Business Continuity Management

Lesen Sie in dieser Rubrik alle Blog-Beiträge zum Thema Business Continuity Management.

Schlagwortarchiv für: Business Continuity Management

Hinweisgeberschutzgesetz: am 02.07.2023 in Kraft getreten

Was es jetzt zu beachten gibt

von Karin Selzer, Consultant Compliance und Datenschutz der SAVISCON GmbH

Im März 2023 hat unser Geschäftsführer, Ingo Simon, bereits über das Hinweisgeberschutzgesetz in einem Blog-Beitrag berichtet. Dort hat er erklärt, was das Hinweisgeberschutzgesetz (HinSchG) überhaupt ist, wen es betrifft und was die wichtigsten Anforderungen sein werden.

Nun ist das Hinweisgeberschutzgesetz zum 02.07.2023 in Kraft getreten und wir wollen Ihnen heute einen Überblick geben, was jetzt für Sie zu beachten ist und wie einfach Sie die Einrichtung eines internen Hinweisgebersystems mit unserer Software, dem GRC-COCKPIT umsetzen können.

Aber blicken wir nochmal kurz zurück:

Das HinSchG ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie von 2019. Bereits im November 2020 wurde der erste Referentenentwurf des HinSchG durch das Bundesministerium der Justiz vorgelegt, der allerdings scheiterte. Dann passierte erstmal lange nichts, denn die Bundesregierung ließ die Frist zur Umsetzung eines deutschen Hinweisgeberschutzgesetzes verstreichen. Es folgte die Einleitung eines Vertragsverletzungsverfahrens der EU-Kommission gegen die Bundesrepublik Deutschland. Im April 2022 wurde ein zweiter Referentenentwurf vorgelegt und letztlich am 27. Juli 2022 ein Regierungsentwurf beschlossen und veröffentlicht. Doch damit war man noch nicht am Ziel, denn im Februar 2023 wurde dieser Entwurf durch den Bundesrat abgelehnt. In einem Vermittlungsausschuss haben sich Bund und Länder dann auf einen Kompromiss geeinigt und der Bundesrat hat schließlich im Mai 2023 dem neuen Gesetz zugestimmt. Nach der Veröffentlichung im Bundesgesetzblatt (02.06.2023) ist das HinSchG am 02.07.2023 nun endlich in Kraft getreten.

Was bedeutet das jetzt konkret?

Das HinSchG verpflichtet Unternehmen mit mehr als 50 Mitarbeitenden, ein internes Hinweisgebersystem einzurichten. Unternehmen ab 250 Mitarbeitende werden sofort ab Inkrafttreten des Gesetzes in die Pflicht genommen (also seit 02.07.2023), kleinere Unternehmen mit einer Größe von 50 bis 249 Beschäftigten wird eine Übergangsfrist bis zum 17.12.2023 gewährt.

Hinweisgeber müssen die Möglichkeit haben, Hinweise mündlich, schriftlich oder auf Wunsch auch persönlich abzugeben. Bei der Bearbeitung der Hinweise sind folgende Fristen zu berücksichtigen:

  • innerhalb 7 Tagen muss die interne Meldestelle dem Hinweisgeber den Eingang des Hinweises bestätigen.
  • innerhalb 3 Monaten muss die Meldestelle den Hinweisgeber über die ergriffenen Maßnahmen informieren.

Zusätzlich zur internen Meldestelle hat die Bundesregierung eine externe Meldestelle eingerichtet:
Meldestelle Bundesamt für Justiz

Hinweisgeber können frei wählen, ob sie eine Meldung an die interne Meldestelle ihres Unternehmens oder an die externe Meldestelle abgeben möchten. Allerdings wird empfohlen, die interne Meldung dem externen Meldekanal vorzuziehen, da aufgrund der Sachnähe die Abstellung des Verstoßes am effektivsten möglich ist.

Welche Änderungen wurden im Vermittlungsausschuss beschlossen?

  • Ein Streitthema war das Abgeben von anonymen Hinweisen. Ursprünglich sollten die Unternehmen dazu verpflichtet werden, die Abgabe anonymer Hinweise zu ermöglichen. Darauf wurde nun verzichtet und aus dem MUSS wurde ein SOLL: „Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.“ (Auszug § 16 HinSchG)
  • Auch im Anwendungsbereich des Gesetzes hat es Änderungen gegeben. Es dürfen nur Verstöße gemeldet werden, die sich auf den eigenen beruflichen Kontext beziehen, d.h. auf den Beschäftigungsgeber oder eine andere Stelle, mit der die hinweisgebende Person beruflich im Kontakt stand.
  • Eine weitere Änderung betraf die Bußgeldhöhe. Die vorgesehenen Bußgelder lagen bisher bei max. 100.000 Euro und wurden nun auf max. 50.000 Euro gesenkt. Außerdem wurde entschieden, die Bußgeldandrohung bei Verstößen gegen die gesetzliche Regulierung erst sechs Monate nach Veröffentlichung des HinSchG anzuwenden, also erst ab 01.12.2023.

Einführung eines digitalen Hinweisgebersystems

Auch wenn die Abgabe anonymer Meldungen nicht ermöglicht werden muss, ist es empfehlenswert sie trotzdem anzubieten, denn dadurch wird die Hemmschwelle zur Meldung von Fehlverhalten möglichst niedrig gehalten. Um die Anonymität zu gewährleisten, bietet sich ein digitales Hinweisgebersystem an, wie z.B. unser GRC-COCKPIT.

Das Hinweisgebersystem im GRC-COCKPIT kann textlich individuell für das Unternehmen konfiguriert und z.B. im Intranet/Internet des Unternehmens eingebunden werden. Über einen Link können Mitarbeitende zum digitalen Hinweisgebersystem des Unternehmens gelangen und dort ihren Hinweis abgeben. Nach Versand des Hinweises bekommt der Hinweisgeber Zugriff auf ein anonymes Postfach, über das dann kommuniziert und weitere Informationen ausgetauscht werden kann. Die Dokumentation bezüglich der Bearbeitung von Hinweisen, die auf anderen Kanälen (persönlich, Post, Fax, Telefon, Mail) abgegeben wurden, erfolgt ebenfalls zentral im GRC-COCKPIT, sodass der gesamte Hinweisgeberprozess dort zusammengehalten wird.

Nutzen Sie jetzt die Vorteile des digitalen Hinweisgebersystems im SAVISCON GRC-COCKPIT und erfüllen Sie so alle Anforderungen aus dem Hinweisgeberschutzgesetz.

Sie wollen mehr über unser Hinweisgebersystem erfahren? Sehen Sie sich hier die Aufzeichnung unseres Webinars „Digitales Hinweisgebersystem“ an!

 

Über die Autorin

Porträtfoto Karin Slezer

Karin Selzer ist als Compliance- und Datenschutz Consultant, sowie interne Datenschutzbeauftragte bei der SAVISCON GmbH tätig.

Karin Selzer ist Consultant für Compliance & Datenschutz und interne Datenschutzbeauftragte bei der SAVISCON GmbH. Seit Januar 2021 kümmert sie sich um maßgebliche Richtlinien und die Umsetzung aller relevanten Themen rund um Compliance und Datenschutz. Zusätzlich steht sie unseren GRC-COCKPIT Kunden und Interessenten mit Rat und Tat zur Seite. Kontakt: karin.selzer@saviscon.de oder vernetzen Sie sich mit mir: XING Profil Karin SelzerLinkedIn Profil Karin Selzer

NIS2: ISMS umsetzen, Vorsprung sichern.

Wie Sie die EU-Richtlinie als Wettbewerbsvorteil nutzen können

von Ingo Simon, Geschäftsführer der SAVISCON GmbH

Die Bedrohungslage im digitalen Raum hat sich in den letzten Jahren erheblich verschärft. Cyber-Angriffe werden immer häufiger und raffinierter. Die Schäden, die sie anrichten, können die wirtschaftliche Existenz von Unternehmen nachhaltig gefährden.

NIS2: die neue EU-Richtlinie

Hier kommt NIS2 ins Spiel, die neue EU-Richtlinie, die wir schon in meinem letzten Blog „NIS2: Die neue EU-Richtlinie für Cybersicherheit“ beleuchtet haben. Sie verpflichtet Unternehmen und Organisationen aus verschiedensten Branchen dazu, angemessene Sicherheitsmaßnahmen zu ergreifen, um die Netzwerk- und Informationssicherheit zu gewährleisten. Ein wichtiger Bestandteil von NIS2 ist die Forderung nach einem wirksamen Informationssicherheitsmanagementsystem (ISMS). Lesen Sie für weitere Hintergrundinformationen zur EU-Richtlinie NIS2 gerne den oben genannten Blog-Beitrag.

In diesem Artikel möchten ich Ihren Blick auf die generellen Wettbewerbsvorteile eines wirksamen ISMS lenken und, so hoffe ich, Sie für die essentielle Bedeutung dieses Themas in Ihrem Unternehmen sensibilisieren.

Was ist das Ziel eines Informationssicherheitsmanagementsystem und inwiefern profitiert Ihre Organisation von der Implementierung?

Ein ISMS unterstützt Sie dabei, die IT-Risiken Ihrer Organisation klar zu identifizieren, zu bewerten und angemessene Maßnahmen zur Risiko-Minderung zu ergreifen. Die Risiken und Maßnahmen werden mithilfe entsprechender Umsetzungshilfen, wie der ISO 27001, dem IT-Grundschutz oder branchenrelevanten Normen (z. B. B3S), kontextabhängig erarbeitet. So sind die von Ihnen ergriffenen Informationssicherheitsmaßnahmen stets auf Ihre Geschäftsabläufe und -ziele abgestimmt. Die IT-Sicherheits-Prozesse und Verfahren zur Gewährleistung der Informationssicherheit entfalten so ihr gesamtes Potenzial. Um Ihr ISMS von Beginn an strukturiert und effizient aufzusetzen, ist die Nutzung einer dafür ausgelegten Software, wie z. B. dem SAVISCON GRC-COCKPIT, empfehlenswert.

Warum stellt ein ISMS einen Wettbewerbsvorteil dar?

Die Digitalisierung deutscher Unternehmen nimmt (wenn auch verzögert) weiter an Fahrt auf. Ein höherer Digitalisierungsgrad Ihrer Organisation verlangt zwangsläufig einen höheren Grad an IT-Sicherheit. Digitalisierung und IT-Sicherheit bilden eine untrennbare Einheit und müssen im Gleichschritt aufgebaut werden. Ein ISMS sichert als grundlegendes Fundament Ihre zukünftige Geschäftsfähigkeit ab. Es stellt somit tatsächlich einen Wettbewerbsvorteil für die Organisationen dar, die es umgesetzt haben oder in der Umsetzung sind, und zwar aus folgenden Gründen:

  1. Kundenvertrauen: Unternehmen, die ein ISMS implementieren, zeigen ihren Kunden und Partnern, dass sie die Sicherheit ihrer Informationen ernst nehmen. Kunden legen zunehmend Wert auf die Sicherheit ihrer persönlichen Daten und Geschäftsinformationen. Ein robustes ISMS kann dazu beitragen, das Vertrauen der Kunden zu gewinnen und sie dazu ermutigen, mit dem Unternehmen zusammenzuarbeiten.
  2. Reduzierung von Sicherheitsvorfällen: Ein gut durchdachtes ISMS kann dazu beitragen, das Risiko von Sicherheitsvorfällen wie Datenlecks, Cyberangriffen und anderen Sicherheitsverletzungen zu minimieren. Durch die Vermeidung von Sicherheitsvorfällen können Unternehmen kostspielige Ausfallzeiten, Reputationsschäden und finanzielle Verluste verhindern.
  3. Schutz von Innovationen und geistigem Eigentum: Ein ISMS kann dazu beitragen, wertvolle Informationen und geistiges Eigentum vor unbefugtem Zugriff oder Diebstahl zu schützen. Unternehmen, die in der Lage sind, ihre innovativen Ideen und geistigen Eigentumsrechte zu schützen, können einen Wettbewerbsvorteil gegenüber Unternehmen haben, die dies nicht tun.
  4. Business Continuity und Resilienz: Ein ISMS hilft Organisationen, sich auf Sicherheitsvorfälle vorzubereiten. Dies umfasst z. B. die Implementierung von Notfallplänen, Backup-Systemen, Redundanzmaßnahmen und Wiederherstellungsstrategien. Durch die Gewährleistung der Geschäftskontinuität und Resilienz können Organisationen besser auf Sicherheitsvorfälle reagieren und den Betrieb besser aufrechterhalten oder bei Eintritt eines Vorfalls schneller wieder herstellen.
  5. Erfüllung von Compliance-Anforderungen: Viele Branchen und Länder haben strenge Vorschriften und Compliance-Anforderungen im Hinblick auf Informationssicherheit. Ein ISMS hilft Unternehmen, diese Anforderungen zu erfüllen und Risiken von Strafen und rechtlichen Konsequenzen zu minimieren. Unternehmen, die in der Lage sind, ihre Informationssicherheit nachzuweisen und Compliance-Anforderungen zu erfüllen, können im Wettbewerb mit anderen Unternehmen einen Vorteil haben.
  6. Risikomanagement: Ein ISMS unterstützt Organisationen bei der Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken. Durch proaktives Risikomanagement können Organisationen Bedrohungen frühzeitig erkennen und geeignete Maßnahmen ergreifen, um Risiken zu minimieren oder zu eliminieren.
  7. Effiziente Geschäftsprozesse: Ein ISMS umfasst die Identifikation und Bewertung von Risiken sowie die Implementierung von Sicherheitsmaßnahmen, um diese Risiken zu minimieren. Durch eine effektive Risikobewertung und -bewältigung können Unternehmen ihre Geschäftsprozesse optimieren und unnötige Risiken in den Prozessen reduzieren. Effiziente Geschäftsprozesse können zu Kosteneinsparungen führen, die in einem wettbewerbsintensiven Marktumfeld einen Vorteil verschaffen können.

Fazit

Die Argumente zeigen es aus meiner Sicht eindeutig: ein ISMS zu implementieren stellt in der heutigen digitalen Welt zunehmend einem wichtigen Wettbewerbsvorteil dar. Unternehmen, die noch kein ISMS haben, sollten sich ernsthaft mit dem Thema auseinandersetzen und die Vorteile, die die Implementierung bietet, nutzen. Wie sieht es in Ihrem Unternehmen aus? Lassen Sie uns gerne in den Austausch gehen.

NIS2 Whitepaper

Sie möchten alle Hintergrundinformationen zu NIS2 in einem PDF-Dokument nachlesen? Dann laden Sie sich jetzt unser NIS2 Whitepaper herunter:

 

Über den Autor

Foto Ingo Simon

Ingo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahm die SAVISCON GmbH die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Ingo Simon ist zertifizierter Compliance & Integrity-Manager und ebenfalls zertifizierter ISMS-Manager. Kontakt: ingo.simon@saviscon.de oder vernetzen Sie sich mit mir:

XING Profil Ingo Simon LinkedIn Profil Ingo Simon

Business Continuity Management: Was ist das?

BSI Standard 200-4: Ein weiteres Management-System?

Von Ingo Simon, Geschäftsführer der SAVISCON GmbH

Anfang 2021 hat das Bundesamt für die Sicherheit in der Informationstechnik (BSI) den Community Draft (CD) des „Standards 200-4 Business Continuity Management (BCM)“ vorgestellt. Dieser Standard soll in der zweiten Jahreshälfte 2021 den bisher gültigen „Standard 100-4 Notfallmanagement“ ablösen. Doch was ist Business Continuity Management überhaupt? Müssen wir von vorne anfangen und ein neues Managementsystem aufsetzen? Das besprechen wir in diesem Blog-Beitrag:

Was ist Business Continuity Management?

Mit Business Continuity Management ist gemeint, dass gefährliche Situationen, die die Geschäftsfähigkeit von Unternehmen ganz oder teilweise beeinträchtigen können, bereits im Vorfeld identifiziert und antizipiert werden. Für den Fall eines Eintritts werden dann entsprechende Vorsorgestrategien und Maßnahmen entwickelt. So soll erreicht werden, dass die Geschäftsfähigkeit in Notfällen nicht zum Erliegen kommt, beziehungsweise schnellstmöglich wieder hergestellt werden kann, und das Unternehmen nicht durch das Ereignis gefährdet wird.

Wie startet man mit BCM?

Als erstes wird das Unternehmen analysiert und alle unternehmenskritischen Prozesse evaluiert. Diese wesentlichen Prozesse werden dann im nächsten Schritt in den Fokus genommen. In einem Risikoassessment muss evaluiert werden, welche Risiken es in Bezug auf diese Prozesse gibt, die potenziell existenzgefährdend sind. Es werden dann Vorsorge-Maßnahmen definiert, durch die das Unternehmen bereits im Vorhinein geschützt werden kann. Welche wesentlichen Risiken es für kleine und mittelständische Unternehmen gibt, haben wir bereits in einem anderen Blog-Beitrag behandelt: Wesentliche Risiken für kleine und mittelständische Unternehmen.

Im Grunde unterliegt das Business Continuity Management, wie alle gängigen Management-Systeme – auch dem Plan-Do-Act-Check-Zyklus (PDCA-Zyklus) und ist Teil eines kontinuierlichen Verbesserungsprozesses:

PDCA Grafik

Standard 100-4 vs. 200-4

Jetzt fragen Sie sich vielleicht: Ist meine bisherige Arbeit zum Standard 100-4 hinfällig? Nein, ist sie nicht! Denn das Notfallmanagement ist nach wie vor Teil des Business Continuity Managements. Oben haben wir von Vorsorgemaßnahmen (proaktiv) gesprochen. Doch tritt ein katastrophales Ereignis trotz allem ein, werden die Notfallmaßnahmen (reaktiv) ja trotzdem benötigt. Sie können alles bisher Erarbeitete also weiterverwenden und ergänzen. Der weiterentwickelte Standard beschreibt, wie die Synergien zwischen ISMS und BCMS sowie Krisenmanagement optimal genutzt und wo Schnittstellen sinnvoll eingebaut werden können.

Stufenmodell BSI Standard 200-4

Der Standard 200-4 ist ein Stufenmodell mit unterschiedlichen Vorgehensweisen. So kann jede Institution, je nach Art, Größe und Branche, den passenden Einstieg wählen:

Reaktiv-BCMS

Das Reaktive-BCMS ist vor allem für Unternehmen geeignet, die als Ziel haben, besonders für mögliche Notfälle gewappnet zu sein und schnell reagieren zu können. Dabei greifen die Unternehmen auf bereits vorhandene Sicherheits- und Vorsorgemaßnahmen zurück und setzen sich nur mit ausgewählten, zeitkritischen Unternehmensprozessen auseinander. Andere BCM-Maßnahmen werden beim Reaktiv-BCM vorerst zurückgestellt, weil die Analyse im ersten Schritt zu aufwändig wäre. Dies wird dann beim Wechsel in das Aufbau- bzw. Standard-BCMS nachgeholt. Dieser Wechsel ist nötig, denn das Reaktiv-BCMS stellt nur einen stark vereinfachten Einstieg dar und muss zum Aufbau bzw. Standard-BCMS weiterentwickelt werden.

Zusammenfassend halten wir fest:

  • dient als vereinfachter Einstieg
  • Notfallbewältigung wird ermöglicht
  • Fokus liegt auf den „überlebensnotwendigen“, zeitkritischen Geschäftsprozessen

Aufbau-BCMS

Auch das Aufbau-BCMS steht für den Schutz von zeitkritischen Geschäftsprozessen und Assets eines Unternehmens. Hierbei wird zunächst der Prozessumfang eines Geltungsbereiches näher analysiert und innerhalb des BCM abgesichert. Vorteil gegenüber dem Standard-BCMS: Die Unternehmen können ihre zeitlichen- und personellen Ressourcen schrittweise festlegen und nach dem ersten Zyklus mit den gewonnenen Erfahrungen anpassen und verbessern. Unternehmen, die über geringe Erfahrungswerte verfügen und ihr BCMS schrittweise sowie risikoorientiert aufbauen wollen, sind mit dem Aufbau-BCMS gut beraten.

Zusammenfassend halten wir fest:

  • erleichtert den Übergang zum Standard-BCMS
  • Formalisierung der Methodik
  • zusätzliche Geschäftsprozesse werden betrachtet

Standard-BCMS (mit ISO 22301:2019 kompatibel)

Beim Standard-BCMS werden alle Geschäftsprozesse analysiert, die im Geltungsbereich des BCM liegen. Das entspricht laut BSI einem vollständigen und angemessenen BCMS und wird allen Stakeholdern gerecht. Mit Einführung des Standard-BCMS werden alle zeitkritischen Geschäftsprozesse entsprechend des Ausfallrisikos mittels Vorsorge- und Notfallmaßnahmen abgesichert. Wenn ein Unternehmen diesen Status erreicht hat, kann es sich für die Zertifizierung nach ISO-Standard 22301 qualifizieren.

Zusammenfassend halten wir fest:

  • Empfehlung vom BSI für alle Institutionen
  • vollständiges BCM
  • ISO 22301 kompatibel
  • Untersuchung aller Geschäftsprozess

Reicht mein ISMS noch aus?

Laut BSI reicht ein reguläres Informationssicherheits-Management-System (ISMS) nicht mehr aus. Ein Business Continuity Management-System (BCMS) gehe tiefer, da es beschreibt, wie der Geschäftsbetrieb, falls er ausgefallen ist, so schnell wie möglich wieder aufgenommen werden kann. Daher müsse es als ein weiteres, korrespondierendes Management-System eingeführt werden.

Wir empfehlen im Sinne der Digitalisierung, dass sich Unternehmen beim Neuaufbau Ihres BCM (oder generell eines jeden Management Systems) direkt für eine Umsetzung in einer geeigneten Software entscheiden, die alle Management-Systeme abbilden kann und die einzelnen Risiken und Maßnahmen sinnvoll miteinander verbindet.

Genau das machen wir im SAVISCON GRC-COCKPIT. So können die Risiken und Gegenmaßnahmen auch abteilungsübergreifend und Management-System übergreifend durchgängig und effizient erfasst werden. Alle notwendigen Informationen sind in konsolidierter Form im System vorhanden. Im Übrigen wird durch die Dokumentation im GRC-COCKPIT auch der jeweilige Audit-Prozess pro Management-System wesentlich effizienter abgewickelt werden können.

Grafik Management-Systeme

Die Management-Systeme eines Unternehmens.

Wann erscheint die finale Fassung des Standard 200-4?

Bis Juni 2021 konnte der Community Draft kommentiert werden. Im Nachgang werden die Kommentare eingearbeitet und die Veröffentlichung des finalen Standards ist für die zweite Jahreshälfte geplant. Ein genaues Datum steht nicht fest, da man den Umfang des Anwender-Feedbacks nicht einschätzen kann. Sobald der Standard 200-4 vom BSI offiziell herausgegeben wird, werden wir Sie hier informieren.

Über den Autor

Foto Ingo SimonIngo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahm die SAVISCON GmbH die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Kontakt: 040 80 90 81 446

Quellen:

BSI-Webseite: BSI-Standard 200-4

Community Draft BSI-Standard 200-4