Own Your Compliance

Aus meiner Erfahrung heraus würde ich sagen, es gibt, was den Umgang mit diesen vertraglichen und gesetzlichen Anforderungen angeht, drei Typen von Unternehmern und Unternehmen: Typ 1: Die »Kesselflicker«, Typ 2: Die »Pflichtbewussten« und Typ 3: Die »Kreativunternehmer«.

Regelmäßig schlägt mir die Frustration von Firmenchefs am Telefon entgegen, ich kann die »Bad Vibes« schier durchs Telefon spüren. »Ich weiß gar nicht mehr, wo ich zuerst hinschauen soll«, erzählt mir gestern jemand, »wir machen derzeit drei verschiedene Zertifizierungen gleichzeitig, ISO 27001, ISO 9001 und ISO 14001!«. Ein anderer berichtet, jede Fachabteilung kommt mit anderen Bestimmungen dahe...

Zentraler Baustein des ISMS sind Informationssicherheitsbeauftragte. Sie sind zuständig für die Steuerung des ISMS. Diese Anforderung ist im VDA ISA Katalog im Control 1.2.2 zu finden. Informationssicherheitsbeauftragte müssen neben fachlichem Know-how insbesondere Soft Skills vorweisen können. Mit der Datenschutz-Grundverordnung (DSGVO) kann für Unternehmen die Pflicht zur Bestellung eines Datens...

Ja, es gibt Gründe, warum TISAX für viele besser ist als ISO 27001. Aktuell ist TISAX ausschließlich für die Automobilbranche relevant. Doch die Chancen stehen gut, dass auch weitere Großkunden wie z. B. Deutsche Bank, Siemens, Lufthansa oder Allianz das Qualitätssiegel bei der Wahl ihrer Partner berücksichtigen werden. Denn auch deren Einkauf überprüft beim Screening, welche Zertifizierungen mit...

Letzte Woche habe ich die neue Netflix-Doku »The Social Dilemma« geschaut. Ich würde nicht sagen, dass sie mich wachgerüttelt hat – ich war schon vorher wach. Immerhin bin ich nicht nur beruflich, sondern auch im privaten Umfeld Ansprechpartner für alle Fragen rund um Informationstechnologie, Informationssicherheit und Datenschutz. Aber »The Social Dilemma« hat mir gezeigt, dass ich mich, meine Fa...

Wir bekommen immer mehr Anfragen von Mitarbeitern in Unternehmen, die wissen wollen, was die neuen Tools eigentlich alles für Auswertungs-Möglichkeiten haben. Und spätestens seit die Arbeit im Homeoffice zur täglichen Routine geworden ist und der Chef einem nicht mehr auf die Finger schaut, stellen sich viele die Frage: “Kann man Leute über Softwaretools im Homeoffice ausspionieren?„ Die Antwort l...

Maßnahmen zu realisieren, die Gesetzgeber oder auch Kunden fordern, ist im Normalfall kein Hexenwerk. Insbesondere, wenn man die Umsetzung pragmatisch und unternehmensbezogen angeht. Im Zuge der Umsetzung wird das ganze Unternehmen unter die Lupe genommen – wobei oft auch Potentiale zur Optimierung und Kostenersparnis entdeckt werden.

Wer hat Angst vorm Auditor? Niemand! Zumindest wenn du dich gut vorbereitet hast. Was sind die Dos and Don'ts beim Audit?

Boom! Nun ist es offiziell: Die Version 5.0 des VDA Information Security Assessment (ISA) Katalogs wurde veröffentlicht. Wir bei Nextwork haben uns in den letzten Monaten intensiv mit der Version 5.0 beschäftigt und dürfen nun endlich über die Neuerungen berichten. *** Wenn du also eine Frage zu diesen Themen hast, die wir hier unbedingt besprechen sollten, dann schreibe eine E-Mail an "podcast@ma...

Gestern hat das EuGH das oft kritisierte EU/US-Privacy Shield Abkommen als unwirksam erklärt. Nach heutigem Stand (17.07.2020) behalten die bereits abgeschlossenen Standardvertragsklauseln ihre Gültigkeit bei, bis ein Gericht es anderes entscheidet. Aus der aktuellen Sicht, empfehlen wir folgende Schritte vorzunehmen: 1. Informationspflichten erfüllen: Datenschutzhinweise müssen angepasst werden u...

Wer ein ISMS oder ein DSMS aufbauen will, braucht auch das Werkzeug und die Software dazu. Wie schon beim Thema IT erwähnt, ist die beste Lösung immer individuell – und die Entscheidung liegt beim jeweiligen Unternehmen. Bevor du ein professionelles ISMS oder DSMS aufbaust, frag dich: Was genau brauche ich? Was will ich erreichen? Wofür genau will ich ein bestimmtes Tool einsetzen? Je klarer solch...

In dieser Deep Dive Folge geht es um das VDA ISA Control 16.1 und die Frage "Inwieweit erfolgt eine Bearbeitung von Informationssicherheitsereignissen?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge geht es um das VDA ISA Control 16.1 und die Frage "Inwieweit sind Verantwortlichkeiten, Verfahren, Meldewege und Kritikalitäts-Stufen im Umgang mit Informationssicherheitsereignissen oder -schwachstellen festgelegt?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

Bei TISAX geht es nicht um eine allgemeingültige Zertifizierung, sondern um verschiedene Freigabe- label. Aktuell gibt es zehn unterschiedliche TISAX-Label (Stand: April 2020). Je nachdem, welche Prüfziele du bei der Prüfung angegeben und ob du diese bei der Prüfung erreicht hast, erhälst du als Unternehmen ein oder mehrere TISAX-Labels. Wie du siehst, ist es nicht damit getan, einfach von einer „...

In dieser Deep Dive Folge geht es um das VDA ISA Control 5.1 und die Frage "Inwieweit ist eine Richtlinie zur Informationssicherheit erstellt, veröffentlicht bzw. verteilt und wird sie in regelmäßigen Zeitabständen überprüft?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge geht es um das VDA ISA Control 17.1 und die Frage "Inwieweit werden die Anforderungen an Informationssicherheit (inkl. Redundanz entsprechender Einrichtungen) und die Weiterführung eines ISMS in Krisensituationen definiert, umgesetzt, überprüft und beurteilt?". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge geht es um das VDA ISA Control 6.3 und die Frage "Inwieweit gibt es eine Richtlinie zur Nutzung von mobilen Endgeräten und deren Remote Zugriff auf Daten der Organisation". Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

ISB und DSB können ihren Job nicht machen, wenn sie allein auf weiter Flur stehen. Um die Themen erfolgreich umsetzen und in der Unternehmenskultur verankern zu können, brauchen sie unbedingt Unterstützung durch eine interne Taskforce – und die nenne ich: Informationssicherheits- und Datenschutzteam (IDT). Im Idealfall, je nach Unternehmensgröße, besteht das IDT aus Mitarbeitern verschiedener Abte...

Mit einer Gap-Analyse verschaffst du dir einen Überblick über die Ausgangssituation im Unternehmen. Dies betrifft alle Abläufe, Kommunikationsformen und Ablagesysteme in allen Abteilungen. Das Ergebnis beschreibt den Optimierungsbedarf zwischen Ist- und Sollzustand und wird am Ende der Unternehmensleitung und dem Projektteam erläutert. Auf dieser Basis wird der Maßnahmenkatalog für die Umsetzung f...

In dieser Deep Dive Folge geht es um das VDA ISA Control 6.1 und die Frage "Inwieweit sind die Verantwortlichkeiten für Informationssicherheit definiert 
und zugewiesen?" Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

Seit Mai 2018 gilt eine neue Verordnung der Europäischen Union: die „General Data Protection Regulation“. Kurz: GDPR. Im deutschsprachigen Raum heißt sie „Datenschutz-Grundverordnung“. Kurz: DSGVO. Die DSGVO regelt – anders als das damalige Bundesdatenschutzgesetz – den Schutz von personenbezogenen Daten nun EU-weit. Seit ihrem Inkrafttreten rund um den 25. Mai 2018 verlangen immer mehr Auftraggeb...

In dieser Deep Dive Folge geht es um das VDA ISA Control 1.1 "Inwieweit ist ein Information Security Management System durch die Organisationsleitung freigegeben und sein Umfang dokumentiert?" Diese Folge basiert auf dem VDA ISA Katalog Version 4.1.1.

In dieser Deep Dive Folge hilft uns Marco dabei, den VDA ISA Katalog zu verstehen. Marco erklärt uns u.a. was die Unterschiede bei den Control-Anforderungen sind: Was ist der Unterschied zwischen "muss", "kann" und "soll". Marco hilft uns außerdem zu erkennen, welche Anforderungen ich denn jetzt wirklich umsetzen muss.

TISAX – was heißt das genau? TISAX (Trusted Information Security Assessment Exchange) ist ein von der Automobilindustrie definierter Standard für Informationssicherheit. Bei TISAX geht es nicht um eine allgemeingültige Zertifizierung, sondern um verschiedene Freigabelabel. Aktuell gibt es zehn unterschiedliche TISAX-Label (Stand: April 2020). Je nachdem, welche Prüfziele du bei der Prüfung angegeb...