Am 3. November ändert sich die CISM-Prüfung.
Sie haben bis zum 2. November Zeit, die Prüfung abzulegen, auf die Sie sich vorbereitet haben. Danach folgt jede Prüfung dem aktualisierten Exam Content Outline.
Das Meiste, was Sie darüber lesen werden, ist eine Tabelle mit Prozentwerten. Die Prozentwerte sind der uninteressanteste Teil davon.
Was sich tatsächlich geändert hat
Die vier Domänen bleiben unverändert. Governance, Risk Management, Program, Incident Management. Gleiche Namen, gleiche Reihenfolge.
Die Gewichtungen haben sich an zwei Stellen um je einen Punkt verschoben. Information Security Governance steigt von 17 auf 18 Prozent. Incident Management fällt von 30 auf 29. Risk Management bleibt bei 20. Program bleibt bei 33 und ist damit weiterhin die schwerste Domäne der Prüfung.
Das ist die vollständige Geschichte zu den Zahlen. Auch das Format ändert sich nicht: 150 Fragen, vier Stunden, ein Bestehens-Score von 450 auf der Skala von 200 bis 800.
Dann gibt es den Teil, dem Sie Ihre Aufmerksamkeit widmen sollten.
ISACA hat zwei neue Inhaltsbereiche hinzugefügt: Enterprise-Architektur und Informationssicherheitsarchitektur. Zudem wurde der Schwerpunkt der Prüfung stärker auf Informationssicherheitsstrategie und Programmentwicklung verlagert.
Warum Architektur, und warum jetzt
ISACAs eigene Erklärung umfasst einen Satz: Die Aktualisierung spiegelt die Notwendigkeit wider, die Technologien zu verstehen, die in den Verantwortungsbereich eines Sicherheitsmanagers fallen.
Lesen Sie es noch einmal, denn es ist eine Korrektur.
CISM wurde jahrelang als die Zertifizierung vermarktet, die man wählt, wenn man keine technische möchte. Der Management-Pfad. Strategie, Governance, Programmverantwortung, Gespräche mit dem Vorstand. Viele haben sie genau deshalb gewählt, um sich von den Diagrammen zu verabschieden.
Der Outline von 2026 schließt diesen Ausweg.
Man kann nicht steuern, was man nicht beschreiben kann. Ein Sicherheitsmanager, der kein Architekturdiagramm lesen kann, ist nicht in der Lage zu beurteilen, ob eine Maßnahme dort ansetzt, wo das Risiko tatsächlich liegt. Er genehmigt Designs, denen er nicht folgt, akzeptiert Restrisiken, die er nicht verorten kann, und zeichnet ein Programm ab, das auf dem Papier vollständig aussieht, aber in der Mitte eine Lücke hat.
Beachten Sie auch, dass ISACA Enterprise-Architektur hinzugefügt hat, nicht nur die sicherheitsspezifische. Das ist die größere Anforderung. Sie bedeutet zu verstehen, wie die Technologie des Unternehmens tatsächlich zusammenwirkt, nicht nur die darüber liegende Sicherheitsschicht. Ihre Firewall-Regeln sind keine Architektur. Das, was sie schützen, ist es.
Dies geht aus ISACAs Job Practice Analysis hervor, die aktive CISMs befragt. Kein Komitee hat es erfunden. Genug Praktiker haben gesagt: Das ist die Arbeit heute.
Vorher ablegen oder nachher
Die halbe Trainingsbranche hat im September damit verbracht, Ihnen zur Eile zu raten. Beachten Sie, wer davon profitiert.
Die ehrliche Antwort hat drei Varianten.
Wenn Sie seit Monaten lernen und kurz vor dem Abschluss stehen. Legen Sie die Prüfung vor dem 3. November ab. Sie kennen die aktuellen Materialien, haben das aktuelle Denkmodell verinnerlicht, und es gibt keinen Grund, drei Wochen vor dem Termin den Blueprint zu wechseln.
Wenn Sie jetzt erst anfangen. Tun Sie es nicht. Drei Wochen sind kein CISM-Vorbereitungszeitraum von null an, und eine Prüfung zu riskieren, um einem Kalender zuvorzukommen, ist ein teurer Weg, nichts zu gewinnen. Bereiten Sie sich ordentlich vor, legen Sie die Prüfung nach dem neuen Outline ab, und betrachten Sie die Architekturinhalte als etwas, das Sie ohnehin gebraucht hätten.
Wenn Sie irgendwo dazwischen stehen. Seien Sie ehrlich gegenüber Ihrer Prüfungsreife, nicht gegenüber dem Datum. Die Frist ist nicht die Variable, die über Bestehen oder Nichtbestehen entscheidet.
Hinweis: Der neue Outline ist nicht schwieriger. Er ist eine Weiterentwicklung desselben Management-Modells, ergänzt um Inhalte, die widerspiegeln, was die Rolle bereits umfasst. Eine Verschiebung um einen Prozentpunkt und zwei neue Inhaltsbereiche sind kein Grund, überstürzt eine Prüfung zu buchen, auf die Sie nicht vorbereitet sind.
Wenn Sie CISM bereits besitzen
Ihre Zertifizierung ist nicht betroffen. Der Outline regelt die Prüfung, nicht das Zertifikat, und Ihr CPE-Zyklus läuft genauso wie bisher weiter.
Die Entwicklungsrichtung ist dennoch auch an Sie gerichtet.
Betrachten Sie es als kostenlose Gap-Analyse. Wenn Enterprise-Architektur und Informationssicherheitsarchitektur die zwei Themen sind, die ISACA soeben als notwendig für einen Sicherheitsmanager eingestuft hat, und Sie heute Nachmittag keines davon für Ihre eigene Organisation an die Tafel skizzieren könnten, haben Sie Ihr nächstes CPE-Thema gefunden.
Abschließender Gedanke
Zertifizierungsaktualisierungen sagen meist mehr über den Berufsstand aus als über die Prüfung selbst.
Diese hier besagt, dass die Distanz zwischen der Steuerung von Sicherheit und dem Verständnis davon nicht länger akzeptabel ist. Der Manager, der ausführlich über Risikobereitschaft sprechen konnte, aber die Systeme nicht nennen konnte, auf denen die Daten liegen, war schon immer ein Problem.
Ab dem 3. November ist es auch ein prüfungsrelevantes.
Wo das gelehrt wird
Unser CISM-Kurs basiert auf dem aktualisierten Outline und wird als Präsenzkurs mit Trainer oder im Selbststudium angeboten. Die nächste Live-Gruppe startet vom 7. bis 10. Dezember, und die Selbststudium-Lizenz beginnt, wann immer Sie starten.
Anlässlich des Launches ist jeder ISACA-Selbststudiumskurs im Katalog zum Partnerpreis erhältlich. Das wird individuell gehandhabt und nicht automatisch an der Kasse angewendet. Fordern Sie ein Angebot an und teilen Sie uns mit, ob es sich um einen Einzelplatz oder ein Team handelt.