Associate of ISC2: der Status derer, die die Prüfung ohne die Erfahrung bestanden haben

Die Prüfung ohne die fünf Jahre Berufserfahrung zu bestehen macht Sie zum Associate of ISC2: eine Mitgliedschaft, keine Zertifizierung, verbunden mit einer Frist, um die fehlenden Jahre zu sammeln. In den Berichten taucht das Thema in zwei Formen auf: die Enttäuschung derer, die entdecken, dass ihr Erfolg keine Zertifizierung bedeutet, und die bewusste Entscheidung — die Prüfung früh abzulegen, solange der Lernstoff frisch ist, und die Erfahrung danach entstehen zu lassen. Die offizielle Referenz zu diesen Regeln bleibt isc2.org.

Was ist der Status Associate of ISC2?

Es ist der Status für alle, die die Prüfung bestehen, ohne die Erfahrungsbedingung zu erfüllen. Die klarste Formulierung der Berichte stammt von einem Hochschulabsolventen in Rechnungswesen und Business Analytics, ganz ohne Berufserfahrung in der Sicherheit, der die Prüfung mit hundert Fragen abgelegt und bestanden hat:

„Technically anyone can take it, but passing the exam without the required experience will only allow for an Associate of ISC2 membership without the certification (which is my case).“

„Technisch gesehen kann sie jeder ablegen, aber die Prüfung ohne die geforderte Erfahrung zu bestehen berechtigt nur zu einer Mitgliedschaft als Associate of ISC2, ohne die Zertifizierung (das ist mein Fall).“

Zwei Punkte treten hervor. Es handelt sich um eine Mitgliedschaft, nicht um eine Zertifizierung: Der Titel CISSP ist nicht erworben, auch nicht teilweise. Und die Prüfung selbst ist nicht durch die Erfahrung gesperrt — die Kontrolle erfolgt auf der nächsten Stufe, der des Endorsements.

Ein Associate ist deswegen aber nicht ohne Pflichten. Einer von ihnen beschreibt seine Lage so: „i will have to annually pay my membership maintenance and gather 15 CPE“ („ich werde jährlich meinen Mitgliedsbeitrag zahlen und fünfzehn CPE sammeln müssen“). Er ergänzt, dass er mit seinem Security+ ein Jahr von den fünf abziehen will. Genaue Beträge und Mengen sind Regeln von ISC2 und an der Quelle zu bestätigen.

Wie lange hat man Zeit, die Erfahrung zu vervollständigen?

Das ist der Punkt, an dem sich die Berichte am deutlichsten widersprechen. In ein und demselben Diskussionsthread geben zwei Mitglieder zwei unterschiedliche Antworten:

Behauptung der Berichte	Ursprüngliche Formulierung	Status
5 Jahre	„You can be an associate and you have 5 years to gain the 5 years of expierence“	ohne Quelle
6 Jahre	„You actually have 6 years as an associate to gain your experience.“	ohne Quelle, als Korrektur dargestellt

Übersetzung der beiden: „Sie können Associate sein und haben fünf Jahre Zeit, um die fünf Jahre Erfahrung zu erwerben“ und „Sie haben in Wirklichkeit sechs Jahre als Associate, um Ihre Erfahrung zu erwerben“.

Keine der beiden Nachrichten verweist auf eine offizielle Seite, und wir entscheiden die Frage nicht: Es gilt die auf isc2.org veröffentlichte Dauer.

Die Berichte schweigen ebenso zu dem, was nach Ablauf dieser Frist geschieht — Verfall des Prüfungserfolgs, Verlängerung, erneutes Antreten: Kein Mitglied berichtet, diesen Termin erreicht zu haben.

Was darf man in den Lebenslauf und ins LinkedIn-Profil schreiben?

Das ist der Punkt, bei dem die Community am strengsten ist, und der einzige, den sie ausdrücklich an den Ethikkodex von ISC2 knüpft:

„You are not a CISSP and you cannot refer to yourself as being a CISSP until you’ve been properly credentialed by ISC2. You can’t even put things like "CISSP In Progress" or "Passed CISSP exam" on your resume. At most, you can only put "Associate of ISC2". And quite frankly, most recruiters aren’t even going to know what that means.“

„Sie sind kein CISSP und Sie dürfen sich nicht als CISSP bezeichnen, solange ISC2 Ihnen den Titel nicht ordnungsgemäß verliehen hat. Sie dürfen nicht einmal ‚CISSP In Progress‘ oder ‚Passed CISSP exam‘ in Ihren Lebenslauf schreiben. Bestenfalls dürfen Sie ‚Associate of ISC2‘ angeben. Und ganz ehrlich, die meisten Recruiter werden nicht wissen, was das bedeutet.“

Drei Angaben fallen damit auf einen Schlag weg: der Titel selbst, die Formel „in Arbeit“ und der Hinweis auf das Bestehen der Prüfung. Die Begründung ist berufsethisch — der Ethikkodex von ISC2 verpflichtet seine Mitglieder zur Ehrlichkeit ihrer beruflichen Angaben, und sein Text wird von ISC2 veröffentlicht.

In der Praxis übertragen vorsichtige Kandidaten diese Regel auf das Mündliche. Einer von ihnen, im Vorstellungsgespräch vor seinem Endorsement, fasst seine Linie so zusammen: „I was very careful to state that I had only provisionally passed CISSP“ („Ich habe sehr darauf geachtet, klarzustellen, dass ich den CISSP nur vorläufig bestanden hatte“).

Ist der Status bei Recruitern etwas wert?

Das hängt davon ab, wer ihn liest: Die Berichte geben zwei gegensätzliche Antworten, und beide sind je nach Kontext glaubwürdig.

In den allgemeinen Kommentaren überwiegt die Skepsis: „most recruiters aren’t even going to know what that means“. Das Argument ist einfach — ein Titel, den niemand kennt, funktioniert nicht als Signal. Begleitet wird es von dem ebenfalls weit verbreiteten Hinweis, dass der CISSP keine Einstiegszertifizierung ist und dass Anzeigen, die ihn als „Plus“ für eine Juniorstelle darstellen, an der Realität vorbeigehen.

Umgekehrt steht ein zwanzigjähriger Kandidat vollkommen zu seinem Status: „I know, associate of isc2 works for all of my immediate goals though“ („Ich weiß, aber Associate of ISC2 reicht für alle meine unmittelbaren Ziele“). Sein Arbeitgeber verlangte nur das Bestehen der Prüfung — ein häufiger Fall in Organisationen, die die Zertifizierung finanzieren oder vertraglich vorschreiben.

Eine Präzisierung zu diesem Profil, weil es an anderer Stelle auf dieser Website aus einem anderen Blickwinkel wiederkehrt: Es handelt sich in beiden Fällen um denselben Verfasser, den des Threads „Failed at 100, passed at 100“. Dieser Kandidat gibt rund drei Jahre Erfahrung in der Cybersicherheit an; er war neunzehn Jahre alt bei seinem ersten Versuch, den er nicht bestand, bei der hundertsten Frage, weil er alles auf die Managementdenkweise zulasten der Technik gesetzt hatte, und er hat im zweiten Anlauf bestanden, mit zwanzig. Dieses anfängliche Scheitern wird zitiert in unseren Berichten von Kandidaten ohne Erfahrung in der Cybersicherheit; das Bestehen ist es, das ihm hier seinen Associate-Status einbringt. Ein einziger Werdegang, zwei Etappen — und nicht zwei Personen mit widersprüchlichen Ergebnissen.

Der Wert des Status hängt also davon ab, wer ihn liest: nahe null vor einem allgemeinen Recruiter, real vor einem Arbeitgeber, der das Verfahren kennt. Die Berichte der Kandidaten beziffern nirgends die Wirkung des Associate-Status auf Gehälter oder Vorstellungsgespräche — die Schilderungen unmittelbarer Effekte, Kontakte von Recruitern und Gehaltssteigerungen eingeschlossen, betreffen sämtlich Kandidaten mit abgeschlossenem Endorsement; sie sind gesammelt in der Karrierebilanz der Zertifizierten.

Sollte man die Prüfung früh ablegen oder auf die Erfahrung warten?

Die Debatte existiert im Forum und ist nicht entschieden. Die in den Berichten der Kandidaten festgehaltenen Argumente beider Seiten:

• Früh antreten: Die Prüfung wird bestanden, solange der Lernstoff frisch ist, die Frist des Associate-Status läuft parallel zur Erfahrung, die sich ansammelt, und manchen Arbeitgebern genügt das Bestehen. Der spektakulärste Fall ist der eines Kandidaten, dessen Endorsement mit 23 Jahren dank 4,5 Jahren Erfahrung und der SSCP-Anrechnung vollständig abgeschlossen war: Er suchte nach Jüngeren als er selbst und stellte fest, dass „many were still Associates of ISC2 rather than fully certified CISSP holders with verified experience“ („viele noch Associates of ISC2 waren statt vollständig zertifizierter Titelträger mit geprüfter Erfahrung“).
• Warten: Die Gegenposition, geäußert als Reaktion auf denselben Bericht, beruft sich auf den Geist der Zertifizierung. „CISSP was not meant for a 23-year-old. […] the intent of this certification was for seasoned professionals not for someone that can pass a test.“ („Der CISSP war nicht für einen 23-Jährigen gedacht. […] die Absicht hinter dieser Zertifizierung galt erfahrenen Fachleuten, nicht jemandem, der einen Test bestehen kann.“) Ein unmittelbares Gegenbeispiel wird ihm im selben Thread entgegengehalten: eine Kandidatin, die mit 22 Jahren bestanden hat und zudem den PMP hält.

Ein technisches Argument kommt hinzu: Operative Erfahrung bereitet nicht zwangsläufig auf die Prüfung vor, die eine Denkweise auf Führungsebene erwartet. „5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think.“ Auf die fünf Jahre zu warten garantiert also nicht, in der Prüfung besser abzuschneiden.

Die Berichte der Kandidaten entscheiden zwischen diesen Positionen nicht und enthalten keinerlei Vergleichsdaten zu Bestehensquoten nach Berufserfahrung.

Wie wird aus einem Associate ein zertifizierter CISSP?

Indem er die fehlende Erfahrung sammelt und sie anschließend über das Endorsement-Verfahren bestätigen lässt — identisch mit dem der Kandidaten, die die Bedingung von vornherein erfüllen. Es ist dennoch der am wenigsten dokumentierte Teil der Berichte: Die fünfzig ausgewerteten Berichte enthalten mehrere Kandidaten, die Associates geworden sind, aber keinen ausführlichen Bericht über einen Übergang zum zertifizierten CISSP. Zwei Punkte treten dennoch hervor:

• die einjährige Anrechnung bleibt in dieser Rechnung nutzbar, mehrere Associates geben an, damit zu planen (Security+, SSCP);
• in der Zwischenzeit hält der Associate seine Mitgliedschaft aufrecht: Jahresbeitrag und CPE.

Für alles Weitere — Wiedereröffnung des Antrags, neuer Endorser, Schicksal der gesammelten CPE, erreichte Frist ohne die Erfahrung — gilt das von ISC2 beschriebene Vorgehen.

Um einzuschätzen, ob Ihr bisheriger Werdegang Sie den fünf Jahren näher bringt, siehe die für den CISSP geforderte Berufserfahrung. Zur Herkunft dieser Berichte und ihren Grenzen siehe unsere Methode sowie alle behandelten Themen im Blog oder auf Cybridia.