Sicherheit & Compliance

Informationssicherheitsrichtlinie

apadua hat ein umfassendes ISMS (Information Security Management System / Managementsystem für Informationssicherheit) auf Basis der ISO27001:2022-Normen (Zertifizierung ausstehend) eingeführt, das den gesamten Geschäftsbetrieb abdeckt. Im Rahmen dessen veröffentlichen wir unsere aktuelle Informationssicherheitsrichtlinie (POL-01) auf unserer Website. Bei Fragen wenden Sie sich bitte an Ihren Ansprechpartner bei apadua oder unseren zuständigen CISO.

Version: 1.1 – 5. Mai 2025

Der Zweck dieser Informationssicherheitsrichtlinie besteht darin, einen Rahmen für den Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der Informationswerte der Organisation gemäß den ISO-27001-Standards zu schaffen. Diese Richtlinie stellt sicher, dass Sicherheitsrisiken durch geeignete Maßnahmen identifiziert, bewertet und gemindert werden, wodurch eine Kultur der kontinuierlichen Verbesserung sowie die Einhaltung gesetzlicher, regulatorischer und vertraglicher Verpflichtungen gefördert wird. Durch die Umsetzung dieser Richtlinie will die Organisation sensible Daten schützen, die Geschäftskontinuität sicherstellen und das Vertrauen von Stakeholdern, Kunden und Mitarbeitenden stärken.

Diese Informationssicherheitsrichtlinie gilt für alle Informationswerte, Systeme, Prozesse und Mitarbeitenden innerhalb der Organisation, die Daten verarbeiten, speichern oder übertragen. Sie umfasst Mitarbeitende, Auftragnehmer, Drittdienstleister sowie alle weiteren Stakeholder mit Zugriff auf die Informationsressourcen der Organisation. Die Richtlinie deckt alle physischen, digitalen und cloudbasierten Umgebungen ab und gewährleistet die Einhaltung der ISO-27001-Anforderungen sowie einschlägiger gesetzlicher, regulatorischer und vertraglicher Verpflichtungen. Dieses Dokument bildet die Grundlage für die Umsetzung von Sicherheitsmaßnahmen, Risikomanagementpraktiken und kontinuierlichen Verbesserungsmaßnahmen zum Schutz der Informationssicherheit der Organisation.

Was ist ein ISMS?

Ein Informationssicherheits-Managementsystem (ISMS) ist ein strukturierter Rahmen aus Richtlinien, Prozessen und Kontrollen, der zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der Informationen einer Organisation dient. Es hilft, die mit der Informationssicherheit verbundenen Risiken systematisch zu steuern und zu reduzieren, um sicherzustellen, dass sensible Daten – wie Kundendaten, Finanzunterlagen und geistiges Eigentum – angemessen geschützt sind.

Warum benötigen wir ein ISMS?

Information ist eines der wertvollsten Güter der Organisation. Angesichts wachsender Cyberbedrohungen, regulatorischer Anforderungen und der Notwendigkeit, das Vertrauen der Kunden zu schützen, war der Schutz von Informationen noch nie so wichtig wie heute. Ein ISMS bietet einen proaktiven Ansatz zum Schutz von Daten und ermöglicht es der Organisation: gesetzliche, regulatorische und vertragliche Anforderungen zu erfüllen, sich vor Datenschutzverletzungen, Cyberangriffen und versehentlichem Datenverlust zu schützen, die Geschäftskontinuität im Falle einer Störung oder eines Sicherheitsvorfalls sicherzustellen sowie das Vertrauen von Kunden, Partnern und Stakeholdern aufzubauen und zu erhalten.

Wie funktioniert es?

Plan (Planen): Risiken identifizieren und Ziele zu deren Behandlung festlegen.

Do (Umsetzen): Die erforderlichen Sicherheitsmaßnahmen und Kontrollen implementieren.

Check (Überprüfen): Die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überwachen und bewerten.

Act (Verbessern): Verbesserungen auf Basis von Bewertungen und neu auftretenden Risiken vornehmen.

Das ISMS ist keine einmalige Implementierung, sondern ein fortlaufender Prozess, der sich an Veränderungen im Geschäft, in der Technologie und bei externen Bedrohungen anpasst.

Ausrichtung an ISO/IEC 27001

Das ISMS ist an der international anerkannten Norm ISO/IEC 27001:2022 ausgerichtet. Diese Norm bietet einen bewährten Rahmen für das Management der Informationssicherheit. Durch die Einhaltung von ISO/IEC 27001 demonstriert die Organisation ihr Engagement für: globale Best Practices im Informationssicherheitsmanagement, die Einhaltung geltender Gesetze, Vorschriften und Branchenstandards sowie die kontinuierliche Verbesserung im Umgang mit Informationssicherheitsrisiken und dem Schutz kritischer Informationswerte.

ISO/IEC 27001 verlangt von Organisationen einen systematischen Ansatz zum Umgang mit sensiblen Informationen und stellt sicher, dass Sicherheitsmaßnahmen kontinuierlich überprüft, verbessert und aktualisiert werden. Unser ISMS unterstützt uns dabei, diese Anforderungen zu erfüllen, indem Sicherheit in alle Unternehmensbereiche integriert wird – von der IT-Infrastruktur über das Personalwesen bis hin zum operativen Geschäft.

Das InfoSec-Team der Organisation erhält umfassende Ressourcen wie erfahrene Mitarbeitende, Tools, zusätzliche Schulungen und bewährte Verfahren, die auf unterschiedliche Rollen und Verantwortlichkeiten zugeschnitten sind, um höchste Sicherheitsstandards zu gewährleisten. Ziel ist es, dass jedes Mitglied der Organisation über die notwendigen Ressourcen verfügt, um sensible Daten wirksam zu schützen, Risiken zu mindern und zu einer Kultur des Sicherheitsbewusstseins beizutragen.

Verantwortung des Managements

Informationssicherheit liegt in der Verantwortung des Managements; Entscheidungen zur Informationssicherheit werden nicht delegiert. Zwar spielen Fachleute und Berater eine wichtige Rolle dabei sicherzustellen, dass Kontrollen ordnungsgemäß konzipiert sind, funktionieren und konsequent eingehalten werden, doch trägt letztlich die für den jeweiligen Geschäftsbereich zuständige Führungskraft die Hauptverantwortung für die Informationssicherheit.

Hauptverantwortliche Bereiche für Informationssicherheit

Leitlinien, Ausrichtung und Befugnisse für Informationssicherheitsaktivitäten sind für alle Organisationseinheiten im Informationssicherheitsprogramm zentralisiert und in diesem Dokument zusammengefasst. Das Management ist verantwortlich für die Erstellung und Pflege unternehmensweiter Richtlinien, Standards, Leitlinien und Verfahren zur Informationssicherheit. Die Überprüfung der Einhaltung dieser Anforderungen obliegt den jeweiligen Abteilungsleitungen. Untersuchungen von Systemeinbrüchen und anderen Sicherheitsvorfällen liegen in der Verantwortung des InfoSec-Teams. Disziplinarische Maßnahmen infolge von Verstößen gegen Anforderungen der Informationssicherheit werden vom CISO in Zusammenarbeit mit der Personalabteilung (HR) bearbeitet.

ISMS-Aktivitäten

Der Geltungsbereich definiert die Kernprozesse, technologischen Aspekte, Personen und Ausnahmen des ISMS. Daraus ergibt sich ein Governance-Rahmen, der interne und externe Faktoren, interessierte Parteien, Unternehmensziele, gesetzliche Anforderungen sowie Schnittstellen und Abhängigkeiten berücksichtigt. Auf dieser Grundlage wurden die Informationssicherheitsziele festgelegt und beschrieben. Sie geben die übergeordnete Richtung für den Betrieb des ISMS vor.

Informationssicherheitsziele

Die Organisation hat folgende Informationssicherheitsziele definiert, um Informationswerte zu schützen, Risiken zu reduzieren und das Bewusstsein zu stärken:

Vertraulichkeit – Sicherstellen, dass sensible Daten nur autorisierten Personen oder Systemen zugänglich sind.

Verfügbarkeit – Sicherstellung der Verfügbarkeit bereitgestellter Dienste und Daten durch Maßnahmen zur Geschäftskontinuität.

Risikoreduzierung – Minimierung von Sicherheitsrisiken und Schutz der Geschäftskontinuität.

Compliance – Sicherstellung der Einhaltung von Branchenstandards und Vorschriften.

Integrität – Sicherstellung der Genauigkeit und Zuverlässigkeit von Daten über deren gesamten Lebenszyklus.

Kontinuierliche Verbesserung – Sicherstellung, dass sich das ISMS an neue Bedrohungen, Vorfälle und Verbesserungsmöglichkeiten anpasst.

Prozessstandardisierung – Verbesserung von Prozessen durch Reduzierung manueller Aufwände und Schaffung standardisierter Verfahren.

Erhöhtes Bewusstsein – Durchführung regelmäßiger Schulungen zum Sicherheitsbewusstsein.

Überprüfung und Pflege

Diese Informationssicherheitsrichtlinie wird mindestens jährlich überprüft, oder wenn sich wesentliche Änderungen im Geschäftsumfeld, im regulatorischen Umfeld oder in der Organisationsstruktur des Unternehmens ergeben. Der CISO ist gemeinsam mit der Geschäftsleitung dafür verantwortlich, dass die Richtlinie aktuell bleibt und mit den Unternehmenszielen sowie den sich entwickelnden Sicherheitsbedrohungen im Einklang steht. Überarbeitungen und Aktualisierungen werden in der Versions- und Freigabehistorie dokumentiert.

Grundsätze der Richtlinie

Risikomanagement

Die Organisation identifiziert, bewertet und steuert Risiken für ihre Informationswerte durch einen formalen Risikomanagementprozess. Dieser Prozess umfasst: regelmäßige Risikobewertungen zur Einschätzung und Kategorisierung von Risiken anhand ihrer Eintrittswahrscheinlichkeit und Auswirkung; Risikobehandlungspläne, die Minderungsstrategien einschließlich Risikoakzeptanz, -reduzierung, -vermeidung und -übertragung gemäß der Risikomanagementrichtlinie festlegen; sowie die kontinuierliche Überwachung des Risikoumfelds zur Bewältigung neu auftretender Bedrohungen.

Die Organisation hält alle relevanten gesetzlichen, regulatorischen und vertraglichen Anforderungen ein. Das ISMS wird durch regelmäßige interne und externe Audits, Managementbewertungen und Beurteilungen überwacht, um seine fortlaufende Wirksamkeit und Einhaltung dieser Richtlinie sicherzustellen. Identifizierte Schwachstellen werden durch Korrekturmaßnahmen und kontinuierliche Verbesserungsinitiativen behoben.

Asset-Management

Die Organisation identifiziert, dokumentiert und klassifiziert alle Informationswerte anhand ihrer Sensibilität und geschäftlichen Bedeutung. Über den gesamten Lebenszyklus eines Assets hinweg (von der Erstellung bis zur Entsorgung) werden geeignete Kontrollen angewendet, um den Datenschutz sicherzustellen.

Zugriffsmanagement

Der Zugriff auf die Informationssysteme und Daten der Organisation erfolgt nach dem Prinzip der geringsten erforderlichen Rechte (Least Privilege). Zugriffsrechte und Berechtigungen werden regelmäßig überprüft, um sicherzustellen, dass Nutzende nur über die für ihre Tätigkeit erforderlichen Berechtigungen verfügen. Multi-Faktor-Authentifizierung (MFA) und weitere Zugriffskontrollmaßnahmen werden, soweit anwendbar, implementiert.

Vorfallmanagement

Die Organisation unterhält einen Incident-Management-Prozess zur Identifizierung, Meldung und Behebung von Informationssicherheitsvorfällen. Mitarbeitende und Dritte sind verpflichtet, Sicherheitsvorfälle unverzüglich dem CISO zu melden. Die Organisation führt Ursachenanalysen und Lessons-Learned-Verfahren durch, um ihre Reaktionsfähigkeit auf Vorfälle zu verbessern.

Geschäftskontinuität

Die Organisation entwickelt und pflegt einen Geschäftskontinuitätsplan (Business Continuity Plan, BCP) sowie einen Notfallwiederherstellungsplan (Disaster Recovery Plan, DRP), um sicherzustellen, dass kritische Geschäftsfunktionen auch im Falle eines Sicherheitsvorfalls oder einer größeren Störung fortgeführt werden können. Diese Pläne werden regelmäßig getestet; die Ergebnisse fließen in die Verbesserung der Kontinuitätsstrategie ein.

Backup-Management

Darüber hinaus führt die Organisation regelmäßige und sichere Backups kritischer Daten, Systeme und Konfigurationen durch, um Geschäftskontinuität und Datenintegrität sicherzustellen. Backups müssen verschlüsselt und sicher gespeichert sowie regelmäßig auf ihre Zuverlässigkeit getestet werden. Aufbewahrungsfristen und Wiederherstellungsverfahren werden auf Basis geschäftlicher, gesetzlicher und regulatorischer Anforderungen festgelegt. Unbefugter Zugriff auf, Änderung oder Löschung von Backups ist strikt untersagt.

Protokollierung und Überwachung

Die Organisation hat umfassende Protokollierungs- und Überwachungsmaßnahmen implementiert, um Sicherheitsereignisse zu erkennen und zu analysieren. Alle kritischen Systeme müssen geschützte Sicherheitsprotokolle erzeugen und aufbewahren. Automatisierte Überwachung erkennt Anomalien und verdächtige Aktivitäten. Protokolle werden regelmäßig überprüft und analysiert. Aufbewahrungsfristen werden anhand der jeweiligen Anforderungen festgelegt. Es bestehen klar definierte Incident-Response-Verfahren mit eindeutig zugewiesenen Verantwortlichkeiten.

Schwachstellenmanagement

Die Organisation implementiert einen umfassenden Schwachstellenmanagementprozess, um ihre Systeme vor potenziellen Risiken zu schützen. Schwachstellen in kritischen Systemen, Netzwerken und Anwendungen werden durch regelmäßige Schwachstellenscans identifiziert. Automatisierte Tools werden zur kontinuierlichen Überwachung eingesetzt, um neu auftretende Bedrohungen in Echtzeit zu erkennen. Identifizierte Schwachstellen werden umgehend über einen etablierten Patch-Management-Prozess behoben. Alle Erkenntnisse, Maßnahmen und Ergebnisse werden zu Nachverfolgungs- und Auditzwecken sorgfältig dokumentiert, um Transparenz und Compliance zu gewährleisten.

Personalsicherheit

Die Organisation hat einen standardisierten Rekrutierungs-, Onboarding- und Offboarding-Prozess implementiert, um sicherzustellen, dass alle Mitarbeitenden und Auftragnehmer ihre Verantwortlichkeiten im Bereich der Informationssicherheit verstehen. Dies umfasst umfassende Überprüfungsmaßnahmen, standardisierte Verträge und Vertraulichkeitsvereinbarungen sowie Anforderungen für den Fernzugriff. Jährliche Schulungen zum Sicherheitsbewusstsein sind für alle Mitarbeitenden verpflichtend, um die Sicherheitskultur der Organisation zu fördern. Alle Verstöße und Sicherheitsverletzungen werden gemäß den festgelegten Disziplinarmaßnahmen geahndet.

Lieferantenmanagement

Lieferanten und Drittpartner sind integraler Bestandteil des Geschäftsbetriebs der Organisation und ihre Sicherheitspraktiken wirken sich unmittelbar auf das Risikoprofil der Organisation aus. Im Rahmen des Onboarding-Prozesses wird jeder Lieferant einer gründlichen Bewertung seiner Sicherheitsmaßnahmen und der Einhaltung organisatorischer Standards unterzogen. Verträge enthalten ausdrückliche Sicherheitsanforderungen, wie etwa Datenschutzpflichten und Methoden des Vorfallmanagements. Regelmäßige Risikobewertungen stellen sicher, dass Lieferanten die Compliance dauerhaft einhalten; Lieferanten sind verpflichtet, Sicherheitsvorfälle umgehend zu melden. Die Organisation arbeitet mit ihren Partnern zusammen, um Risiken wirksam zu mindern und ein sicheres Betriebsumfeld aufrechtzuerhalten. Offboarding-Prozesse für Lieferanten sind gemäß den ISMS-Anforderungen standardisiert und dokumentiert.

Physische Sicherheit

Zum Schutz der physischen Vermögenswerte der Organisation werden strenge Sicherheitsmaßnahmen durchgesetzt. Der Zugang zu Einrichtungen wird durch elektronische Zutrittskarten und biometrische Authentifizierungssysteme für Sicherheitsbereiche kontrolliert. Der Besucherzugang wird durch ein detailliertes Protokollierungsverfahren verwaltet und alle Ein- und Ausgänge werden überwacht. Eine Clean-Desk-Richtlinie schreibt vor, dass sensible Informationen nicht ungesichert liegen gelassen werden dürfen, um das Risiko unbefugten Zugriffs zu verringern. Hochsicherheitsbereiche sind mit CCTV-Systemen ausgestattet, um unbefugte Aktivitäten abzuschrecken und Vorfälle zu dokumentieren. Zusätzlich werden Umgebungskontrollen wie Brandschutzsysteme und Klimakontrolle eingesetzt, um kritische Infrastruktur zu schützen.

Sichere Softwareentwicklung

Die Organisation hat Best Practices der Sicherheit in den gesamten Softwareentwicklungslebenszyklus (SDLC) integriert, um die Vertraulichkeit, Integrität und Verfügbarkeit von Anwendungen sicherzustellen. Sicherheitsanforderungen müssen in jeder Prozessphase definiert, umgesetzt und getestet werden. Der Entwicklungslebenszyklus erfolgt in einer Entwicklungs-, Test- und Produktivumgebung. Code-Reviews und automatisierte Tests sind verpflichtend. Entwickler müssen sichere Programmierrichtlinien einhalten und erhalten fortlaufende Sicherheitsschulungen. Identifizierte Sicherheitslücken müssen vor der Bereitstellung umgehend behoben werden.

Verstöße und Durchsetzung

Die Einhaltung dieser Richtlinie ist verpflichtend und eine grundlegende Voraussetzung für den sicheren und konformen Umgang mit Informationen der Organisation. Verstöße gegen diese Richtlinie können je nach Schwere des Verstoßes disziplinarische Maßnahmen gemäß der Informationssicherheitsrichtlinie nach sich ziehen.

Unser Ziel ist es, ein sicheres und vertrauenswürdiges Arbeitsumfeld zu schaffen. Bei Schwierigkeiten bei der Umsetzung dieser Richtlinie oder Verbesserungsvorschlägen wenden Sie sich bitte an den Chief Information Security Officer (CISO) oder das InfoSec-Team.