ISO 27001: Managementsystem für mehr Datensicherheit

Mit zunehmender Digitalisierung und Vernetzung steigt für Unternehmen das Risiko für Cyberangriffe, die zu Datenverlust, -missbrauch oder gar Produktionsausfall führen können. Kundinnen und Kunden fordern einen Nachweis über die Sicherheit ihrer Daten. Die ISO 27001 hilft, Informationssicherheit strukturiert zu managen, Risiken zu minimieren und gesetzliche Vorgaben zu erfüllen.

Die Datenschutz-Grundverordnung (DSGVO) regelt seit Mai 2018, wann, wie und auf welcher Grundlage personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Pflichten datenverarbeitende Stellen erfüllen müssen.

Managementsystem für Informationssicherheit

Unternehmen müssen beim Verarbeiten personenbezogener Daten die Anforderungen der DSGVO ermitteln und umsetzen. Ein Managementsystem zum Beispiel nach ISO 27001 ermöglicht eine strukturierte Vorgehensweise und schafft Vertrauen bei Kundinnen und Kunden sowie Geschäftspartnern. Die DIN EN ISO/IEC 27001:2024-01 „Informationssicherheit, Cybersicherheit und Datenschutz - Informationssicherheitsmanagementsysteme - Anforderungen” legt sowohl Anforderungen für Einrichten, Umsetzen, Aufrechterhalten und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) als auch an die Beurteilung und Behandlung von Informationssicherheitsrisiken fest.

Für die Einführung eines Managementsystems nach ISO 27001 spricht vor allem:

• Gesetzliche Anforderungen werden erfüllt: Compliance-Anforderungen wie DSGVO und branchenspezifische Vorgaben, unter anderem die Nachweispflicht zur Datensicherheit.
• Sensible Informationen werden geschützt: Strukturierte Prozesse und Maßnahmen stellen Vertraulichkeit, Integrität und Verfügbarkeit von Daten sicher. Risiken wie Datenverlust oder -missbrauch können minimiert werden.
• Systematisches Risikomanagement: Unternehmen erkennen und bewerten potenzielle Sicherheitslücken frühzeitig und können präventiv handeln.
• Haftungsrisiken werden verringert: Ein funktionierendes ISMS senkt das Haftungsrisiko (Organisationsverschulden).
• Effizientere Prozesse: Dokumentierte Abläufe sorgen für rechtssicheres Arbeiten, Unternehmen sparen Zeit und Geld.
• Fortlaufende Verbesserung: Durch regelmäßiges Überprüfen und Anpassen der Prozesse steigen Schutzniveau und Bewusstsein für Informationssicherheit im Unternehmen.
• Erhöhtes Vertrauen als Wettbewerbsvorteil: Das Zertifikat dient als Nachweis gegenüber Kundschaft und zuständiger Behörde; für viele Kundinnen und Kunden ist es Voraussetzung für eine Geschäftsbeziehung.

Cybersicherheit für Anlagen

Cybersicherheit für industrielle Anlagen gewinnt durch Digitalisierung und Vernetzung zunehmend an Bedeutung, insbesondere für überwachungsbedürftige Anlagen wie Aufzugsanlagen, Druckanlagen, Anlagen in explosionsgefährdeten Bereichen sowie Tankstellen und Gasfüllanlagen. Wesentliche Anforderungen und Pflichten regelt die TRBS 1115, Teil 1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen”. Anlagenbetreiber müssen Gefährdungen für Beschäftigte und andere Personen durch Cyberbedrohungen wie Softwarefehler oder Hackerangriffe vermeiden.

Wesentliche Aufgaben sind vor allem (vgl. Abb. 1 TRBS 1115, Teil 1):

• Gefährdungen auch aufgrund von Cyberbedrohungen beurteilen (§§ 3, 4 BetrSichV): Fachkundiges Personal muss prüfen, ob Cyberrisiken für Anlagen bestehen; Risiken müssen bewertet werden. Leitfrage: Welche sicherheitsrelevanten Mess-, Steuer- und Regeleinrichtungen (MSR) sind vorhanden und sind sie vor Cyberbedrohung geschützt?
• Anforderungen an Cybersicherheit festlegen und Maßnahmen ableiten, zum Beispiel Netzwerksegmentierung, Zugangs- und Zugriffskontrollen sowie Notfallmanagement.
• Wirksamkeit der Maßnahmen überprüfen.
• Prüfung vor Inbetriebnahme und Wiederinbetriebnahme nach prüfpflichtigen Änderungen (§§ 4, 14 und 15 BetrSichV).
• Wiederkehrende Prüfung (§§ 14 und 16 BetrSichV) durch zur Prüfung befähigte Personen bzw. zugelassene Überwachungsstellen (ZÜS), die im Rahmen ihrer Prüfungen Cyberbedrohung und getroffene Schutzmaßnahmen bewerten. Können Vorgaben der TRBS 1115, Teil 1 nicht nachgewiesen werden, drohen nicht nur Bußgelder, sondern auch strafrechtliche Konsequenzen und gegebenenfalls sogar die Untersagung des Betriebs der betroffenen Anlage.
• Betrieb, Instandhaltung und regelmäßige Kontrolle der Funktionsfähigkeit der Maßnahmen zur Cybersicherheit.
• Dokumentation: Eine im Rahmen eines Managements der Cybersicherheit nach Anhang 1 TRBS 1115, Teil 1 vorhandene Dokumentation erfüllt für sicherheitsrelevante MSR-Einrichtungen die Dokumentationspflichten nach § 3 Absatz 8 BetrSichV.

Legal Compliance und Rechtskataster

Arbeitgeberinnen und Arbeitgeber müssen geltende rechtliche Anforderungen erfüllen. Diese ergeben sich aus externen Vorschriften und unternehmensinternen Verhaltensregeln: Legal Compliance bedeutet, dass Organisationen alle für sie zutreffenden, relevanten Rechtsvorschriften erfüllen und geregelt haben, wie diese aufrechterhalten und neue bzw. geänderte Anforderungen umgesetzt werden. Verhaltensregeln (Code of Conduct) betreffen zum Beispiel den Umgang mit Geschäftspartnern, den Umgang mit Geschenken und Einladungen oder Verantwortung bezüglich Umweltschutz.

Im ersten Schritt ermitteln Unternehmen im Rahmen eines Compliance-Audits, welche Vorschriften für sie relevant sind. Erforderliche Maßnahmen müssen festgelegt und umgesetzt werden. Das Ergebnis ist in der Regel ein individuelles Rechtskataster, das neben Rechtsvorschriften und unternehmensinternen Verhaltensregeln auch erforderliche Genehmigungen enthalten kann. Dabei ist das Managen geltender Vorschriften kein einmaliger Vorgang, sondern ein kontinuierlicher Prozess.

Anforderungen an ein geeignetes Rechtsregister sind vor allem, dass der Stand der Aktualisierung stets erkennbar ist, die Bedeutung von Änderungen und Neuerungen fürs eigene Unternehmen beurteilt wird, Pflichten abgeleitet und Maßnahmen umgesetzt und überwacht werden sowie eine Archivierung vorhanden ist. Gehören mehrere Standorte zum Unternehmen, wird ein standortbezogenes Rechtskataster gefordert.

Fazit

Unternehmen müssen sich vor Cyberbedrohungen schützen und Datensicherheit gewährleisten. Ein Managementsystem nach ISO 27001 ermöglicht ein strukturiertes Vorgehen; das Management der Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen (MSR) kann integriert werden. Beim Managen von Rechtsvorschriften und Anlagen unterstützt der Aufbau eines individuellen Rechtskatasters, etwa im Rahmen eines Compliance-Audits.