Wie die Geschäftsleitung den Sicherheitsprozess startet

Die Initiative der Leitungsebene ist der entscheidende erste Schritt für eine wirksame Informationssicherheit im Unternehmen. Ohne dieses klare Bekenntnis und die aktive Steuerung durch die Geschäftsführung bleiben Sicherheitsbemühungen oft Stückwerk. Der IT-Grundschutz des BSI sieht die Verankerung in der Unternehmensspitze als Fundament für den gesamten Sicherheitsprozess vor.

Die Gesamtverantwortung der Leitungsebene

Informationssicherheit ist kein reines IT-Thema, sondern ein integraler Bestandteil der Unternehmensführung. Die Leitungsebene trägt die Gesamtverantwortung dafür, dass Risiken für die Geschäftstätigkeit erkannt, bewertet und minimiert werden. Da heute nahezu alle Geschäftsprozesse von einer funktionierenden IT abhängen, ist der Schutz von Informationen und Systemen eine strategische Notwendigkeit.

Ihre Verantwortung umfasst laut BSI folgende Aspekte:

• Initiierung: Sie müssen den Anstoß geben, Informationssicherheit systematisch zu behandeln.
• Steuerung und Kontrolle: Sie überwachen den Fortschritt des Sicherheitsprozesses und stellen sicher, dass die gesetzten Ziele erreicht werden.
• Ressourcenbereitstellung: Sie stellen die erforderlichen finanziellen, personellen und zeitlichen Ressourcen zur Verfügung.
• Risikoentscheidungen: Sie treffen die grundlegenden Entscheidungen über den Umgang mit identifizierten Risiken.

Diese Verantwortung kann nicht vollständig delegiert werden. Auch wenn operative Aufgaben an einen Informationssicherheitsbeauftragten (ISB) übergeben werden, verbleibt die Rechenschaftspflicht bei der Geschäftsleitung.

Den Sicherheitsprozess initiieren: Die ersten konkreten Schritte

Der Start des Sicherheitsprozesses erfolgt durch eine formale Management-Entscheidung. Diese dokumentiert den Willen der Leitung, Informationssicherheit als dauerhafte Aufgabe zu etablieren. Darauf aufbauend folgen drei wesentliche Schritte:

1. Verantwortlichen benennen: Benennen Sie eine Person, die den Aufbau des Sicherheitsprozesses operativ verantwortet. In der Regel ist dies der Informationssicherheitsbeauftragte (ISB). Falls diese Rolle noch nicht besetzt ist, bestimmen Sie einen Verantwortlichen, der die ersten Schritte koordiniert. Die Aufgaben und Befugnisse dieser Rolle sind im Baustein ORP.1 Organisation (Edition 2023) des IT-Grundschutz-Kompendiums beschrieben. Der ISB benötigt Ihre volle Unterstützung, um die notwendige Akzeptanz bei den Fachabteilungen zu erhalten.

2. Ressourcen zusichern: Ein Sicherheitsprozess erfordert Investitionen. Planen Sie ein angemessenes Budget für Personal, Schulungen, externe Beratung oder technische Lösungen ein. Machen Sie deutlich, dass der ISB und sein Team die notwendige Zeit erhalten, um ihre Aufgaben zu erfüllen.

3. Leitlinie zur Informationssicherheit verabschieden: Die Leitlinie ist das erste und wichtigste Strategiedokument. Sie wird idealerweise vom ISB in Abstimmung mit relevanten Abteilungen (IT, Personal, Recht, Datenschutz) entworfen, muss aber von Ihnen als Leitungsebene in Kraft gesetzt werden. Dies unterstreicht ihre Verbindlichkeit.

Die Leitlinie zur Informationssicherheit als Fundament

Die Leitlinie zur Informationssicherheit ist die Verfassung Ihrer Sicherheitsorganisation. Sie sollte kurz, verständlich und für alle Mitarbeitenden zugänglich sein. Sie dient als Grundlage für alle weiteren Richtlinien, Konzepte und Maßnahmen.

Laut BSI sollte eine Leitlinie folgende Inhalte umfassen:

• Stellenwert: Warum Informationssicherheit für den Erfolg Ihres Unternehmens entscheidend ist.
• Sicherheitsziele: Was Sie erreichen wollen, z. B. die Sicherstellung der Produktionsfähigkeit, den Schutz von Kundendaten oder die Einhaltung gesetzlicher Vorgaben. Diese Ziele sollten sich aus den allgemeinen Geschäftszielen ableiten.
• Sicherheitsstrategie: Die grundlegende Herangehensweise, um die Ziele zu erreichen (z. B. durch Orientierung am IT-Grundschutz).
• Organisationsstruktur: Eine Beschreibung der geplanten Sicherheitsorganisation, inklusive der Rollen und Verantwortlichkeiten (z. B. ISB, IT-Verantwortliche).
• Geltungsbereich: Für wen und was die Leitlinie gilt (z. B. alle Mitarbeitenden, Standorte, Systeme).
• Durchsetzung: Eine klare Aussage, dass Sie als Leitung die Einhaltung der Leitlinie durchsetzen werden.

Die Anforderungen an Leitlinien und Richtlinien werden im Baustein ORP.2 Leitlinien und Richtlinien (Edition 2023) konkretisiert. Nach der Verabschiedung muss die Leitlinie im Unternehmen bekannt gemacht werden, beispielsweise über das Intranet. Sie sollte zudem regelmäßig, etwa jährlich oder bei wesentlichen Änderungen im Unternehmen, überprüft und aktualisiert werden.