Ihre Sicherheitsrichtlinien sollen auch rechtlich tragen.

Technisches Dokument, rechtliche Urkunde

In den meisten Unternehmen bleiben die Informationssicherheitsrichtlinien technische Dokumente, die die IT geschrieben hat; dabei werden dieselben Papiere in Disziplinarverfahren, in Streitigkeiten mit Lieferanten und in Prüfungen der Aufsicht als rechtlicher Beweis gelesen. Eine Regel, die nicht geschrieben ist, lässt sich nicht durchsetzen; eine falsch geschriebene Regel wendet sich gegen das Unternehmen.

Die Kontrollen nach ISO 27001 werden den Kundenanforderungen aus NIS2, den technischen und organisatorischen Maßnahmen des KVKK und den branchenspezifischen Regelungen zugeordnet. Ein Kontrollwerk, viele Prüfungen: Statt doppelter Dokumente entsteht eine Zuordnungsmatrix.

Von der Prüfung zur lebenden Ordnung

Wir setzen ein Programm in fünf Schritten um. Dokumenteninventar: Es entsteht eine vollständige Liste der Richtlinien, Verfahren und Zusagen. Rechtlicher Lückenbericht: Jedes Dokument wird bewertet nach arbeitsrechtlicher Wirksamkeit, nach seiner Zuordnung zu den Datensicherheitsmaßnahmen des Artikels 12 des türkischen Datenschutzgesetzes (KVKK, Gesetz Nr. 6698) und nach seinen vertraglichen Anknüpfungen. Revision und Bekanntgabe: Die Richtlinien werden zum Anhang des Arbeitsvertrags gemacht; ihre Bekanntgabe wird durch Unterschrift oder elektronische Signatur beweisbar. Schulung: Die Regeln werden im Betrieb verstanden. Jährliche Pflege: Änderungen der Rechtslage und der Technik werden in das Werk eingearbeitet — diesen Rhythmus führen wir als Teil einer laufenden rechtlichen Beratung. Die Ergebnisse: die Zuordnungsmatrix, das überarbeitete Richtlinienwerk und Vorlagen für die Nachweise der Bekanntgabe.

Wer setzt sich an diesen Tisch?

Drei Profile stehen im Vordergrund. Zulieferer, die Kundschaft in der EU entlang der Lieferkette bedienen: Von NIS2 erfasste Kunden schieben ihre Sicherheitsanforderungen über Vertragsanhänge nach unten weiter; bevor diese Anhänge unterschrieben werden, prüfen wir, ob die innere Ordnung sie tatsächlich erfüllt. Unternehmen in der Vorbereitung auf die Zertifizierung nach ISO 27001: Wir bauen die rechtliche Seite des Richtlinienwerks, das die Auditorin oder der Auditor verlangen wird, nach dem Zertifizierungskalender auf. Türkische Tochtergesellschaften deutscher Muttergesellschaften: Die ISMS-Richtlinien der Gruppe werden durch den Filter des türkischen Arbeitsrechts und des KVKK lokalisiert; der Konzernstandard bleibt erhalten, die zwingenden lokalen Regeln kommen hinzu. Diese Lokalisierung nach türkischem Recht bearbeitet Köksal in Istanbul; Fragen des deutschen Rechts zur Konzernvorgabe selbst bearbeitet unsere Partnerkanzlei activelaw (Hannover). Das Ganze der Angriffs- und Verletzungsszenarien läuft in unserem Schwerpunkt Cybersicherheit in einem Programm zusammen.