Geforderte Berufserfahrung für den CISSP: fünf Jahre, zwei Domänen, eine Anrechnung

Erforderlich sind fünf Jahre einschlägiger Berufserfahrung, verteilt auf mindestens zwei der acht CBK-Domänen, reduzierbar um ein Jahr durch einen anerkannten Abschluss oder eine anerkannte Zertifizierung. Der CISSP hat die Besonderheit, dass die Prüfung nur die halbe Strecke ist: Die andere Hälfte ist administrativ, und die Kandidaten sprechen fast immer erst im Nachhinein darüber, wenn der „provisional pass“ in der Tasche ist. Was folgt, gibt ihre ursprünglichen Formulierungen wieder; maßgeblich sind die Kriterien auf der CISSP-Erfahrungsseite von ISC2.

Wie viele Jahre Berufserfahrung sind wirklich nötig?

Fünf. Diese Zahl kehrt ausnahmslos in allen Berichten wieder und ist der häufigste Hinweis an Kandidaten, die ihren Erfolg verkünden:

„Passing the test is one of the requirements, the second is that you need to have 5 years of relevant work experience in order to fully receive the certification.“

„Die Prüfung zu bestehen ist eine der Anforderungen, die zweite besteht darin, fünf Jahre einschlägige Berufserfahrung zu haben, um die Zertifizierung vollständig zu erhalten.“

Der Kommentar enthält einen Link auf die offizielle Seite — ein Reflex, den die meisten Mitglieder teilen, die zu diesem Thema antworten. Unter demselben Beitrag steht eine schroffere Nachricht: „Congrats, you still won’t have the CISSP certification for years though“ („Glückwunsch, aber die CISSP-Zertifizierung werden Sie noch jahrelang nicht haben“).

Diese Anforderung erklärt auch den wiederkehrenden Ärger des Forums über schlecht kalibrierte Stellenanzeigen — ein Ärger, der an die weiter gefasste Debatte darüber anschließt, was der Titel tatsächlich bringt, behandelt in lohnt sich der CISSP?:

„Anyone who lists the CISSP as "nice to have" for an "entry-level" job is full of crap. […] The CISSP REQUIRES five full years of cybersecurity experience in the eight exam domains before a person can be granted the certification. That is, by definition, NOT AN ENTRY LEVEL CERTIFICATION.“

„Wer den CISSP als ‚nice to have‘ für eine ‚Einstiegsposition‘ aufführt, erzählt Unsinn. […] Der CISSP ERFORDERT fünf volle Jahre Erfahrung in der Cybersicherheit in den acht Prüfungsdomänen, bevor er verliehen werden kann. Das ist per Definition KEINE EINSTIEGSZERTIFIZIERUNG.“

Anzumerken: Keiner der fünfzig ausgewerteten Berichte behandelt Praktika, duale Ausbildung, Teilzeit, Arbeitnehmerüberlassung oder Wehrdienst — dazu gibt allein die ISC2-Dokumentation Auskunft.

Auf wie viele CBK-Domänen muss sich diese Erfahrung verteilen?

Auf mindestens zwei der acht. Die vollständigste Formulierung der Berichte richtet sich an einen IT-Techniker mit zwei Jahren Betriebszugehörigkeit und zahlreichen Zertifizierungen:

„Do you have the required experience to obtain the CISSP certification? Your current certifications would only count as 1 year. You would then need at least 4 years of working experience in at least 2 of the 8 security domains.“

„Haben Sie die erforderliche Erfahrung, um die CISSP-Zertifizierung zu erhalten? Ihre aktuellen Zertifizierungen würden nur für ein Jahr zählen. Sie bräuchten danach mindestens vier Jahre Berufserfahrung in mindestens zwei der acht Sicherheitsdomänen.“

Mit anderen Worten: Es wird nicht verlangt, alle acht Domänen abzudecken, und auch nicht, eine Stelle bekleidet zu haben, deren Bezeichnung das Wort „Security“ enthält. Zwei Domänen genügen, und genau diese Lesart macht den Antrag für viele Infrastrukturprofile zugänglich.

Können ein Abschluss oder eine Zertifizierung die Anforderung senken?

Ja, um ein Jahr — und nur um ein Jahr. Die Community ist bei dieser Obergrenze beständig: Abschluss und Zertifizierung addieren sich nicht über ein Jahr hinaus.

Berichteter Nachweis	Beschriebene Wirkung	Situation des Kandidaten
Bachelor (BS) in Cybersicherheit	1 Jahr Anrechnung	über 4 Jahre Cyber bei 13 Jahren IT — endorsed
SSCP (ISC2)	1 Jahr Anrechnung	4,5 Jahre Cyber — mit 23 vollständig endorsed
Security+	1 Jahr Anrechnung (von einem Associate erwähnt)	unzureichende Erfahrung — Weg über den Associate-Status
Stapel von IT-Zertifizierungen	1 Jahr insgesamt, nicht mehr	2 Jahre Betriebszugehörigkeit — vier Jahre noch zu sammeln

Die beiden Fälle, in denen das Endorsement tatsächlich erteilt wurde, sind eindeutig:

„Four + years of cyber, but cumulative 13 years of IT overall. Also a BS in cybersecurity to get that one year waiver.“

„Über vier Jahre Cyber, aber insgesamt dreizehn Jahre IT. Dazu ein Bachelor in Cybersicherheit, um dieses eine Jahr Anrechnung zu bekommen.“

„I currently have 4.5 years of cybersecurity experience, and the remaining one-year experience requirement was fulfilled through the ISC2 SSCP waiver.“

„Ich habe derzeit 4,5 Jahre Erfahrung in der Cybersicherheit, und das verbleibende Jahr wurde über die SSCP-Anrechnung von ISC2 abgedeckt.“

Kein Bericht nennt dagegen einen französischen Abschluss — Master in Security, RNCP-Titel, Ingenieurdiplom — und auch keine Liste der Zertifizierungen, die zur Anrechnung berechtigen: Diese Liste führt ISC2, sie ändert sich im Lauf der Zeit, und sie ist zu konsultieren, bevor man einen Antrag auf eine Anrechnung stützt.

Zählt meine Stelle im Support, als Sysadmin oder im Netzwerk als Sicherheitserfahrung?

Das ist die häufigste Frage des Themas, und die Antwort der Community fällt deutlich weiter aus, als die Kandidaten befürchten. Der maßgebliche Kommentar antwortet einem „IT Specialist“ eines Krankenhauses, der überzeugt ist, keinerlei Sicherheitserfahrung zu haben:

„During your 2 years as an IT Specialist have you worked with asset management, account creation/ permissions, end point security settings, VPN, OS hardening..etc? People seem to only consider the in-depth areas in each of the 8 domains.“

„Haben Sie in Ihren zwei Jahren als IT-Techniker mit Asset-Management, Kontoanlage und Berechtigungen, Sicherheitseinstellungen der Endgeräte, VPN, OS-Härtung … zu tun gehabt? Die Leute scheinen nur die tiefgehendsten Bereiche jeder der acht Domänen zu berücksichtigen.“

Es geht also darum, eine generalistische Stelle in Tätigkeiten zu zerlegen und diese Tätigkeiten dann den CBK-Domänen zuzuordnen: Ein Helpdesk, der Konten und Berechtigungen verwaltet, berührt das Identitätsmanagement; ein Netzwerkadministrator, der VPN konfiguriert und Systeme härtet, berührt die Kommunikations- und die Betriebssicherheit.

Welche Profile haben das Endorsement tatsächlich durchlaufen?

Aus den Berichten der Kandidaten lässt sich eine Liste von Werdegängen zusammenstellen, die zum Ziel geführt haben oder deren Verfasser zum Zeitpunkt der Veröffentlichung erklärte, die Bedingungen zu erfüllen. Sie ist als Stichprobe dessen zu verstehen, was akzeptiert oder als akzeptabel dargestellt wurde — nicht als Maßstab.

Berichtetes Profil	Situation beim Endorsement
Helpdesk, Sysadmin, dann Netadmin, Stelle als perspektivlos beschrieben	Endorsed (April → Mai 2023), danach erste Cyber-Stelle
über 4 Jahre Cyber bei 13 Jahren IT, dazu ein BS in Cybersicherheit	Endorsed
4,5 Jahre Cyber plus SSCP-Anrechnung, 23 Jahre alt	Vollständig endorsed
Rund 5 Jahre Erfahrung plus SSCP	Antrag in Prüfung („experience box-checking“)
5 Jahre ausschließlich GRC	Hält sich nach dem Bestehen für qualifiziert
IAM (5 Jahre) plus Sicherheitsarchitektur	Bestanden, Bedingungen erfüllt
DBA 3,5 Jahre, ISSO 1 Jahr, IT-Risikoanalyst 2 Jahre	Bestanden im dritten Versuch
Systemingenieur, Pentest, SOC, Produktsicherheit	Bestanden
IT-Jurist, umgestiegen auf Privacy und Risiko, 8 Jahre Sicherheit	Bestanden
Desktop-Support, dann Infosec, 16 Jahre	Bestanden
Big-4-Beratung (7 Jahre) plus 1,5 Jahre als Sicherheitsexperte	Bestanden
Incident Response, Compliance, SOC-2-Vorbereitung in einem MSP	Bestanden, Endorsement ausstehend

Der Kontrast zu den Profilen ohne Erfahrung ist deutlich: Diese landen als Associate of ISC2, ohne eine einzige in den Berichten erwähnte Ausnahme. Ihre Prüfungsberichte wiederum sind gesammelt in den CISSP ohne Erfahrung in der Cybersicherheit bestehen.

Eine Nuance kehrt schließlich bei sehr technischen Kandidaten wieder: Die Erfahrung zählt für den Antrag, garantiert aber nicht das Bestehen der Prüfung, die eine Denkweise auf Managementebene erwartet. Ein Mitglied formuliert es so: „5 years of experience is great, but if it’s not in that managerial role then it won’t be as useful as you think“ („Fünf Jahre Erfahrung sind gut, aber wenn sie nicht in einer Managementrolle erworben wurden, nützen sie Ihnen weniger, als Sie denken“). Es ist die in den Berichten am häufigsten selbst diagnostizierte Ursache des Scheiterns, im Detail behandelt in warum man am CISSP scheitert.

Wird Kandidaten ihre Erfahrung nicht anerkannt?

In den fünfzig ausgewerteten Berichten taucht keine Ablehnung eines Endorsements auf. Zu finden sind zwei Zwischensituationen, beide gefolgt von einer Genehmigung:

• eine während der Bearbeitung eingegangene Nachfrage zum beruflichen Werdegang, mit Genehmigung des Antrags zweieinhalb Wochen später;
• eine Nachricht über eine vertiefte Prüfung („audit review message“), als unangenehme Überraschung erlebt, aber ohne Auswirkung auf das Ergebnis.

Dieses Fehlen beweist nicht, dass es keine Ablehnungen gibt — ein abgelehnter Kandidat veröffentlicht selten —, und die Berichte sagen nichts über Ablehnungsgründe oder Rechtsbehelfe.

Was ist vor der Einreichung bei ISC2 zu klären?

Die Liste der Punkte, die diese Berichte offenlassen, ist kurz, aber entscheidend:

• die genaue Definition von Vollzeit und die Behandlung von Teilzeit;
• die Anrechnung von Praktika und dualer Ausbildung;
• die Anrechnung des Wehrdienstes oder gleichgestellter öffentlicher Funktionen;
• die aktuelle Liste der Abschlüsse und Zertifizierungen, die zum Anrechnungsjahr berechtigen, und insbesondere die Behandlung französischer Abschlüsse;
• die genaue Dauer des Associate-Status, bei der sich zwei Mitglieder desselben Threads widersprechen (fünf Jahre für den einen, sechs für den anderen);
• die Ablehnungsgründe und die möglichen Rechtsbehelfe.

Zu jedem dieser Punkte findet sich die Antwort auf isc2.org.

Sobald der Antrag steht, wird der weitere Verlauf in unserem Artikel über die Dauer des Endorsements und die Schritte des Antrags beschrieben. Woher diese Berichte stammen und was sich mit ihnen belegen lässt, steht in unserer Methode oder in der Übersicht aller Themen des Blogs.