Organisatorischer Rahmen

Die vier geforderten Maßnahmen

Anhang II des Real Decreto 311/2022 fasst im organisatorischen Rahmen vier Maßnahmen zusammen: Sicherheitspolitik (org.1), Sicherheitsregelungen (org.2), Sicherheitsverfahren (org.3) und Freigabeprozess (org.4).

Anders als ein Großteil der ENS-Maßnahmen hängen diese vier nicht vom Niveau ab: Sie gelten gleichermaßen für die Kategorien niedrig, mittel und hoch. Deshalb sollten Sie diesen Baustein zuerst abschließen – ein Auditor setzt ihn als vorhanden voraus, bevor er sich dem Technischen zuwendet.

Sicherheitspolitik

Sie ist das Dokument, von dem alles andere abhängt, und das einzige, dessen Mindestinhalt das Dekret selbst festlegt: Artikel 12, „Política de seguridad y requisitos mínimos de seguridad“ (Sicherheitspolitik und Mindestanforderungen an die Sicherheit), zählt auf, was nicht fehlen darf.

Zu diesen Mindestinhalten gehören die Ziele oder der Auftrag der Organisation, der Rechtsrahmen, in dem sie tätig ist, die Sicherheitsrollen oder -funktionen mit den Pflichten und Verantwortlichkeiten jeder Rolle, Struktur und Zusammensetzung des Ausschusses oder der Ausschüsse, die die Sicherheit steuern und koordinieren, die Leitlinien für die Gliederung der Sicherheitsdokumentation des Systems und die Risiken aus der Verarbeitung personenbezogener Daten.

Zwei Punkte vereinen fast alle Auditfeststellungen auf sich. Erstens die Genehmigung: Eine Politik ohne Nachweis, wer sie wann genehmigt hat, belegt nicht den Rückhalt der Leitung, den das ENS voraussetzt. Zweitens die Rollen: Das Dekret widmet der Trennung von Verantwortlichkeiten einen eigenen Artikel – eine einzige Person für alles zu benennen ist also genau das, was vermieden werden soll.

Sicherheitsregelungen

Die Regelungen übertragen die Politik auf die konkreten Themen, zu denen die Beschäftigten Fragen haben: Nutzung von Geräten und E-Mail, Fernzugriff, mobile und private Endgeräte, Wechseldatenträger, Passwörter, Telearbeit.

Der Unterschied zu einem Verfahren entspricht dem zwischen einer Regel und einer Anweisung: Die Regelung sagt, was erlaubt ist, was nicht und was bei Verstößen geschieht; das Verfahren sagt, wie etwas gemacht wird und wer es macht. Wer beides vermischt, erhält lange Dokumente, die niemand anwendet – ein häufiger Grund für Feststellungen.

Sicherheitsverfahren

Die Verfahren beschreiben die Sicherheitstätigkeiten Schritt für Schritt: wer beteiligt ist, in welcher Reihenfolge, mit welcher Aufzeichnung der Nachweis entsteht und an wen eskaliert wird, wenn etwas vom Plan abweicht.

Welche Verfahren nötig sind, entscheidet ein praktisches Kriterium: Wiederholt sich eine Sicherheitsaufgabe und muss ihr Ergebnis nachweisbar sein – Anlegen und Löschen von Benutzern, Vorfallmanagement, Datensicherungen und deren Wiederherstellung, Aussonderung von Datenträgern –, braucht sie ein schriftliches Verfahren; die Gewohnheit des Teams genügt nicht.

Freigabeprozess

Die letzte Maßnahme des Bausteins sichert den Zugang ab: Nichts wird ohne vorherige, nachvollziehbare Freigabe in das System aufgenommen. Das gilt für Einrichtungen, für Geräte und Anwendungen, die in Produktion gehen, für Datenträger, für Kommunikationsmittel und für die Beauftragung von Dienstleistungen Dritter.

Mehr als eine Formalität wird diese Maßnahme erst, wenn schriftlich festgehalten ist, wer was nach welchen Kriterien freigibt. Ist die Freigabe eine lose E-Mail, geht der Nachweis verloren; ist sie ein Workflow mit Verantwortlichem, Kriterium und Aufzeichnung, lässt sie sich noch Jahre später auditieren.

Was Auditoren typischerweise sehen wollen

• Von der Leitung genehmigte Sicherheitspolitik, mit Datum und Nachweis der Genehmigung
• Die sechs Mindestinhalte aus Artikel 12 in der Politik abgedeckt
• Sicherheitsausschuss eingerichtet, mit schriftlich festgelegter Zusammensetzung und Aufgaben
• Sicherheitsrollen verschiedenen Personen zugewiesen, mit Pflichten und Verantwortlichkeiten
• Sicherheitsregelungen dokumentiert, verbreitet und mit Nachweis ihrer Bekanntgabe
• Schriftliche Sicherheitsverfahren für die nachzuweisenden Tätigkeiten
• Aktiver Freigabeprozess für Einrichtungen, Geräte, Anwendungen, Datenträger und Dienstleistungen Dritter

So decken Sie diesen Baustein in Kimobox ab

1. 1Dokumentieren Sie Sicherheitspolitik und -regelungen als gelenkte Dokumente.
2. 2Bilden Sie den Freigabeprozess für Komponenten als Genehmigungsworkflow in Kimobox ab.
3. 3Teilen Sie die Regelungen allen betroffenen Beschäftigten über das Mitarbeiterportal mit.

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

1. Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad (Königliches Dekret 311/2022 zum Nationalen Sicherheitsschema) BOE-A-2022-7191 · 4. Mai 2022
2. Guías CCN-STIC del ENS (CCN-STIC-Leitfäden zum ENS) Centro Criptológico Nacional · Geltende Reihen