen.
Praxis: ISC2 SSCP oder Erfahrung im Sicherheitsbetrieb, im ISMS oder in der Revision.
Professional: CISSP für breite fachliche Verantwortung oder CISM für die Leitung der Informationssicherheit.
Vertiefung: nach dem CISSP eine Konzentration wie ISSMP (Management) oder ISSAP (Architektur); im ISACA-Umfeld CRISC für Risiko und Kontrollen oder CISA für Prüfung.

Beide Zertifizierungen ergänzen sich. ISC2 führt den CISM auf der Liste der Zertifizierungen, die ein Jahr der CISSP-Erfahrung ersetzen können. Eine Übersicht der Zertifizierungspfade finden Sie auf den Seiten ISC2-Zertifizierungen und ISACA-Zertifizierungen.

Was decken CISSP und CISM nicht ab?

Kurze Antwort

Beide sind international ausgerichtet und behandeln keine deutschen Gesetze und Standards. Für NIS2-Umsetzung, § 391 SGB V, branchenspezifische Sicherheitsstandards und BSI IT-Grundschutz brauchen Sie ergänzendes Wissen.

Im Krankenhaus entscheidet am Ende, ob Sie die Anforderungen aus BSI-Gesetz, SGB V und Datenschutz in einem Managementsystem umsetzen können. Welche Einrichtungen unter NIS2 fallen und welche Pflichten daraus folgen, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen. Für die deutsche Praxis eignet sich ergänzend eine Qualifikation zum Informationssicherheitsbeauftragten nach BSI IT-Grundschutz. CISSP und CISM liefern dafür das methodische Fundament und einen international verständlichen Nachweis.

Welche Schulungen bereiten auf CISSP und CISM vor?

Kurze Antwort

Für beide Zertifizierungen gibt es Vorbereitungskurse, die den Prüfungsbereichen folgen. Ergänzend sind Kurse für Risikomanagement, Sicherheitsmanagement und die deutsche ISB-Praxis sinnvoll.

Aufgabe	Passendes Seminar	Dauer
Informationssicherheit fachlich breit verantworten	ISC2 CISSP	5 Tage
Informationssicherheit leiten und an die Geschäftsführung berichten	ISACA CISM	3 Tage
Sicherheitsprogramme nach dem CISSP führen	ISC2 ISSMP	3 Tage
IT-Risiken und Kontrollen steuern	ISACA CRISC	3 Tage
Die ISB-Rolle nach BSI IT-Grundschutz ausfüllen	Informationssicherheitsbeauftragte(r) mit TÜV-Rheinland-geprüfter Qualifikation	3 Tage

Den Prüfungsvoucher für den CISSP können Sie über uns dazubuchen; zur CISM-Prüfung melden Sie sich bei ISACA an. Alle Kurse zum Thema finden Sie unter Cybersecurity-Schulungen.

Fazit

CISSP und CISM sind keine Konkurrenten, sondern beschreiben zwei Schwerpunkte derselben Verantwortung. Der CISSP passt, wenn Sie Informationssicherheit fachlich in der Breite gestalten und mit der IT auf Augenhöhe sprechen wollen. Der CISM passt, wenn Sie Informationssicherheit als Managementaufgabe steuern, Risiken priorisieren und gegenüber Geschäftsführung und Aufsicht vertreten. Für Informationssicherheitsbeauftragte im Krankenhaus entscheidet der Zuschnitt der Stelle, für den CISO eines Klinikverbunds liegt der CISM näher, und für die IT-Administration ist ein Einstieg mit Security+ oder SSCP der bessere erste Schritt.

Quellen

CISSP – Certified Information Systems Security Professional. ISC2.
CISSP Certification Exam Outline. ISC2. Format, Fragen, Dauer, Bestehensgrenze, Sprachen, Gewichtung.
CISSP Experience Requirements. ISC2.
ISC2 Exam Pricing. ISC2.
Member Policies. ISC2. CPE und Jahresgebühr.
CISM – Certified Information Security Manager. ISACA. Prüfungsgebühren.
CISM Exam Content Outline. ISACA.
Earn a CISM Certification. ISACA. Erfahrungsvoraussetzung.
Maintain CISM Certification. ISACA.
ISACA Certification Exam Candidate Guide 2026. ISACA. Dauer, Bewertung, Sprachen.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

CISSP oder CISM? Welche Zertifizierung passt?

Wie unterscheiden sich CISSP und CISM auf einen Blick?

Welche Inhalte prüfen CISSP und CISM?

Welche Voraussetzungen gelten?

Welche Zertifizierung passt zu welcher Rolle im Gesundheitswesen?

In welcher Reihenfolge erwerben Fachleute die Zertifizierungen?

Was decken CISSP und CISM nicht ab?

Welche Schulungen bereiten auf CISSP und CISM vor?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.