IT SICHERHEITSBEAUFTRAGTER FÜR IHR UNTERNEHMEN

Gesetzliche Grundlagen

Eine gesetzliche Regelung zur Beschaffungspflicht eines IT-Sicherheitsbeauftragten gibt es nicht.

Im Gegensatz zum Datenschutzbeauftragten, sind Unternehmen grundsätzlich nicht dazu verpflichtet einen IT-Sicherheitsbeauftragten zu bestellen.

Eine Ausnahme besteht jedoch bei Betreibern öffentlicher Telekommunikationsnetze oder öffentlich zugänglicher Telekommunikationsdienste. Diese müssen gemäß des Telekommunikationsgesetz (TGK) § 109 Abs. 4 Satz 1 einen Sicherheitsbeauftragten ernennen und ein Sicherheitskonzept erstellen.

Auch Betreiber von kritischen Infrastrukturen wie beispielsweise in den Bereichen Finanzen, Ernährung, Strom- und Wasserversorgung, sind dazu verpflichtet einen IT-Sicherheitsbeauftragten zu beschäftigen.

Befugnisse des IT-Sicherheitsbeauftragten

Der IT-Sicherheitsbeauftragte …

… ist weisungsbefugt gegenüber IT-Beauftragten und Systemadministratoren.

… ist organisatorisch der Unternehmensleitung unterstellt und hat damit direktes Vortragsrecht.

… hat ein Mitspracherecht bei allen Entscheidungen, die seinen Verantwortungsbereich betreffen.

… kann sich an Dienstberatungen, Projekt- und Leitungsbesprechungen beteiligen.

… hat Zugriff auf alle IT-Systeme und damit verarbeiteten Daten.

… hat Zutritt zu allen Betriebsbereichen.

… ist befugt, IT-Anwendungen ganz oder teilweise einzustellen, wenn die IT-Sicherheit gefährdet ist.

Wichtige Schritte zur Umsetzung eines ISMS

Um ein Information Security Management System richtig umsetzen zu können, müssen einige wichtige Schritte beachtet werden. Dieser Prozess wird in Planung, Umsetzung und in die Aufrechterhaltung unterteilt.

Der erste Schritt beinhaltet das Festlegen der Ziele des ISMS.

Diese Zielsetzungen definieren, was das Information Security Management System leisten soll und welche Informationen und Werte des Unternehmens geschützt werden müssen.

Ebenfalls eindeutig festzulegen sind die Anwendungsbereiche als auch Grenzen des ISMS.

Im dritten Schritt werden die Gegenmaßnahmen ausgearbeitet, welche die Minimierung von Bedrohungsszenarien zum Ziel haben.

Außerdem müssen diese Maßnahmen eine angemessene Reaktion auf Sicherheitsvorfälle ermöglichen.

Diese Gegenmaßnahmen beziehen sich aber nicht nur auf die IT-Abteilung. Sie betreffen alle Bereiche des Unternehmens und damit nicht nur digitale und virtuelle, sondern auch physische Sicherheitsaspekte.

Strategisches Informationsmanagement im Unternehmen

Die Ernennung eines externen Informationssicherheitsbeauftragten hat viele Vorteile.

Für diese Aufgabe sind in der Regel umfangreiche technische und organisatorische Kenntnisse erforderlich.

Interne Dienstleister können dies häufig nicht leisten, da sie nur die Prozesse des eigenen Unternehmens kennen.

Ein externer Informationssicherheitsbeauftragter kann häufig besser beurteilen, welches Konzept für das jeweilige Unternehmen am besten geeignet ist.

Als Externe können unsere Berater ihre Kontrollfunktion gegenüber IT-Leitung und Geschäftsführung optimal wahrnehmen.

Durch die Tätigkeit für unterschiedliche Unternehmen verschiedenster Branchen verfügen unsere Experten über umfassende Erfahrungen, die ein Angestellter meist nicht aufweisen kann.

Wie gehen wir vor?

Zunächst erstellen wir ein Inventar mithilfe eines Vor-Ort-Audits, bei dem die IT-Infrastruktur Vorschriften dokumentiert und ausgewertet werden.

Die Tätigkeitsbereiche des externen IT-Sicherheitsbeauftragten werden kurz- oder langfristig in Absprache mit dem Management definiert und umgesetzt.