1. Erläuterndes Memorandum

Kymos ist zur Erreichung seiner Ziele auf IKT-Systeme (Informations- und Kommunikationstechnologie) angewiesen.

Diese Systeme müssen sorgfältig verwaltet werden, wobei angemessene Maßnahmen zu ergreifen sind, um sie gegen versehentliche oder vorsätzliche Schäden zu schützen, welche die Verfügbarkeit, Integrität und Vertraulichkeit der verarbeiteten Informationen oder der erbrachten Dienstleistungen beeinträchtigen könnten.

Ziel der Informationssicherheit ist es, die Qualität der Informationen und die kontinuierliche Erbringung von Dienstleistungen zu gewährleisten, indem präventiv gehandelt, die täglichen Aktivitäten überwacht und umgehend auf Vorfälle reagiert wird.

Um sich gegen diese Bedrohungen zu wehren, ist eine Strategie erforderlich, die sich an veränderte Umweltbedingungen anpasst, um die kontinuierliche Erbringung von Dienstleistungen sicherzustellen.

Dies impliziert, dass die Abteilungen die Sicherheitsmaßnahmen implementieren müssen, die durch die ISO 27001 und die NIS-2-Richtlinie (Anhang I, Punkt 5 „Gesundheitswesen“ in Verbindung mit NACE Rev. 2, Abschnitt C, Punkt 21 „Herstellung von pharmazeutischen Erzeugnissen“) vorgeschrieben sind, sowie das Niveau der Dienstleistungserbringung kontinuierlich überwachen, gemeldete Schwachstellen verfolgen, analysieren und beheben sowie eine effektive Reaktion auf Vorfälle vorbereiten müssen, um die Kontinuität der erbrachten Dienstleistungen zu gewährleisten.

Die verschiedenen Abteilungen müssen sicherstellen, dass die IKT-Sicherheit ein integraler Bestandteil jeder Phase des Lebenszyklus eines Systems ist, von der Konzeption bis zur Außerbetriebnahme, über Entwicklungs- oder Beschaffungsentscheidungen bis hin zu betrieblichen Aktivitäten.

Sicherheitsanforderungen und deren Finanzierung müssen identifiziert und in die Planung, Ausschreibungen und Vergabeunterlagen für IKT-Projekte aufgenommen werden. Die Abteilungen müssen darauf vorbereitet sein, Vorfälle gemäß Artikel 29.a der NIS-2-Richtlinie zu verhindern, zu erkennen, darauf zu reagieren und sich davon zu erholen.

2. Management von Sicherheitsvorfällen

2.1 Prävention

Die Abteilungen müssen vermeiden oder zumindest so weit wie möglich verhindern, dass Informationen oder Dienstleistungen durch Sicherheitsvorfälle beeinträchtigt werden. Sowohl die ISO 27001 als auch die NIS-2-Richtlinie schreiben vor, dass Systeme so konzipiert und konfiguriert sein müssen, dass Sicherheit standardmäßig gewährleistet ist (Security by Default), im Einklang mit der „Need-to-Know“-Richtlinie der minimalen Rechtevergabe.

Zu diesem Zweck müssen die Abteilungen die durch die ISO 27001 festgelegten Mindestsicherheitsmaßnahmen gemäß den Anforderungen der NIS-2-Richtlinie sowie alle zusätzlichen Kontrollen implementieren, die durch eine Bedrohungs- und Risikoanalyse identifiziert wurden. Diese Kontrollen müssen zusammen mit den Sicherheitsrollen und -verantwortlichkeiten des gesamten Personals klar definiert und dokumentiert werden.

Um die Einhaltung der Richtlinie zu gewährleisten, müssen die Abteilungen:

• Sichere Bereiche für kritische oder vertrauliche Informationssysteme einrichten.
• Systeme vor der Inbetriebnahme autorisieren.
• Die Sicherheit regelmäßig bewerten, einschließlich der Bewertung von Konfigurationsänderungen, die im täglichen Betrieb vorgenommen werden.
• Eine regelmäßige Überprüfung durch Dritte anfordern, um eine unabhängige Bewertung zu erhalten.

2.2 Erkennung

Da sich Dienstleistungen aufgrund von Vorfällen schnell verschlechtern können – von einer einfachen Verlangsamung bis hin zum Stillstand –, müssen die Dienste den Betrieb kontinuierlich überwachen, um Anomalien im Niveau der Dienstleistungserbringung zu erkennen und entsprechend den Vorgaben der ISO 27001 und NIS 2 zu handeln.

Die Überwachung ist besonders relevant beim Aufbau von Verteidigungslinien. Es sind Erkennungs-, Analyse- und Meldemechanismen einzurichten, die die Verantwortlichen regelmäßig sowie bei signifikanten Abweichungen von den als normal vordefinierten Parametern erreichen.

Intrusion-Detection-Systeme überwachen und prüfen in erster Linie die Ressourcen der Organisation, verifizieren, dass die Sicherheitspolitik nicht verletzt wird, und versuchen, jegliche böswillige Aktivität frühzeitig und effektiv zu identifizieren.

Je nach Bedarf müssen folgende Klassifizierungen vorgenommen werden:

• Intrusion-Detection-Systeme auf Netzwerkesbene.
• Intrusion-Detection-Systeme auf Systemebene.

2.3 Reaktion

Die Abteilungen müssen:

• Mechanismen einrichten, um effektiv auf Sicherheitsvorfälle zu reagieren.
• Einen Kontaktpunkt für die Kommunikation bezüglich Vorfällen benennen, die in anderen Abteilungen oder anderen Stellen erkannt wurden.
• Protokolle für den Informationsaustausch im Zusammenhang mit dem Vorfall festlegen.

2.4 Wiederherstellung

Um die Verfügbarkeit kritischer Dienste zu gewährleisten, stellt die Organisation die Existenz eines Kontinuitätsplans und damit verbundener Wiederherstellungsaktivitäten sicher.

3. Geltungsbereich

Diese Richtlinie gilt für die Informationssysteme, welche die Analyse, Qualitätskontrolle und Zertifizierung von pharmazeutischen, biotechnologischen und kosmetischen Produkten unterstützen, die von der Kymos Group verwaltet werden.

4. Mission und erbrachte Dienstleistungen

Kymos achtet als privates Unternehmen auf die Wahrung seiner Interessen und dient im Rahmen der Erbringung seiner Dienstleistungen für die öffentliche Verwaltung und/oder private Unternehmen im pharmazeutischen Sektor mit Objektivität den allgemeinen Interessen, indem es Dienstleistungen erbringt, die dazu beitragen, die Bedürfnisse der bereitgestellten Dienste zu erfüllen.

5. Regulatorischer Rahmen

Der rechtliche Rahmen für die Informationssicherheit wird durch Folgendes festgelegt:

• ISO/IEC 27001:2022, Informationssicherheit, Cybersicherheit und Datenschutz.
• Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union (NIS 2) und lokale Durchführungsgesetzgebung.

5.1 Schutz personenbezogener Daten

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).
• Gesetz 3/2018 vom 5. Dezember über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte.

5.2 E-Government und elektronische Signatur

• Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates (Elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt).
• Gesetz 6/2020 vom 11. November zur Regelung bestimmter Aspekte elektronischer Vertrauensdienste.
• KOM (2001) 298 – endgültig, der Europäischen Kommission – Netz- und Informationssicherheit: Vorschlag für ein europäisches politisches Konzept.
• Gesetz 6/2020 vom 11. November zur Regelung bestimmter Aspekte elektronischer Vertrauensdienste.

5.3 Netz- und Informationssicherheit

• OECD-Leitlinien für die Sicherheit von Informationssystemen und -netzen. Hin zu einer Kultur der Sicherheit. Als Ergänzung zur geltenden Gesetzgebung gibt es derzeit die internationale Norm UNE ISO/IEC 27002 „Leitfaden für das Informationssicherheits-Management“, die zu einem Standard für die Prüfung von Aspekten der Informationssicherheit in Organisationen geworden ist.

6. Sicherheitsorganisation: Ausschüsse, Rollen und Verantwortlichkeiten

Der Sicherheitsausschuss ist das Gremium, das die Informationssicherheit auf organisatorischer Ebene koordiniert.

Er besteht aus dem Informationssicherheitsbeauftragten und Vertretern anderer Bereiche, die von ISO 27001 und NIS 2 betroffen sind.

Zugehörige Funktionen und Verantwortlichkeiten

• Verantwortlichkeiten, die sich aus der Verarbeitung personenbezogener Daten ergeben, wobei der Datenschutzbeauftragte (DSB) in seinen Funktionen unterstützt wird.
• Bearbeitung der Anliegen der zuständigen übergeordneten Stellen und der verschiedenen Abteilungen.
• Regelmäßige Berichterstattung über den Status der Informationssicherheit an die zuständigen Vorgesetzten.
• Förderung der kontinuierlichen Verbesserung des Informationssicherheits-Managementsystems (ISMS).
• Entwicklung der Strategie der Organisation für die Weiterentwicklung der Informationssicherheit.
• Koordinierung der Bemühungen der verschiedenen Bereiche in Bezug auf die Informationssicherheit, um sicherzustellen, dass die Bemühungen konsistent sind, mit der in diesem Bereich beschlossenen Strategie übereinstimmen und Doppelarbeit vermieden wird.
• Entwicklung (und regelmäßige Überprüfung) der Informationssicherheitspolitik.
• Genehmigung interner Vorschriften zur Informationssicherheit.
• Entwicklung und Genehmigung von Schulungs- und Qualifizierungsanforderungen für Administratoren, Bediener und Benutzer unter dem Gesichtspunkt der Informationssicherheit.
• Überwachung der wichtigsten Restrisiken, die von der Organisation übernommen werden, und Empfehlung möglicher zu ergreifender Maßnahmen.
• Überwachung der Leistung von Prozessen zum Management von Sicherheitsvorfällen und Empfehlung möglicher Maßnahmen in dieser Hinsicht. Insbesondere Sicherstellung der Koordination der verschiedenen Sicherheitsbereiche beim Management von Informationssicherheitsvorfällen.
• Förderung regelmäßiger Audits zur Überprüfung der Einhaltung der Sicherheitsverpflichtungen der Organisation.
• Genehmigung von Plänen zur Verbesserung der Informationssicherheit der Organisation.
• Sicherstellung, dass die Informationssicherheit in allen Projekten von der ersten Spezifikation bis zur Implementierung berücksichtigt wird.
• Lösung von Verantwortlichkeitskonflikten, die zwischen den verschiedenen Verantwortlichen und/oder zwischen verschiedenen Bereichen der Organisation entstehen können, wobei die Situation in den Fällen, in denen keine ausreichende Entscheidungsbefugnis vorliegt, an die Vorgesetzten gemeldet wird.

Im Falle eines Informationssicherheitsvorfalls

Er genehmigt den Sicherheitsverbesserungsplan mit der entsprechenden Budgetzuweisung. Der Informationssicherheitsausschuss ist kein technischer Ausschuss, er holt jedoch regelmäßig von eigenem oder externem technischem Personal relevante Informationen für die Entscheidungsfindung ein. Der Informationssicherheitsausschuss lässt sich in Angelegenheiten beraten, über die er zu entscheiden oder eine Stellungnahme abzugeben hat. Diese Beratung wird von Fall zu Fall festgelegt und kann verschiedene Formen annehmen:

• Interne, externe oder gemischte spezialisierte Arbeitsgruppen.
• Externe Beratung.
• Teilnahme an Kursen oder anderen Arten von Schulungen oder Umgebungen zum Erfahrungsaustausch.

Der Informationssicherheitsbeauftragte ist der Sekretär des Informationssicherheitsausschusses und als solcher:

• Beruft die Sitzungen des Informationssicherheitsausschusses ein.
• Bereitet die in den Ausschusssitzungen zu behandelnden Themen vor und stellt zeitnahe Informationen für die Entscheidungsfindung bereit.
• Erstellt die Protokolle der Sitzungen.
• Ist verantwortlich für die direkte oder delegierte Umsetzung der Beschlüsse des Ausschusses.

6.1 Definition der Rollen

Die Sicherheitspolitik muss die Personen klar identifizieren, die für die Gewährleistung der Einhaltung verantwortlich sind, und muss allen Mitgliedern der Verwaltungsorganisation bekannt sein.

In der Organisation werden die folgenden Rollen im Zusammenhang mit der Informationssicherheit festgelegt.

6.1.1 Informationsmanager

Dies entspricht der Ebene eines obersten Leitungsorgans, das die Mission der Organisation versteht, die zu erreichenden Ziele festlegt und dafür verantwortlich ist, dass diese erreicht werden.

Dessen Funktionen können einer natürlichen Person oder dem Informationssicherheitsausschuss zugewiesen werden.

Die Person oder das Gremium, das diese Aufgabe übernimmt, wird für jede von der Organisation verarbeitete Information identifiziert.

Zugehörige Funktionen und Verantwortlichkeiten

• Er legt die Anforderungen an die Sicherheitsinformationen fest.
• Er trägt die letztendliche Verantwortung für die Nutzung kritischer Informationen und somit für deren Schutz.
• Er legt die Sicherheitsstufen in jeder Dimension der Information fest.
• Obwohl die formelle Genehmigung der Informationsstufen vom Informationsmanager abhängt, kann dieser einen Vorschlag vom Informationssicherheitsbeauftragten, dem ISMS-Manager und der Systemsicherheitsadministration einholen, letztere falls zutreffend.

Kompatibilität mit anderen Rollen

Diese Rolle kann mit der des Servicemanagers zusammenfallen.

Diese Rolle darf nicht mit der des Informationssicherheitsbeauftragten, des ISMS-Managers oder des Systemsicherheitsadministrators zusammenfallen, letzterer falls zutreffend.

6.1.2 Servicemanager

Sofern er nicht mit dem Informationsmanager identisch ist, kann er auf der Ebene eines obersten Leitungsorgans angesiedelt sein, wie der Informationsmanager, oder auf der Ebene einer Geschäftsführung oder eines Managements, das versteht, was jede Abteilung tut und wie die Abteilungen untereinander koordiniert werden, um die von den zuständigen übergeordneten Stellen gesetzten Ziele zu erreichen.

Dessen Funktionen können einer natürlichen Person oder dem Informationssicherheitsausschuss zugewiesen werden.

Die Person oder das Gremium, das diese Aufgabe übernimmt, wird für jede von der Organisation erbrachte Dienstleistung identifiziert.

Zugehörige Funktionen und Verantwortlichkeiten

• Legt die Sicherheitsanforderungen für Dienstleistungen fest.
• Er trägt die letztendliche Verantwortung für die Nutzung bestimmter Dienste und somit für deren Schutz. Im Falle der Existenz eines Dienstleisters ist er dafür verantwortlich, Fehler oder fahrlässige Handlungen unter seiner Kontrolle zu verwalten und zu mildern, die zu Vorfällen bei der Dienstverfügbarkeit führen könnten.
• Er legt die Sicherheitsstufen in jeder Dimension des Dienstes fest.
• Obwohl die formelle Genehmigung der Stufen vom Servicemanager abhängt, kann dieser einen Vorschlag vom Informationssicherheitsbeauftragten, dem ISMS-Manager und dem Systemsicherheitsadministrator einholen, letzterer falls zutreffend.
• Die Erbringung einer Dienstleistung muss immer die Sicherheitsanforderungen der verarbeiteten Informationen sowie die Sicherheitsanforderungen der Dienstleistung erfüllen, ergänzt um Verfügbarkeitsanforderungen und andere, wie Barrierefreiheit und Interoperabilität.

Kompatibilität mit anderen Rollen

Diese Rolle kann mit der des Informationsmanagers zusammenfallen.

Diese Rolle darf nicht mit der des Informationssicherheitsbeauftragten, des ISMS-Managers oder des Systemsicherheitsadministrators zusammenfallen, letzterer falls zutreffend.

6.1.3 Informationssicherheitsbeauftragter / CISO

Dies entspricht der Ebene einer Geschäftsführung oder eines Managements.

Nur eine Person in der Organisation wird formell als Informationssicherheitsbeauftragter ernannt, obwohl der Informationssicherheitsbeauftragte einen Teil der Funktionen an andere Personen, sogenannte Delegierte, delegieren kann.

Zugehörige Funktionen und Verantwortlichkeiten

• Berichtet direkt an den Informationssicherheitsausschuss.
• Fungiert als Sekretär des Informationssicherheitsausschusses.
• Beruft den Informationssicherheitsausschuss ein.
• Aufrechterhaltung der Sicherheit der verwendeten Informationen, der erbrachten Dienstleistungen und der Informationssysteme.
• Förderung von Schulungen und Sensibilisierung für Informationssicherheit.
• Er stellt zusammen mit dem ISMS-Manager die Sicherheitsanforderungen der Informations- und Servicebeauftragten zusammen und bestimmt die Kritikalität des Systems.
• Durchführung der Risikoanalyse.
• Erstellung einer Erklärung zur Anwendbarkeit (Statement of Applicability) basierend auf den erforderlichen Sicherheitsmaßnahmen gemäß ISO 27001 und NIS 2 sowie dem Ergebnis der Risikoanalyse.
• Bereitstellung von Informationen für das Management und andere Ausschussmitglieder über das Niveau des Restrisikos, das nach der Implementierung der in der Risikoanalyse ausgewählten Behandlungsoptionen und der erforderlichen Sicherheitsmaßnahmen zu erwarten ist.
• Koordiniert die Erstellung der Systemsicherheitsdokumentation.
• Nimmt im Rahmen des Informationssicherheitsausschusses an der Ausarbeitung der Informationssicherheitspolitik zur Genehmigung durch das Management teil.
• Nimmt an der Ausarbeitung und Genehmigung der Informationssicherheitsrichtlinien, -verfahren und internen Vorschriften der Organisation im Rahmen des Informationssicherheitsausschusses teil.
• Entwicklung, Pflege und Genehmigung operativer Informationssicherheitsverfahren.
• Stellt dem Sicherheitsausschuss regelmäßig eine Zusammenfassung der Sicherheitsmaßnahmen, Informationssicherheitsvorfälle und des Sicherheitsstatus des Systems zur Verfügung.
• Erarbeitet zusammen mit dem ISMS-Manager Sicherheitsverbesserungspläne zur Genehmigung durch den Informationssicherheitsausschuss.
• Fördert Schulungen und Sensibilisierung und erarbeitet Schulungs- und Sensibilisierungspläne zur Informationssicherheit für das Personal, die vom Informationssicherheitsausschuss genehmigt werden.
• Validiert die vom ISMS-Manager erarbeiteten Systemkontinuitätspläne, die vom Informationssicherheitsausschuss genehmigt und vom ISMS-Manager regelmäßig getestet werden.
• Genehmigt die vom ISMS-Manager vorgeschlagenen Richtlinien zur Berücksichtigung der Informationssicherheit während des gesamten Lebenszyklus von Assets und Prozessen: Spezifikation, Architektur, Entwicklung, Betrieb und Änderungen.

Im Falle eines Informationssicherheitsvorfalls

Der Informationssicherheitsbeauftragte analysiert den Vorfall und schlägt Schutzmaßnahmen vor, um ähnliche Vorfälle in Zukunft zu verhindern.

Kompatibilität mit anderen Rollen

Diese Rolle darf nicht mit der des ISMS-Managers und des Systemsicherheitsadministrators zusammenfallen, letzterer falls zutreffend.

Delegation von Funktionen

Für bestimmte Informationssysteme, die aufgrund ihrer Komplexität, Verteilung, physischen Trennung ihrer Elemente oder der Anzahl der Benutzer zusätzliches Personal zur Ausführung der Funktionen des Informationssicherheitsbeauftragten erfordern, können vom Informationssicherheitsbeauftragten nach vorheriger Genehmigung durch den Informationssicherheitsausschuss die für notwendig erachteten delegierten Sicherheitsbeauftragten ernannt werden.

Durch die Benennung von Delegierten werden Funktionen delegiert. Die letztendliche Verantwortung verbleibt beim Informationssicherheitsbeauftragten.

Die delegierten Sicherheitsbeauftragten sind für alle vom Informationssicherheitsbeauftragten delegierten Funktionen zuständig und berichten direkt an diesen.

6.1.4 ISMS-Manager

Entspricht der Ebene einer operativen Direktion.

Eine natürliche Person wird formell als ISMS-Manager ernannt.

Zugehörige Funktionen und Verantwortlichkeiten

Dessen Funktionen sind wie folgt:

• Festlegung, Überprüfung und Pflege der Informationssicherheitspolitik der Organisation.
• Koordinierung der Identifizierung, Analyse und Behandlung von Risiken.
• Sicherstellung der Anwendung von Sicherheitskontrollen und -maßnahmen.
• Koordinierung interner ISMS-Audits und der daraus resultierenden Korrekturmaßnahmen.
• Verwaltung der ISMS-Dokumentation, einschließlich der Erklärung zur Anwendbarkeit (SoA), in Zusammenarbeit mit dem Informationssicherheitsbeauftragten.
• Zusammenarbeit mit dem Informationssicherheitsbeauftragten, dem DSB und anderen Schlüsselrollen, um die Integration von Sicherheit und Datenschutz in der gesamten Organisation sicherzustellen.

Im Falle eines Informationssicherheitsvorfalls

Plant die Implementierung von Schutzmaßnahmen im System und setzt den genehmigten Sicherheitsplan um.

Kompatibilität mit anderen Rollen

Diese Rolle darf nicht mit der des Systemsicherheitsadministrators und des Informationssicherheitsbeauftragten zusammenfallen.

6.1.5 Systemsicherheitsadministrator

Entspricht der Ebene eines qualifizierten Mitarbeiters für die Sicherheit von IT-Systemen.

Der Systemsicherheitsadministrator wird vom ISMS-Manager nominiert, dem er in allen Angelegenheiten berichtet, die die Informationssicherheit der verwalteten Systeme betreffen.

Zugehörige Funktionen und Verantwortlichkeiten

• Die Implementierung, Verwaltung und Wartung der für das Informationssystem geltenden Sicherheitsmaßnahmen.
• Sicherstellung, dass die festgelegten Sicherheitskontrollen strikt umgesetzt werden.
• Sicherstellung, dass Audit-Trails und erforderliche Sicherheitsprotokolle gemäß den Informationssicherheitsanforderungen der Organisation aktiviert, aufbewahrt und überwacht werden.
• Implementierung, Betrieb und Wartung der erforderlichen Sicherheitsverfahren, Mechanismen und Kontrollen für Systeme, Benutzer sowie zugehörige interne und externe Assets.
• Sicherstellung, dass die genehmigten Verfahren zur Verwaltung des Informationssystems und die erforderlichen Sicherheitsmechanismen und -dienste angewendet werden.
• Die Verwaltung, Konfiguration und gegebenenfalls Aktualisierung der Hardware und Software, auf denen die Sicherheitsmechanismen und -dienste des Informationssystems basieren.
• Überwachung von Hardware- und Softwareinstallationen, -änderungen und -upgrades, um sicherzustellen, dass die Sicherheit nicht beeinträchtigt wird.
• Genehmigung von Änderungen an der aktuellen Konfiguration des Informationssystems, um sicherzustellen, dass die vorhandenen Sicherheitsmechanismen und -dienste betriebsbereit bleiben.
• Meldung aller sicherheitsrelevanten Anomalien, Beeinträchtigungen oder Schwachstellen an den ISMS-Manager.
• Überwachung des Sicherheitsstatus des Systems.

Im Falle eines Informationssicherheitsvorfalls

• Protokollierung, Abrechnung und Management von Sicherheitsvorfällen in den Systemen unter seiner Verantwortung.
• Umsetzung des genehmigten Sicherheitsplans.
• Isolierung des Vorfalls, um eine Ausbreitung auf andere, nicht betroffene Elemente zu verhindern.
• Treffen kurzfristiger Entscheidungen, falls Informationen in einer Weise beeinträchtigt wurden, die schwerwiegende Folgen haben könnte (diese Maßnahmen müssen dokumentiert werden).
• Sicherstellung der Integrität kritischer Elemente des Systems, falls deren Verfügbarkeit beeinträchtigt wurde.
• Pflege und Abruf der vom System und seinen zugehörigen Diensten gespeicherten Informationen.
• Untersuchung des Vorfalls: Bestimmung der Merkmale, Mittel, Motive und des Ursprungs des Vorfalls.

Kompatibilität mit anderen Rollen

Diese Rolle darf nicht mit der Rolle des ISMS-Managers und des Informationssicherheitsbeauftragten zusammenfallen.

Delegation von Funktionen

Für bestimmte Informationssysteme, die aufgrund ihrer Komplexität, Verteilung, physischen Trennung ihrer Elemente oder der Anzahl der Benutzer zusätzliches Personal zur Ausführung der Funktionen des Systemsicherheitsadministrators erfordern, können vom Systemsicherheitsadministrator nach vorheriger Genehmigung durch den Informationssicherheitsausschuss die für notwendig erachteten delegierten Systemsicherheitsadministratoren ernannt werden.

Durch die Benennung von Delegierten werden Funktionen delegiert. Die letztendliche Verantwortung verbleibt beim Systemsicherheitsadministrator.

Die delegierten Systemsicherheitsadministratoren sind für alle vom Systemsicherheitsadministrator delegierten Funktionen zuständig und berichten direkt an diesen.

6.1.6 Datenschutzbeauftragter

Der Datenschutzbeauftragte ist eine Rolle, die in der DSGVO (europäische Datenschutz-Grundverordnung) und dem geltenden spanischen Organgesetz 3/2018 zum allgemeinen Schutz personenbezogener Daten vorgesehen ist.

Diese Rolle wird von einer natürlichen Person übernommen.

Zugehörige Funktionen und Verantwortlichkeiten

• Direkte Berichterstattung an die höchste hierarchische Ebene mit Empfehlungen, Bewertungen oder Ratschlägen zum Schutz personenbezogener Daten.
• Zusammenarbeit mit dem Informationssicherheitsbeauftragten im Falle von Sicherheitsvorfällen, die personenbezogene Daten betreffen könnten.
• Überwachung der Einhaltung des geltenden Datenschutzrechts, sowohl intern als auch extern gegenüber Anbietern.
• Unterstützung bei der Bewertung von Risiken im Zusammenhang mit personenbezogenen Daten und deren Schutzmaßnahmen.
• Teilnahme an Sensibilisierungs- und Schulungsaktivitäten im Bereich Datenschutz.

6.2 Verantwortlichkeiten gemäß ISO 27001 und NIS 2

Die Hauptverantwortlichkeiten sind nachfolgend in Korrelation mit den Sicherheitsmaßnahmen dargestellt:

Siehe hierzu das folgende Dokument: „REG-03 RACI“.

7. Personenbezogene Daten

Kymos verarbeitet personenbezogene Daten, daher verfügt die Organisation über das entsprechende Verzeichnis von Verarbeitungstätigkeiten gemäß den Bestimmungen der DSGVO.

Alle Informationssysteme der Kymos Group müssen die gesetzlich geforderten Sicherheitsstufen erfüllen, entsprechend dem Zweck und der Art der erhobenen personenbezogenen Daten.

8. Risikomanagement

8.1 Begründung

Für alle Systeme, die dieser Richtlinie unterliegen, muss eine Risikoanalyse durchgeführt werden, bei der die Bedrohungen und Risiken bewertet werden, denen sie ausgesetzt sind.

Die Risikoanalyse bildet die Grundlage für die Festlegung der zu ergreifenden Sicherheitsmaßnahmen, die in der Risikoanalyse und deren Erklärung zur Anwendbarkeit detailliert aufzuführen sind.

8.2 Kriterien für die Risikobewertung

Zur Harmonisierung der Risikoanalysemethodik legt der Informationssicherheitsausschuss eine Basisbewertung für die verschiedenen Arten der verarbeiteten Informationen und die verschiedenen erbrachten Dienstleistungen fest.

Detaillierte Kriterien für die Risikobewertung werden in der von der Organisation zu entwickelnden Risikobewertungsmethodik festgelegt, die auf anerkannten Standards und Praktiken basiert.

Alle Risiken, welche die operative Fähigkeit der Organisation oder die Erreichung der Mission der Organisation ernsthaft gefährden könnten, müssen angegangen werden.

Besondere Priorität wird Risiken eingeräumt, die eine Unterbrechung der erbrachten Dienstleistungen zur Folge haben.

8.3 Behandlungsrichtlinien

Der Informationssicherheitsausschuss wird die Verfügbarkeit von Ressourcen optimieren, um den Sicherheitsbedürfnissen der verschiedenen Systeme gerecht zu werden, und horizontale Investitionen fördern.

8.4 Prozess zur Annahme von Restrisiken

Restrisiken werden vom Informationssicherheitsbeauftragten ermittelt.

Die nach der Umsetzung der Behandlungsoptionen (einschließlich der Umsetzung der in ISO 27002 und in der NIS-2-Richtlinie vorgesehenen Sicherheitsmaßnahmen) erwarteten Restrisikoniveaus für jede Information müssen vom Informationssicherheitsausschuss akzeptiert werden.

Die Restrisikoniveaus werden vom Informationssicherheitsbeauftragten dem Informationssicherheitsausschuss (ISC) vorgelegt, der die vorgeschlagenen Behandlungsoptionen bewertet, genehmigt oder gegebenenfalls korrigiert.

8.5 Notwendigkeit der Durchführung oder Aktualisierung von Risikobewertungen

Die Analyse von Risiken und deren Behandlung muss eine regelmäßige Aktivität sein, wie von ISO 27001 und der NIS-2-Richtlinie gefordert. Diese Analyse wird wiederholt:

• Regelmäßig, mindestens einmal im Jahr.
• Wenn wesentliche Änderungen an den verarbeiteten Informationen eintreten.
• Wenn wesentliche Änderungen an den erbrachten Dienstleistungen eintreten.
• Wenn wesentliche Änderungen an den Systemen auftreten, die Informationen verarbeiten und an der Erbringung von Dienstleistungen beteiligt sind.
• Wenn ein schwerwiegender Sicherheitsvorfall eintritt.
• Wenn schwerwiegende Schwachstellen gemeldet werden.

9. Pflichten des Personals

Alle Mitglieder der Organisation sind verpflichtet, diese Informationssicherheitspolitik und die für sie geltenden Sicherheitsvorschriften zu kennen und einzuhalten. Es liegt in der Verantwortung des Informationssicherheitsausschusses, die notwendigen Mittel bereitzustellen, um sicherzustellen, dass die Informationen die Betroffenen erreichen.

Die Einhaltung dieser Sicherheitspolitik ist für das gesamte interne und externe Personal, das an den Prozessen der Organisation beteiligt ist, obligatorisch. Die Nichteinhaltung stellt ein schwerwiegendes Vergehen im Sinne des Arbeitsverhältnisses gemäß dem Kollektivarbeitsvertrag dar.

In diesem Zusammenhang verfügt die Organisation über das Dokument „IT-REGU-04 Sicherheitsvorschriften für Pflichten und Rollen des Personals“.

10. Schulung und Sensibilisierung des Personals

Das Management bekennt sich zur beruflichen Schulung und Sensibilisierung des Personals der Kymos Group.

Ziel von Kymos ist es, das Bewusstsein für Cybersicherheit unter den Mitarbeitern kontinuierlich zu schärfen. Zu diesem Zweck führt die Organisation Folgendes durch:

• Zeitnahe Bereitstellung von Kurzinformationen (Information Pills) zur Cybersicherheit als Reaktion auf Risikosituationen.
• Jährliche Auffrischungsschulung zur Cybersicherheit für das gesamte Personal.
• Sporadische Phishing-Simulationskampagnen, mindestens alle zwei Jahre.

11. Dritte

Wenn Dienstleistungen erbracht oder Informationen von anderen Organisationen verwaltet werden, müssen diese über diese Informationssicherheitspolitik informiert werden. Es sind Melde- und Koordinationskanäle für die jeweiligen Informationssicherheitsausschüsse einzurichten und Verfahren für die Reaktion auf Sicherheitsvorfälle festzulegen.

Wenn Dienstleistungen Dritter in Anspruch genommen oder Informationen an Dritte weitergegeben werden, werden diese über diese Sicherheitspolitik sowie die für diese Dienste oder Informationen geltenden Rollen und Pflichten des Personals informiert. Dieser Dritte unterliegt den in dieser Richtlinie festgelegten Verpflichtungen und kann eigene Betriebsverfahren entwickeln, um diese Verpflichtungen zu erfüllen.

Es sind spezifische Verfahren für die Meldung und Behebung von Vorfällen festzulegen. Es ist sicherzustellen, dass das Personal von Drittanbietern angemessen für Sicherheit sensibilisiert ist, mindestens auf dem in dieser Richtlinie festgelegten Niveau.

Falls ein Aspekt der Richtlinie von einem Dritten nicht wie in den vorstehenden Absätzen gefordert erfüllt werden kann, ist ein Bericht des Informationssicherheitsbeauftragten erforderlich, in dem die damit verbundenen Risiken und deren Bewältigung dargelegt werden. Ein solcher Bericht wird vom Informationssicherheitsausschuss geprüft und von den Informations- und Servicemanagern zusammen mit der Geschäftsführung genehmigt.

12. Überprüfung und Genehmigung der Sicherheitspolitik

Die Informationssicherheitspolitik wird vom Informationssicherheitsausschuss in geplanten Abständen, die ein Jahr nicht überschreiten dürfen, oder bei signifikanten Änderungen überprüft, um sicherzustellen, dass ihre Eignung, Angemessenheit und Wirksamkeit erhalten bleiben.

Alle Änderungen an der Informationssicherheitspolitik werden vom Informationssicherheitsausschuss geprüft und von der Geschäftsführung genehmigt.

Die Geschäftsführung stellt sicher, dass das gesamte Personal seine Verantwortlichkeiten im Bereich der Informationssicherheit versteht und erfüllt, fördert die Einhaltung der Richtlinien, Verfahren und Kontrollen zur Informationssicherheit und stellt die für deren Umsetzung erforderliche Unterstützung und Ressourcen bereit.

Schließlich wird die Informationssicherheitspolitik dem gesamten Personal der Kymos Group und den Stakeholdern mitgeteilt und zugänglich gemacht.