Rollen und Verantwortung in der Informationssicherheit

Verantwortung in der Informationssicherheit nach IT-Grundschutz

Der Baustein ISMS.1 stellt an den Anfang: Die Institutionsleitung muss die Gesamtverantwortung für Informationssicherheit übernehmen, und das muss für alle Beteiligten erkennbar sein (ISMS.1.A1). Sie muss den Sicherheitsprozess initiieren, steuern und kontrollieren, Informationssicherheit vorleben, Zuständigkeiten festlegen und die Zuständigen mit Kompetenzen und Ressourcen ausstatten. Sie muss sich regelmäßig über den Stand und über Risiken fehlender Maßnahmen informieren lassen.

Der Baustein ORP.1 Organisation ergänzt:

• ORP.1.A1: Alle relevanten Aufgaben und Funktionen müssen klar definiert und voneinander abgegrenzt sein; verbindliche Regelungen werden anlassbezogen überarbeitet und bekannt gegeben.
• ORP.1.A2: Für alle Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen muss festgelegt sein, wer für sie und ihre Sicherheit zuständig ist. Alle Mitarbeitenden müssen wissen, wofür sie zuständig sind.
• ORP.1.A4: Unvereinbare Aufgaben, etwa operative und kontrollierende Funktionen, müssen auf verschiedene Personen verteilt sein; das gilt auch für Vertretungen.
• ORP.1.A15: Es muss Ansprechpersonen für Sicherheitsfragen geben, die allen bekannt sind.

Für NIS-2-pflichtige Einrichtungen verpflichtet § 38 BSIG die Geschäftsleitung ausdrücklich, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, und regelt die Haftung gegenüber der Einrichtung.

Die Rollen im Überblick

Geschäftsführung

• trägt die Gesamtverantwortung,
• verabschiedet Leitlinie und Sicherheitskonzept,
• stellt Ressourcen bereit,
• entscheidet über die Behandlung von Risiken und akzeptiert Restrisiken,
• lässt sich regelmäßig berichten und nimmt selbst an Sensibilisierungen teil.

Informationssicherheitsbeauftragter

Koordiniert den Sicherheitsprozess, berät die Leitung, koordiniert Konzepte und Richtlinien, prüft die Umsetzung, untersucht Vorfälle und stößt Schulungen an. Er soll direkt an die Leitung berichten können und nicht in der IT-Abteilung angesiedelt sein.

IS-Management-Team und Bereichsbeauftragte

In größeren Organisationen unterstützt ein IS-Management-Team den ISB. Für Bereiche, Projekte oder die industrielle Steuerung kann es eigene Sicherheitsbeauftragte geben. In kleinen Betrieben entfallen diese Rollen meist; der BSI-Standard 200-2 zeigt für kleine Institutionen eine Struktur, in der alle Aufgaben beim ISB liegen.

Fachverantwortliche

Sie verantworten Geschäftsprozesse und Anwendungen in ihrem Bereich. Sie kennen die Daten, bewerten mit den Schutzbedarf und entscheiden mit, wer welche Berechtigungen erhält. Der BSI-Standard 200-2 beschreibt im Zusammenhang mit der Klassifikation von Informationen die Rolle des Fachverantwortlichen (Data Owner), der Regelungen für seinen Bereich konkretisiert und Einstufungsfragen klärt.

IT-Betrieb oder IT-Dienstleister

Setzt technische Maßnahmen um: Konten und Berechtigungen, Updates, Datensicherung, Virenschutz, Netz. Meldet Auffälligkeiten an den ISB. Bei externer IT ist vertraglich festzuhalten, welche Aufgaben der Dienstleister übernimmt und welche beim Betrieb bleiben.

Datenschutzbeauftragter

Überwacht die Einhaltung des Datenschutzrechts. Die Aufgaben überschneiden sich mit denen des ISB, sind aber nicht identisch. Eine Personalunion ist nach 200-2 nicht grundsätzlich ausgeschlossen, Schnittstellen und Berichtswege müssen aber geklärt sein.

Personalabteilung und Vorgesetzte

Sorgen für geregelte Einarbeitung, Vertretungen und Austritte, für Vertraulichkeitsvereinbarungen und die Qualifikation des Personals (ORP.2).

Mitarbeitende

Halten die Richtlinien ein, nehmen an Schulungen teil und melden Vorfälle und Auffälligkeiten.

Funktionstrennung im kleinen Betrieb

Funktionstrennung bedeutet, dass eine Person nicht allein eine kritische Handlung ausführen und gleichzeitig kontrollieren kann. Beispiele:

• Wer Berechtigungen vergibt, sollte sie nicht ohne Freigabe sich selbst erteilen.
• Wer Zahlungen anlegt, gibt sie nicht allein frei.
• Wer die IT administriert, prüft nicht allein die eigene Arbeit.

Wo die Personaldecke keine vollständige Trennung erlaubt, helfen Ausgleichsmaßnahmen: Vier-Augen-Freigaben für kritische Vorgänge, Protokollierung, regelmäßige Stichproben durch eine andere Person oder einen externen Prüfer.

Vertretung

Nach ORP.2.A3 müssen für alle wesentlichen Geschäftsprozesse und Aufgaben praktikable Vertretungsregelungen bestehen. Der Aufgabenumfang der Vertretung ist im Voraus zu definieren, und die Vertretung muss über das nötige Wissen verfügen. Gerade in kleinen Betrieben hängt oft viel Wissen an einer Person, etwa an der Administratorin oder dem Inhaber. Dokumentierte Zugänge für den Notfall, Übergabenotizen und regelmäßiges Einarbeiten der Vertretung verringern dieses Risiko.

Rollen bei Dienstleistern und in der Cloud

Viele Aufgaben liegen heute bei externen Stellen: IT-Systemhaus, Hosting, Cloud-Dienste, Lohnbuchhaltung. Die Verantwortung für die eigenen Informationen bleibt trotzdem im Betrieb. Bei jedem Dienst sollte deshalb geklärt sein,

• welche Sicherheitsaufgaben der Anbieter übernimmt, etwa Betrieb, Updates und Sicherung der Plattform,
• welche beim Betrieb bleiben, etwa Benutzerkonten, Berechtigungen, Zwei-Faktor-Authentifizierung und die Konfiguration,
• wer intern Ansprechperson für den Dienst ist,
• wie der Anbieter Sicherheitsvorfälle meldet.

Gerade bei Cloud-Diensten entstehen Lücken oft genau an dieser Schnittstelle, weil jede Seite annimmt, die andere kümmere sich.

Zuständigkeiten festhalten

Eine einfache Zuständigkeitsmatrix genügt. Für jedes wichtige Objekt, etwa Warenwirtschaft, E-Mail, Datensicherung, Website, Telefonanlage oder Büro-PCs, werden festgehalten:

• verantwortlich: wer entscheidet und haftet intern,
• umsetzend: wer die Arbeit erledigt, intern oder Dienstleister,
• Vertretung: wer übernimmt bei Abwesenheit,
• zu informieren: wer bei Änderungen und Vorfällen Bescheid bekommt.

Diese Übersicht ist zugleich ein Baustein für die Strukturanalyse und den Notfallplan. Sie sollte bei personellen Veränderungen aktualisiert und mindestens jährlich geprüft werden.