Ny tjänst: Bambuser söker Information Security Manager i Stockholms kommun – det här söker arbetsgivaren
Bambuser söker Information Security Manager i Stockholms kommun. Rollen beskrivs som central för att vidareutveckla bolagets informationssäkerhetsarbete i takt med att verksamheten växer, kundkrav ökar och regelverk förändras – med särskilt fokus på områden som AI och compliance.
Enligt annonsen har Bambuser redan en ISO 27001-certifierad ledningssystemgrund (ISMS). Den som anställs ska ta ägarskap för ISMS, driva risk- och tillgångsregister samt arbeta nära bolagets General Counsel i frågor som rör säkerhetsdelar av integritet och regelefterlevnad. Bambuser uppger också att man i detta skede prioriterar kandidater som redan är baserade i Stockholm och kan arbeta i Sverige utan visumsponsring.
Ansvar och arbetsuppgifter
Rollen har tydlig tyngdpunkt på styrning, riskhantering, revision/audit readiness och praktiskt policystöd i en B2B SaaS-miljö. Av annonsen framgår bland annat följande ansvarsområden:
- ISMS-styrning och audit readiness: äga ISO 27001-certifieringens livscykel och årlig ISMS-kalender, inklusive återkommande aktiviteter som utbildningar, ledningsgenomgångar, avvikelser och korrigerande åtgärder.
- Underhålla informationssäkerhetens Risk Register och Asset Register, och koppla risker till verksamhetsprioriteringar.
- Genomföra interna och externa revisioner end-to-end: scope, bevisinsamling, samordning med intressenter samt åtgärdsuppföljning.
- Policy- och kontrollbibliotek: äga hela ISMS-dokumentationen, ta fram policys, playbooks och kontrolldokumentation som fungerar i praktiken och håller vid granskning.
- Kund- och leverantörsdialog: vara kontaktpunkt för enterprise-kunders säkerhetsgranskningar, RFP-sektioner om säkerhet och bolagets Trust Center.
- Leda utrullning av en RFP AI tool och granska nya verktyg/leverantörer (inklusive AI-verktyg) ur perspektiv som datahantering, åtkomst och integrationsrisk innan införande.
- Regulatorik, privacy och AI: arbeta tillsammans med Legal för att följa regelutveckling på bolagets marknader och omsätta krav till konkreta säkerhetskontroller med tydligt ägarskap.
- Stödja säkerhetsdelar av GDPR-relaterad efterlevnad, inklusive leverantörsgranskningar samt underlag till ROPA och DPIA.
- Säkerhetstester och utbildning: koordinera penetrationstester med leverantörer och Engineering, samt äga program för security awareness (onboarding och återkommande utbildningar).
- Automation: dokumentera och automatisera säkerhetsflöden (t.ex. bevisinsamling, kontrollmonitorering, utbildningspåminnelser och auditschemaläggning) i samarbete med IT Ops och andra team.
Organisatoriskt ligger rollen i Operations, med rapportering till VP Operations och nära samarbete med Legal, Engineering, IT Ops och kommersiella team.
Kravprofil: kompetens och erfarenhet
Krav
- Minst 5 års erfarenhet inom informationssäkerhetscompliance, IT-revision eller risk management, gärna från B2B SaaS eller annan snabbväxande techmiljö.
- Dokumenterad erfarenhet av att implementera eller förvalta ISO/IEC 27001-certifiering.
- God arbetskunskap om GDPR och hur säkerhetskontroller stödjer integritetsefterlevnad i multi-tenant SaaS-miljöer.
- Medvetenhet om framväxande AI-reglering, inklusive EU AI Act, och konsekvenser för en techverksamhet.
- Teknisk förståelse för att kunna kartlägga system, dataflöden och integrationer samt ge råd om säkerhetsimplikationer vid arkitekturförändringar.
- Praktisk vana av automation kopplat till exempelvis bevisinsamling eller kontrollmonitorering, samt att kunna utvärdera GRC-plattformar jämfört med att bygga lösningar internt.
- Förmåga att omsätta komplexa krav till pragmatiska arbetssätt som inte bromsar verksamheten.
- Stark kommunikationsförmåga: kunna förklara risk och IT-säkerhet i affärstermer för ledning, kunder och medarbetare.
- Proaktivt och lösningsorienterat arbetssätt.
Meriterande
- Erfarenhet av att driva eller stödja program för penetrationstestning.
- Erfarenhet av att arbeta i eller med publikt listade bolag, inklusive förståelse för deras krav på intern kontroll.
Vilken typ av säkerhetsroll är det?
Utifrån annonsen är detta i första hand en roll inom informationssäkerhet/IT-säkerhet med tydlig inriktning mot styrning (GRC), riskhantering och efterlevnad. Tyngdpunkten ligger på att äga och vidareutveckla ett ISO 27001-baserat ISMS, säkerställa audit readiness samt hantera kund- och leverantörskrav i en enterprise- och SaaS-kontekst.
Rollen berör även lag & rätt genom samarbete med Legal kring GDPR och regulatorik, samt säkerhetsbedömningar kopplade till AI-verktyg och AI-regelutveckling.
Det här bör kandidater lyfta i ansökan
För den som söker tjänsten pekar annonsen ut flera områden som sannolikt är viktiga att konkretisera i CV och intervju:
- Exempel på hur du har förvaltat eller utvecklat ISO 27001 i praktiken: årshjul, ledningens genomgång, avvikelsehantering och förbättringsarbete.
- Hur du har arbetat med riskregister och tillgångsregister, och hur du kopplar risker till verksamhetsmål och prioriteringar.
- Erfarenhet av att driva interna/externa revisioner, inklusive bevisinsamling, koordinering och remediation.
- Konkreta exempel på policyarbete som blivit användbart i vardagen: playbooks, kontroller och förankring i organisationen.
- Arbete med kundgranskningar (t.ex. säkerhetsfrågor i RFP:er) och hur du kommunicerar säkerhet med enterprise-kunder.
- Hur du har stöttat GDPR-relaterade processer från säkerhetssidan, inklusive leverantörsbedömningar samt underlag till ROPA/DPIA.
- Exempel på automation av GRC-/complianceflöden: kontrollmonitorering, schemalagda aktiviteter, evidensinsamling och verktygsstöd.
- Om du har erfarenhet av penetrationstester: hur du scope:ar, följer upp fynd och säkerställer åtgärder tillsammans med Engineering.
- Hur du har byggt eller utvecklat security awareness-utbildning som fungerar för olika målgrupper.
Så söker du tjänsten
Annonsen anger inte sista ansökningsdag. Hur ansökan ska skickas in framgår inte i den information som finns i annonsunderlaget här.
Sammanfattningsvis signalerar Bambusers rekrytering ett fortsatt starkt kompetensbehov inom informationssäkerhet, särskilt i gränslandet mellan ISO 27001/ISMS, kundkrav, GDPR och AI-relaterad regulatorik – med fokus på praktisk styrning och automatiserade arbetssätt.
