Es entspricht der Standardpraxis, dass die Richtlinien zur Informationssicherheit auf oberster Ebene vom Leitungsorgan – vom Verwaltungsrat oder von der Geschäftsleitung – freigegeben werden; daneben ist für jede Person im Unternehmen ein Nachweis über die Unterrichtung und die Annahme der Richtlinie zu führen. Im Rahmen von ISO/IEC 27001 wird erwartet, dass die ISMS-Richtlinie von der obersten Leitung getragen und regelmäßig überprüft wird.
Mit der NIS2-Richtlinie haben in den erfassten Einrichtungen zusätzlich die persönliche Verantwortung des Leitungsorgans für die Billigung und die Überwachung der Cybersicherheitsmaßnahmen sowie die Dokumentation des Freigabenachweises an Gewicht gewonnen. In der Praxis sollte die Freigabe durch die oberste Leitung mit einem unterzeichneten Beschluss und die Unterrichtung der Belegschaft vorzugsweise mit einer elektronischen Signatur oder einem Lesebestätigungsprotokoll festgehalten werden. Für rollenbezogene Zusatzverpflichtungen (IT, Personalwesen, Lieferantenzugang) gesonderte Annahmetexte zu verwenden, macht deutlich, bei wem die Verantwortung liegt, und erleichtert den Nachweis in der Prüfung.
Sollen wir dieses Thema auf Ihre Situation übertragen?
Schildern Sie uns Ihren konkreten Sachverhalt in wenigen Sätzen; wir bewerten ihn mit dem richtigen Team.