Dokumentenverantwortung: Geschäftsführung
Version: 1.0
Gültig ab: 17. Mai 2026
Überprüfungszyklus: Jährlich oder bei wesentlichen Änderungen der Geschäfts- oder Technologielandschaft
⸻
Informationssicherheitsrichtlinie
Zweck
Zweck dieser Informationssicherheitsrichtlinie ist der Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensinformationen, Systemen und Kundendaten. Diese Richtlinie definiert die grundlegenden Prinzipien sowie Mindestanforderungen für den sicheren Umgang mit Informationswerten, deren Verarbeitung, Speicherung und Zugriff.
Das Unternehmen betrachtet Informationssicherheit als wesentlichen Bestandteil zur Sicherstellung von Kundenvertrauen, betrieblicher Resilienz, regulatorischer Compliance und langfristiger Geschäftskontinuität.
⸻
Geltungsbereich
Diese Richtlinie gilt für:
Alle Mitarbeitenden, Auftragnehmer, Berater und Drittparteien
Sämtliche vom Unternehmen betriebenen oder verwalteten Systeme, Anwendungen, Infrastrukturen und Endgeräte
Alle Informationswerte, einschließlich Kunden-, Mitarbeiter-, Betriebs- und Unternehmensdaten
Alle Cloud-Dienste, Integrationen und externen Dienstleister, die geschäftliche Prozesse unterstützen
⸻
Sicherheitsprinzipien
Das Unternehmen verfolgt insbesondere folgende Grundsätze:
Zugriffe auf Informationen erfolgen nach dem Need-to-know- und Least-Privilege-Prinzip
Sicherheitsmaßnahmen basieren auf einem risikoorientierten Ansatz
Sensible Daten werden über ihren gesamten Lebenszyklus geschützt
Informationssicherheit ist eine gemeinsame Verantwortung innerhalb der Organisation
Sicherheitsereignisse werden überwacht, untersucht und zeitnah behandelt
Sicherheitsprozesse und Kontrollen werden kontinuierlich verbessert
⸻
Zentrale Sicherheitsmaßnahmen
Das Unternehmen implementiert unter anderem folgende Sicherheitsmaßnahmen:
Zugriffskontrolle
Individuelle Benutzerkonten für alle Mitarbeitenden
Rollenbasierte Zugriffssteuerung
Multi-Faktor-Authentifizierung für kritische Systeme und administrative Zugriffe
Zeitnahe Vergabe, Anpassung und Entziehung von Berechtigungen
Datenschutz und Datensicherheit
Verschlüsselung sensibler Daten während der Übertragung und Speicherung, soweit anwendbar
Sicherer Umgang mit vertraulichen Informationen
Kontrollierte Weitergabe von Kunden- und Unternehmensdaten
Infrastruktur- und Anwendungssicherheit
Zentralisierte Identitäts- und Authentifizierungsverwaltung
Sichere Konfiguration von Cloud-Infrastrukturen und Netzwerken
Regelmäßige Sicherheitsupdates und Patch-Management
Protokollierung und Überwachung sicherheitsrelevanter Aktivitäten
Backup- und Wiederherstellungsverfahren für kritische Systeme und Daten
Sicherheit von Dienstleistern und Drittparteien
Risikobasierte Bewertung kritischer Dienstleister und Subunternehmer
Vertragliche und datenschutzrechtliche Sicherheitsanforderungen
Überwachung wesentlicher Risiken innerhalb der Lieferkette, sofern erforderlich
⸻
Sicherheitsvorfälle
Sicherheitsvorfälle sowie vermutete Schwachstellen müssen unverzüglich über die vorgesehenen internen Meldewege gemeldet werden.
Das Unternehmen unterhält Prozesse für:
Erkennung und Bewertung von Sicherheitsvorfällen
Eindämmung und Behebung
Wiederherstellung und Nachbereitung
Kunden- oder Behördenbenachrichtigungen, sofern gesetzlich oder vertraglich erforderlich
⸻
Zulässige Nutzung
Alle Mitarbeitenden und autorisierten Nutzer sind verpflichtet:
Unternehmenssysteme verantwortungsvoll und sicher zu nutzen
Zugangsdaten und Authentifizierungsmechanismen zu schützen
Keine nicht autorisierte Software oder Dienste zu verwenden
Verdächtige Aktivitäten, Phishing-Versuche oder mögliche Sicherheitsverletzungen unverzüglich zu melden
⸻
Compliance
Das Unternehmen verfolgt das Ziel, seine Sicherheitsmaßnahmen an geltenden gesetzlichen, regulatorischen und vertraglichen Anforderungen auszurichten, insbesondere im Bereich Datenschutz und Cybersicherheit.
Verstöße gegen diese Richtlinie können disziplinarische Maßnahmen, vertragliche Konsequenzen oder den Entzug von Zugriffsrechten nach sich ziehen.
⸻
Überprüfung der Richtlinie
Diese Richtlinie wird regelmäßig überprüft und bei Bedarf angepasst, insbesondere bei Änderungen in Bezug auf: