,

Anordnung des Informationssicherheitsbeauftragten (ISB) im Organigramm

Wo sollte der Informationssicherheitsbeauftragte (ISB) idealerweise im Organigramm der Organisation angeordnet sein? Woraus ergeben sich mögliche Interessenkonflikte? Dieser Blog-Artikel gibt Antworten auf diese Fragen.

Die Bezeichnungen des ISB sind in der Praxis unterschiedlich und ergeben sich aus den Gepflogenheiten des Unternehmens bei der Benennung von Stellen und Positionen sowie der Größe und dem Aufbau der jeweiligen Organisation. Beispiele für alternative Titel zum ISB wären: Leiter Informationssicherheit, Vice President Information Security, Information Security Officer (ISO), Chief Information Security Officer (CISO) oder Head of Information Security.

Idealtypische Anordnung des ISB

Die Geschäftsführung trägt im Rahmen ihrer Gesamtverantwortung auch die Verantwortung für die Informationssicherheit. Da sie die damit verbundenen Aufgaben meist nicht selbst wahrnehmen kann, beauftragt sie einen Mitarbeiter des Unternehmens damit: den Informationssicherheitsbeauftragten. Damit ist gleichzeitig geklärt, wer den ISB beauftragt und somit auch, in wessen Auftrag er tätig wird. Der ISB übernimmt damit wichtige Aufgaben, für die  Geschäftsleitung, die weiterhin die Gesamtverantwortung trägt. Es ist daher im Interesse der Geschäftsleitung ihren Beauftragten dicht bei sich zu haben, um sich von der ordnungsgemäßen Aufgabenerfüllung angemessen überzeugen zu können. Der ISB ist aus diesem Grund idealerweise als Stabsstelle bei der Geschäftsleitung angesiedelt.

Alternativer Anordnungen des ISB

Häufig gibt es in Unternehmen bzw. bei der Geschäftsleitung den Wunsch den ISB nicht als Stabsstelle bei der Geschäftsführung anzuordnen. Diese Wünsche sind teilweise verständlich, teilweise aber auch unbillig. Beispiele für mögliche Gründe zur alternativen Anordnung wären:

  • Die Geschäftsleitung möchte das “unangenehme” Thema Informationssicherheit nicht so dicht bei sich haben.
  • Die Arbeitsbelastung der einzelnen Geschäftsleitungsmitglieder ist bereits sehr hoch. Ein weiteres Thema auf dieser Ebene wird als nicht mehr zu bewältigen angesehen.
  • Der (geplante) Inhaber der Stelle “Informationssicherheitsbeauftragter” erfüllt nicht die sonstigen Kriterien für eine Person auf dieser Ebene. Oftmals wird er z.B. als zu jung bzw. unerfahren angesehen.
  • Die neue Stabsstelle würde das etablierte und austarierte Machtgefüge destabilisieren.
  • Der ISB ist nur Teilzeit-ISB und hat noch weitere Aufgaben innerhalb der Organisation. Dies ist insbesondere in kleineren Unternehmen häufiger anzutreffen.

In diesem Artikel möchte ich zwei in der Praxis beliebte Anordnungen betrachten: der IT-Leiter als ISB und der ISB unterhalb des IT-Leiters. Eine dritte beliebte Kombination, der Datenschutzbeauftragte (DSB) als ISB, bespreche ich in einem späteren Blog-Artikel gesondert.

Zu den typischen Aufgaben des ISB gehören meist u.a.:

  • die Erstellung einer Informationssicherheitsstrategie sowie von Richtlinien zur Informationssicherheit
  • Informationssicherheitsrisikomanagement
  • Überprüfung der Einhaltung der Regelungen der Informationssicherheit

IT-Leiter als ISB

Ein gern genutztes Argument zur Besetzung der Rolle des ISB mit dem IT-Leiter ist, dass Informationssicherheit ein IT-Thema sei und sich der IT-Leiter am besten damit auskenne. Dazu wäre folgendes zu erwidern:

  • Informationssicherheit beschäftigt sich mit allen Informationen der Organisation, nicht nur mit denen, die in IT-Systemen verarbeitet werden.
  • Der IT-Leiter ist Teil des operativen Bereiches. Seine Abteilung hat den IT-Betrieb sicherzustellen. Dazu stellt sie bestimmte Systeme und Anwendungen zur Verfügung.
    • Der ISB hat eine überwachende und überprüfende Funktion in Bezug auf die Regelungen der Informationssicherheit (s.o.) beim Betrieb dieser Systeme und Anwendungen. Der IT-Leiter überprüft sich in diesem Punkt also selbst.
  • Ziele des IT-Leiters können zum Beispiel das planmäßige Abschließen von IT-Projekten sein. Sicherheitsfragen und -bedenken können dem entgegen stehen. Ein Interessenkonflikt entsteht insbesondere, wenn die Zielerfüllung Einfluss auf die Vergütung hat.

ISB unterhalb des IT-Leiters

Nicht besser wird es, wenn der ISB innerhalb der IT also unterhalb des IT-Leiters angeordnet ist. Der ISB hat eine überwachende und kontrollierende Funktion im Auftrag der Geschäftsführung. Meistens ist dies deshalb so geregelt, dass der ISB in seiner Funktion als ISB unmittelbar an die Geschäftsleitung berichtet. Er berichtet also der Geschäftsleitung über Entwicklungen, Probleme, Sicherheitsthemen und Nichtkonformitäten im Verantwortungsbereich seines unmittelbaren Vorgesetzten. Dieser ist dann für seine nächste Mitarbeiterbeurteilung inkl. Gehaltserhöhung zuständig. Der Interessenkonflikt ist mit den Händen zu greifen.

Sind Interessenkonflikte normkonform?

Es stellt sich die Frage, ob die beispielhaft skizzierten Interessenkonflikte in einem ISMS nach ISO 27001 normkonform sind?

Als erstes kommt einem das Control A.5.3 “Aufgabentrennung” in den Sinn. Dieses fordert, dass sich widersprechende Aufgaben und Verantwortungsbereiche voneinander getrennt sind. Das ist bei der ersten Anordnung IT-Leiter als ISB aus den oben dargelegten Gründen sicherlich nicht der Fall und daher grundsätzlich eine Nichtkonformität.

Im zweiten Fall ISB unterhalb des IT-Leiters ist dies schon schwieriger zu beurteilen. Wenn der ISB z.B. in einer kleinen Organisation nur in Teilzeit ISB ist und darüber hinaus weitere Aufgaben in der IT übernimmt, kommen zumindest für diese weiteren Aufgaben widersprechende Verantwortlichkeiten bei operativen Aufgaben und der Überwachung der selben in Betracht.

Ist der ISB in der Anordnung ISB unterhalb des IT-Leiters aber ausschließlich ISB, so sind Aufgaben und Verantwortlichkeiten voneinander getrennt, zumindest in der Person des ISB. Auf der Ebene der IT-Abteilung ist das nicht der Fall. Hier ist wieder der IT-Leiter für das operative IT-Geschäft verantwortlich. Ebenfalls ist er für die überwachende und kontrollierende Tätigkeit seines Mitarbeiters, dem ISB, verantwortlich. Eine Trennung liegt also nicht vor. Damit handelt es sich grundsätzlich um eine Nichtkonformität. Als Grundlage für eine Nichtkonformität käme in diesem Fall auch Kapitel 5.3 in Frage. Dieses fordert u.a., dass die Geschäftsleitung die Verantwortlichkeit und die Befugnis für das Sicherstellen, dass das ISMS die Anforderungen der ISO 27001 erfüllt, zuweisen muss. Das eine solche dysfunktionale Anordnung ein Funktionieren des ISMS sicherstellt, kann man zumindest bezweifeln. Da damit die Funktionsweise des ISMS als Ganzes in Frage gestellt ist, könnte man sogar zum Ergebnis kommen, dass es sich um eine schwerwiegende Nichtkonformität (Hauptabweichung) handelt.

Gerade in kleineren Organisationen ist eine vollständige Trennung der Aufgaben und Verantwortlichkeiten nicht immer zu gewährleisten. Mit der Frage, wie die unerwünschten Folgen abgemildert werden können, beschäftigt sich ein folgender Artikel. Für größere Organisationen können die entschuldigenden Zwänge kleinerer Unternehmen jedoch nicht gelten.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

 

 

 

 

/von
, ,

Interne Audits – Abweichungen und Maßnahmen – Teil 5

Interner Auditor: In Managementsystemen nach ISO 27001, ISO 9001 oder ISO 22301 entscheidet nicht das Audit selbst über den Erfolg, sondern der professionelle Umgang mit den daraus resultierenden Feststellungen. Genau hier entfaltet der interne Auditor seinen größten Mehrwert: Er identifiziert nicht nur Abweichungen, sondern stellt sicher, dass daraus nachhaltige und wirksame Verbesserungen im Unternehmen entstehen.

Rolle des internen Auditors im Umgang mit Feststellungen

Ein interner Auditor bewertet Prozesse systematisch und unterscheidet dabei klar zwischen:

  • Hauptabweichungen (kritische, systemgefährdende Mängel)
  • Nichtkonformitäten (Abweichungen von Anforderungen)
  • Empfehlungen (Optimierungspotenziale ohne Normverstoß)

Die Qualität dieser Einordnung ist entscheidend. Eine zu „weiche“ Bewertung verschleiert Risiken, während eine zu harte Bewertung Ressourcen unnötig bindet. Die Weiterbildung vermittelt hier die notwendige Sicherheit in der Bewertung und Argumentation.

Nichtkonformitäten und Hauptabweichungen sicher erkennen

Ein zentraler Bestandteil der Auditorenausbildung ist die Fähigkeit, Abweichungen präzise zu formulieren und normkonform einzuordnen:

  • Hauptabweichung: Systematische oder kritische Schwäche mit unmittelbarem Risiko für die Wirksamkeit des Managementsystems (z. B. fehlende Risikobewertungen im ISMS).
  • Nichtkonformität: Eine konkrete Anforderung ist nicht erfüllt (z. B. fehlende Dokumentation, unvollständige Umsetzung).

Wichtig ist dabei:

  • Bezug zur konkreten Normanforderung
  • Nachvollziehbare Begründung
  • Objektive Nachweise (Audit-Trails)

Nur so lassen sich Diskussionen im Audit vermeiden und Maßnahmen gezielt ableiten.

Empfehlungen als strategisches Werkzeug

Neben Abweichungen spielen Empfehlungen eine oft unterschätzte Rolle. Ein gut ausgebildeter interner Auditor nutzt sie gezielt, um:

  • zukünftige Risiken frühzeitig zu adressieren
  • Effizienzpotenziale aufzuzeigen
  • Best Practices im Unternehmen zu verbreiten

Damit wird das Audit vom reinen Kontrollinstrument zum echten Verbesserungshebel.

Maßnahmenplanung: Vom Audit zur Verbesserung

Der eigentliche Mehrwert entsteht erst nach dem Audit – in der strukturierten Maßnahmenplanung. Je konkreter die Empfehlung vom Auditor formuliert wird, desto einfacher ist es daraus die Maßnahmenplanung abzuleiten.

  • Ursachenanalyse (z. B. nach dem 5-W-Prinzip) für Nichtkonformitäten
  • Priorisierung nach Risiko und Auswirkung
  • Definition konkreter Maßnahmen in Abstimmung mit den Verantwortlichen
  • Festlegung von Verantwortlichkeiten und Fristen zur Umsetzung der Maßnahmen

Besonders relevant ist die Differenzierung zwischen:

  • Quick Wins: Schnell umsetzbare Maßnahmen mit hoher Wirkung (z. B. Anpassung einer Richtlinie, Schließen von Dokumentationslücken)
  • Strukturellen Maßnahmen: Nachhaltige Änderungen an Prozessen oder Systemen (z. B. Einführung eines Berechtigungsmanagement-Prozesses)

Ein erfahrener interner Auditor erkennt, wann eine schnelle Lösung ausreicht – und wann grundlegende Veränderungen notwendig sind – und leitet die Verantwortlichen entsprechend an.

Mehrwert für Unternehmen

Unternehmen profitieren direkt von dieser strukturierten Herangehensweise:

  • Abweichungen werden nicht nur dokumentiert, sondern nachhaltig beseitigt
  • Kritische Schwachstellen werden frühzeitig erkannt (insbesondere bei Hauptabweichungen)
  • Maßnahmen werden effizient priorisiert und umgesetzt
  • Audit-Ergebnisse werden steuerbar und messbar
  • Externe Audits verlaufen deutlich stabiler

Gerade im KRITIS- und NIS2-Umfeld ist dieser strukturierte Umgang mit Feststellungen entscheidend für die Nachweisfähigkeit gegenüber Aufsichtsbehörden.

Praxisbeispiel

In einem internen ISO-27001-Audit wird festgestellt, dass regelmäßige Kontrollen und Überwachung von zugewiesenen Benutzerrechten nicht durchgeführt werden.

  • Ein unerfahrener Auditor dokumentiert dies pauschal als „Verbesserungspotenzial“.
  • Ein geschulter Auditor erkennt eine Nichtkonformität (oder sogar Hauptabweichung, je nach Kritikalität).

Die daraus abgeleitete Maßnahmenplanung umfasst:

  • Quick Win: Sofortige Durchführung einer Berechtigungsprüfung
  • Nachhaltige Maßnahme: Einführung eines systematischen Prozesses zur Überprüfung und Dokumentation der Benutzerberechtigungen inkl. Verantwortlichkeiten

Das Ergebnis: Reduziertes Sicherheitsrisiko und belastbare Compliance.

Fazit

Die Weiterbildung zum internen Auditor befähigt Mitarbeitende nicht nur zur Durchführung von Audits, sondern vor allem zum professionellen Umgang mit deren Ergebnissen.

Der strukturierte Umgang mit Nichtkonformitäten, Hauptabweichungen und Empfehlungen – kombiniert mit einer wirksamen Maßnahmenplanung – macht interne Audits zu einem zentralen Steuerungsinstrument für Qualität, Sicherheit und Compliance.

Was Sie auch interessieren könnte:

Seminar:

„Einführung in die Auditierung von Managementsystemen nach ISO 19011“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Kompetenzmanagement als Erfolgsfaktor für Informationssicherheit und Datenschutz

Ein wirksames Kompetenzmanagement ist ein zentraler Erfolgsfaktor für Informationssicherheit und Datenschutz in Organisationen. Technische Maßnahmen, Richtlinien und Tools entfalten ihre Wirkung nur dann voll, wenn Rollen klar definiert, Verantwortlichkeiten eindeutig zugewiesen und erforderliche Kompetenzen systematisch aufgebaut und überprüft werden. Kompetenzmanagement ist damit ein integraler Bestandteil der Governance-Struktur.

Normativer Rahmen und Zielsetzung

Kompetenzmanagement ist keine freiwillige Zusatzmaßnahme, sondern normativ verankert:

  • Die ISO/IEC 27001 fordert in Kapitel 7.2 die Sicherstellung erforderlicher Kompetenz auf Basis angemessener Ausbildung, Schulung oder Erfahrung.
  • Die ISO/IEC 27701 erweitert diese Anforderungen um spezifische Datenschutzrollen.
  • Die Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 24, 32 und 39, impliziert Fachkundeanforderungen an Verantwortliche und Datenschutzbeauftragte.

Ziel des Kompetenzmanagements ist es, sicherzustellen, dass alle sicherheits- und datenschutzrelevanten Aufgaben durch fachlich geeignete Personen wahrgenommen werden und dass Kompetenzlücken frühzeitig identifiziert und geschlossen werden.

Rollen und Verantwortlichkeiten im ISMS/DSMS als Basis für das Kompetenzmanagement

Eine saubere Rollendefinition verhindert Verantwortungsdiffusion und schafft klare Steuerungsmechanismen. In der Praxis empfiehlt sich eine strukturierte Rollenhierarchie mit Governance-, Steuerungs- und Ausführungsrollen.

Grundprinzipien der Rollendefinition

Rollen sind organisatorische Funktionen mit klar abgegrenzten Aufgaben, Befugnissen und Verantwortlichkeiten. Eine saubere Rollendefinition umfasst:

  • Zweck der Rolle
  • Verantwortungsbereich (Scope)
  • Konkrete Aufgaben
  • Erforderliche Kompetenzen (fachlich, methodisch, sozial)
  • Berichts- und Eskalationswege
  • Stellvertretungsregelung

Rollen sind unabhängig von Personen zu definieren. Erst danach erfolgt die Zuordnung geeigneter Mitarbeitender.

Rollen und Verantwortlichkeiten in der Informationssicherheit

Ein ISMS nach ISO/IEC 27001 umfasst typischerweise folgende Rollen:

Verantwortlichkeiten:

  • Aufbau, Betrieb und Weiterentwicklung des ISMS
  • Risikomanagementprozess steuern
  • Reporting an die oberste Leitung
  • Steuerung von Sicherheitsvorfällen

Erforderliche Kompetenzen:

  • Risikomanagementmethodik (z. B. ISO 27005)
  • Governance- und Compliance-Kenntnisse
  • Incident-Management
  • Kommunikations- und Durchsetzungsfähigkeit

Verantwortlichkeiten:

  • Schutzbedarfsermittlung
  • Genehmigung von Zugriffsrechten
  • Definition von Sicherheitsanforderungen

Erforderliche Kompetenzen:

  • Grundverständnis Informationssicherheit
  • Bewertung von Vertraulichkeit, Integrität und Verfügbarkeit
  • Kenntnis geschäftlicher Prozesse

Verantwortlichkeiten:

  • Technische Umsetzung von Sicherheitsmaßnahmen
  • Patch- und Schwachstellenmanagement
  • Systemhärtung

Erforderliche Kompetenzen:

  • IT-Sicherheitsarchitektur
  • Technische Standards (z. B. Netzwerksicherheit, IAM)
  • Protokollanalyse

Rollen und Verantwortlichkeiten im Datenschutz

Im Datenschutzmanagement kommen zusätzlich spezifische Rollen hinzu.

Gemäß Datenschutz-Grundverordnung Art. 37–39:

Verantwortlichkeiten:

  • Beratung der Verantwortlichen
  • Überwachung der DSGVO-Compliance
  • Schulung und Sensibilisierung
  • Zusammenarbeit mit Aufsichtsbehörden

Erforderliche Kompetenzen:

  • Datenschutzrecht
  • Technisch-organisatorische Maßnahmen (TOM)
  • Datenschutz-Folgenabschätzung (DSFA)
  • Kommunikationsfähigkeit auf Managementebene

Verantwortlichkeiten:

  • Pflege des Verzeichnisses von Verarbeitungstätigkeiten
  • Umsetzung von Löschkonzepten
  • Einhaltung Zweckbindung

Erforderliche Kompetenzen:

  • Grundlagen DSGVO
  • Dokumentationsfähigkeit
  • Prozessverständnis

Steuerungsinstrumente des Kompetenzmanagements

Für das zielgerichtete und erfolgreiche managen von Kompetenzen sollte die Organisation sich Steuerungsinstrumenten bedienen.

Die Skill-Matrizen als Steuerungsinstrument

Ziel einer Skill-Matrix

Eine Skill-Matrix dient der strukturierten Erfassung und Bewertung vorhandener Kompetenzen je Rolle und Person. Sie ermöglicht:

  • Transparenz über Ist-Kompetenzen
  • Identifikation von Kompetenzlücken
  • Priorisierung von Schulungsmaßnahmen
  • Nachweis gegenüber Auditoren

Aufbau einer Skill-Matrix

Typischer Aufbau:

  • Rolle
  • Kompetenz
  • Soll-Level
  • Ist-Level
  • Gap
  • Maßnahme

Kompetenzdimensionen können sein:

  • Fachkompetenz (z. B. Kryptografie, Datenschutzrecht)
  • Methodenkompetenz (z. B. Risikoanalyse, Auditmethodik)
  • Tool-Kompetenz (z. B. SIEM, GRC-Tool)
  • Regulatorische Kompetenz
  • Soft Skills

Bewertungsskalen sind typischerweise 0–4 oder 1–5 (Grundkenntnisse bis Expertenniveau).

Regelmäßige Kompetenzreviews als Steuerungsinstrument

Kompetenzmanagement ist kein einmaliger Vorgang, sondern zyklisch im PDCA-Modell verankert.

Integration in interne Audits

Im Rahmen interner Audits wird geprüft:

  • Sind Rollen dokumentiert?
  • Sind Kompetenzanforderungen definiert?
  • Entsprechen Ist-Kompetenzen den Soll-Anforderungen?
  • Sind Schulungsnachweise vorhanden?

Kompetenzdefizite gelten als Nichtkonformitäten oder Verbesserungspotenziale.

Management-Review als Steuerungsinstrument

Im Management-Review werden unter anderem bewertet:

  • Wirksamkeit von Schulungsmaßnahmen
  • Kritische Kompetenzlücken
  • Abhängigkeit von Einzelpersonen (Key-Person-Risk)
  • Budgetbedarf für Qualifizierungsmaßnahmen

Die Bewertung der Kompetenzlage ist Teil der Gesamtwirksamkeit des ISMS/DSMS.

Kennzahlen zur Wirksamkeitsmessung als Steuerungsinstrument

Kompetenzkennzahlen sollten zur Bewertung getroffener Maßnahmen und als Steuerungsindikatoren etabliert werden.

Mögliche KPIs:

  • Anteil vollständig qualifizierter Rollen
  • Anzahl identifizierter Kompetenzlücken
  • Schulungsquote pro Jahr
  • Auditfeststellungen mit Kompetenzbezug
  • Zeit bis zur Schließung einer Kompetenzlücke

Gezielte Entwicklung von Kompetenzen

Anhand der ermittelten Kompetenzanforderungen und Kompetenzlücken muß Wissen in der Organisation zielgerichtet aufgebaut werden.

Geeignete Maßnahmen hierfür sind z.B.:

  • Fachschulungen (z. B. ISO 27001 Auditor, Datenschutzbeauftragter)
  • Technische Trainings (z. B. Incident Response)
  • Simulationen (Tabletop-Exercises)
  • Mentoring

Wissenssicherung

Zur Reduktion von Abhängigkeiten muss Wissenssicherung von der Organisation aktiv betrieben werden.

Hierzu dienen z. B. Dokumentationspflichten, Cross-Trainings und Stellvertreterregelungen.

Fazit

Ein strukturiertes Kompetenzmanagement ist für Organisationen essentiell und integraler Bestandteil eines wirksamen ISMS und DSMS. Klare Rollendefinitionen, systematische Skill-Matrixen und regelmäßige Kompetenzreviews im Rahmen von Audits und Management-Reviews stellen sicher, dass Informationssicherheit und Datenschutz nicht nur formal implementiert, sondern tatsächlich wirksam betrieben werden.

Organisationen, die Kompetenzmanagement strategisch verankern, reduzieren operative Risiken, stärken Compliance-Fähigkeit und erhöhen die Resilienz gegenüber Sicherheits- und Datenschutzvorfällen.

Was Sie auch interessieren könnte:

Seminar:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Von der Normenvielfalt zur integrierten Compliance

Warum integrierte Compliance zum Gamechanger wird

Unternehmen stehen heute vor der Herausforderung, unterschiedliche Anforderungen aus Informationssicherheit, Datenschutz und branchenspezifischen Standards nicht nur zu erfüllen, sondern sinnvoll miteinander zu verzahnen. Gerade NIS2, TISAX und die DSGVO zeigen, wie eng regulatorische Vorgaben, technische Schutzmaßnahmen und organisatorische Prozesse miteinander verbunden sind. Wer diese Anforderungen einzeln betrachtet, riskiert Doppelarbeit, Medienbrüche und uneinheitliche Nachweise. Ein integrierter Ansatz schafft hier deutlich mehr Klarheit, Effizienz und Steuerbarkeit.

Gemeinsame Basis statt paralleler Systeme

Ob NIS2, TISAX oder Datenschutz: Im Kern geht es fast immer um denselben Grundgedanken – Informationen, Prozesse und Lieferketten wirksam zu schützen. Die Unterschiede liegen vor allem in der Sprache der Regelwerke, den jeweiligen Schwerpunkten und den konkreten Nachweisanforderungen. Genau deshalb lohnt es sich, die Anforderungen nicht isoliert umzusetzen, sondern in ein gemeinsames Managementsystem zu überführen. Ein solides Informationssicherheits-Managementsystem auf Basis der ISO 27001 kann dafür das Rückgrat bilden.

Die ISO 27001 bietet mit ihrem risikobasierten Ansatz, klaren Verantwortlichkeiten und dokumentierten Prozessen einen Rahmen, der sich gut auf weitere Anforderungen ausdehnen lässt. So können technische und organisatorische Maßnahmen aus der DSGVO, branchenspezifische Vorgaben aus TISAX und die erweiterten Cybersecurity-Pflichten aus NIS2 in einer konsistenten Struktur zusammengeführt werden. Das reduziert Redundanzen und verbessert die Nachweisfähigkeit.

Typische Beispiele aus der Praxis

Besonders anschaulich wird der Nutzen integrierter Compliance an konkreten Anwendungsfeldern. In der Energiewirtschaft etwa treffen verschiedene Regelwerke aufeinander: der IT-Sicherheitskatalog nach § 11 EnWG, branchenspezifische Sicherheitsstandards, NIS2, ISO 27001 und ISO 27019, KRITIS-Vorgaben, Datenschutzrecht, Business-Continuity-Management und teilweise auch technische Sicherheitsmanagementsysteme. Diese Vielfalt führt schnell zu parallelen Prüfungen, unterschiedlichen Verantwortlichkeiten und hohem Dokumentationsaufwand.

Ein integriertes Vorgehen setzt hier auf gemeinsame Kontrollpunkte, abgestimmte Rollen und eine einheitliche Governance. Statt jede Anforderung separat zu pflegen, werden Überschneidungen systematisch zusammengeführt. So kann etwa ein zentrales Risikomanagement gleichzeitig Anforderungen aus Informationssicherheit, Krisenresilienz und Lieferketten-Compliance bedienen. Auch gemeinsame Audits werden dadurch realistischer und effizienter.

Erfolgsfaktoren der Integration

Damit integrierte Compliance funktioniert, braucht es mehr als nur eine gute Absicht. Entscheidend ist zunächst ein sauberes Anforderungs-Mapping, also die strukturierte Zuordnung von Pflichten, Kontrollen und Nachweisen aus verschiedenen Regelwerken. Auf dieser Basis lassen sich gemeinsame Kontrollrahmen entwickeln, die fachlich tragfähig und organisatorisch praktikabel sind.

Ebenso wichtig ist eine einheitliche Governance. Wenn Rollen, Verantwortlichkeiten und Berichtslinien nicht klar definiert sind, entstehen Lücken zwischen Fachbereichen, Informationssicherheit, Datenschutz und Management. Hinzu kommt die technische Unterstützung: Zentrale GRC- oder ISMS-Tools helfen, Maßnahmen, Nachweise und Risikoanalysen konsistent zu dokumentieren. So wird aus einem komplexen Anforderungsgemisch ein steuerbares System.

Datenschutz als Integrationsbeispiel

Ein gutes Beispiel für das Zusammenspiel von Datenschutz und Informationssicherheit ist das Löschkonzept. Die DSGVO verlangt, dass personenbezogene Daten nicht länger als notwendig aufbewahrt werden und nach Wegfall des Zwecks ordnungsgemäß gelöscht werden. In der Praxis braucht es dafür klare Regeln zu Datenarten, Löschfristen, Verantwortlichkeiten, Verfahren und Dokumentation.

Genau hier zeigt sich der Mehrwert eines integrierten ISMS. Löschkonzepte lassen sich mit bestehenden Kontrollen zur Informationsklassifizierung, Archivierung, Berechtigung und Incident-Bearbeitung verbinden. Datenschutz wird dadurch nicht als separate Sonderaufgabe behandelt, sondern als Teil eines durchgängigen Sicherheits- und Governance-Modells. Das erleichtert die Umsetzung und stärkt zugleich die Rechenschaftsfähigkeit.

TISAX und NIS2 im Zusammenspiel

Auch TISAX und NIS2 profitieren von einer integrierten Sichtweise. TISAX stellt in der automobilen Lieferkette besondere Anforderungen an Informationssicherheit, etwa beim Schutz von Prototypen, bei der Steuerung von Dienstleistern und bei der Klassifizierung sensibler Informationen. NIS2 erweitert den Fokus zusätzlich auf Cybersecurity-Risikomanagement, Incident-Management, Business Continuity und Meldepflichten.

Viele dieser Themen sind bereits in einem gut aufgebauten ISMS angelegt. Wer also Risiken systematisch bewertet, Zugriffe sauber steuert, Lieferanten einbindet und Vorfälle strukturiert behandelt, schafft eine belastbare Basis für mehrere Anforderungen zugleich. Die branchenspezifischen Ergänzungen werden dann zu Erweiterungen eines bereits funktionierenden Rahmens statt zu einem zusätzlichen Parallelprojekt.

Zusammenarbeit als strategischer Hebel

NIS2 macht außerdem deutlich, dass Sicherheit heute nicht an der eigenen Unternehmensgrenze endet. Betreiber, Lieferanten, IT-Dienstleister und Behörden müssen enger zusammenarbeiten, um Sicherheitsvorfälle, Abhängigkeiten und Risiken beherrschbar zu machen. Gerade in regulierten Branchen entstehen dadurch neue Netzwerke und abgestimmte Vorgehensweisen, die über das einzelne Unternehmen hinausreichen.

Das ist nicht nur eine regulatorische Pflicht, sondern auch eine strategische Chance. Wer seine Partner in Sicherheits- und Compliance-Prozesse einbindet, verbessert die Transparenz entlang der Lieferkette und stärkt die Resilienz des eigenen Geschäftsmodells. Integrierte Compliance wird so zu einem Instrument moderner Unternehmenssteuerung.

Fazit

Integrierte Compliance reduziert Doppelarbeit, verbessert Nachweisführung und Governance, erhöht Sicherheitsreife und Resilienz und verwandelt regulatorischen Aufwand in strategischen Mehrwert.

Was Sie auch interessieren könnte:

Beiträge:

Beitragsreihe: TISAX® – Informationssicherheit im Detail Teil 1-8

Beitragsreihe: Datenschutz in ein bestehendes ISMS integrieren Teil 1-5

NIS2 Umsetzung in Deutschland: Risikomanagement

Ratgeber Informationssicherheit für Geschäftsführung

Seminare:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

„TISAX® – Informationssicherheit in der Automobilindustrie“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

 

/von
, ,

Der neue Newsletter ist da…

Der Blick auf Informationssicherheit und Datenschutz verändert sich derzeit schneller als je zuvor. Neue regulatorische Anforderungen, technologische Entwicklungen und immer raffiniertere Angriffsmethoden stellen Unternehmen vor kontinuierliche Herausforderungen. Genau hier setzt unser aktueller Newsletter an.

In der neuesten Ausgabe beleuchten wir zentrale Entwicklungen, die für Verantwortliche in IT-Sicherheit, Datenschutz und Unternehmensführung unmittelbar relevant sind.

Ein besonderer Fokus liegt auf dem Paradigmenwechsel in der KRITIS-Regulierung. Die Anforderungen steigen nicht nur in der Tiefe, sondern auch in der Breite – und betreffen zunehmend mehr Organisationen. Wer frühzeitig versteht, wie sich regulatorische Erwartungen verändern, kann Risiken gezielt steuern und Wettbewerbsvorteile sichern.

Darüber hinaus widmen wir uns der wachsenden Bedeutung von OT-Security im Kontext von NIS2. Betriebstechnik rückt immer stärker in den Fokus der Sicherheitsstrategien und wird für CISOs zum Pflichtprogramm. Wir zeigen, warum klassische IT-Sicherheitsansätze hier nicht ausreichen und welche Maßnahmen jetzt entscheidend sind.

Ein weiteres zentrales Thema ist die datenschutzkonforme Nutzung von KI-Tools. Viele Unternehmen stehen vor der Frage, wie sich innovative Technologien rechtssicher einsetzen lassen. Wir geben einen praxisnahen Überblick über Anforderungen, Risiken und bewährte Best Practices für den unternehmensweiten Einsatz.

Und weil sich Bedrohungslagen ständig weiterentwickeln, greifen wir auch ein altbekanntes, aber immer aktuelles Thema auf: Phishing – in seiner gefühlt 3276sten Variante. Wir zeigen, wie sich Angriffe verändern, warum sie nach wie vor erfolgreich sind und wie Sie Ihre Organisation wirksam sensibilisieren können.

Unser Newsletter liefert Ihnen regelmäßig kompakte, praxisorientierte Einblicke in die wichtigsten Themen rund um Informationssicherheit und Datenschutz – verständlich aufbereitet und mit direktem Mehrwert für Ihre tägliche Arbeit.

Melden Sie sich jetzt an und bleiben Sie auf dem neuesten Stand: https://anmatho.de/neuigkeiten/newsletter/

/von
, ,

KI im Unternehmen – Chancen nutzen, Risiken managen

Die Einführung von Künstlicher Intelligenz (KI) im Unternehmen verspricht Effizienz, automatisierte Analysen und kreative Unterstützung. Doch gerade in sensiblen Bereichen wie Energieversorgung, Verwaltung oder kritischer Infrastruktur ist Vorsicht geboten: KI kann nur dann ein Gewinn sein, wenn sie sicher, rechtskonform und gezielt eingesetzt wird.

Öffentliche KI vs. Eigene Unternehmens-KI

Der Unterschied zwischen öffentlicher KI (z. B. ChatGPT u.a.) und unternehmensintern trainierten Modellen ist entscheidend.

  • Öffentliche KI: Sie ist einfach nutzbar, aber es gibt Risiken beim Datenschutz und Urheberrecht. Zusätzlich können alle eingegebenen Daten zur Modellverbesserung (Trainingszwecken) verwendet werden.
  • Eigene KI / On-Premise KI: Läuft in der Unternehmensumgebung und ist ideal für sensible oder vertrauliche Informationen. Anbieter wie Microsoft Copilot in geschützter Azure-Umgebung oder OpenGPT Enterprise bieten entsprechende Schutzmechanismen.

Tipp: Prüfen Sie bei jeder Anwendung, wo Daten verarbeitet und gespeichert werden, wer Zugriff erhält, und welche Lizenzbedingungen gelten. Ein internes KI-Governance-Dokument ist Pflicht, ebenso ein Freigabeprozess für neue Tools.

Überprüfung von KI-Ergebnissen – wie geht das zuverlässig?

KI liefert gute Erstentwürfe, aber keine garantierten Wahrheiten.

  • Vier-Augen-Prinzip: Lassen Sie Ergebnisse durch Fachpersonen oder Compliance-Verantwortliche validieren.
  • Fact-Checking-Tools: Externer Quellenabgleich, z. B. über Google Fact Check Tools oder spezialisierte Tools zur Prüfung für technische Berechnungen helfen bei der Überprüfung von Ergebnissen.
  • Protokollierung: Jede KI-gestützte Entscheidung sollte dokumentiert werden (z. B. in einem Ticketsystem oder Audit-Trail).

Praxisbeispiel: Ein Stadtwerk nutzte KI zur Auswertung von Kundenfeedback. Die Ergebnisse waren zunächst irreführend, weil Dialekte als negative Kommentare erkannt wurden. Nach kurzer Feinjustierung durch ein menschliches Audit-Team stieg die Trefferquote der Analyse auf über 85 %.

KI und Urheberrecht bei Bildern

Bei der Nutzung KI-generierter Bilder besteht weiterhin das Risiko, dass Trainingsdaten Inhalte enthalten, die urheberrechtlich geschützt sind.

Geprüfte Anbieter:

  • Adobe Firefly: Ist nur mit eigenen Stockmaterialien trainiert und ist mit entsprechender kostenpflichtiger Lizensierung für die kommerzielle Nutzung erlaubt.
  • Getty Images Generative AI: Entwickelt mit vollständig eigenem Bildmaterial.
  • Midjourney, DALL·E 3: Bietet eine hohe Qualität, allerdings besteht eine rechtlich unsichere Lizenzlage für kommerzielle Zwecke.

Prüftipp: Nutzen Sie Tools wie „Have I Been Trained?“ zur Kontrolle, ob geschützte Bildinhalte in Trainingsdaten vorkommen.
Rechtlicher Hinweis: Nach EU-Urheberrechtsgesetz haftet der Ersteller, nicht der KI-Anbieter. „Unwissenheit schützt vor Strafe nicht.“

KI-Schutz für Diensthandys

Mit steigender mobiler KI-Nutzung wächst das Risiko für Datenabfluss.

Empfohlene Maßnahmen:

  • MDM-Lösung (Mobile Device Management) mit KI-Zugriffskontrolle.
  • Sperrung öffentlicher KI-Apps für dienstliche Nutzung, außer über geprüfte Unternehmenskanäle.
  • Einsatz von App-Sandboxing für KI-Chatfunktionen.
  • Schulungen für Mitarbeitende zu Datenschutz und KI-Nutzung auf Smartphones.

Basis-Schulung und Governance-Struktur

Jede KI-Anwendung braucht eine eigene Bewertung hinsichtlich:

  • Datenschutz (personenbezogene Daten, DSGVO)
  • Sicherheit (Training, Zugriff, Speicherung)
  • Lizenz- und Nutzungsrechte
  • Transparenz und Nachvollziehbarkeit

Für die Einführung empfiehlt sich eine zweistufige Schulung:

  1. Grundverständnis, was KI kann, wo liegen die Grenzen.
  2. Schulung auf das konkrete KI-Tool, was ist bei der Nutzung zu beachten, sprich welche Daten dürfen eingegeben werden, wie ist das Ergebnis zu prüfen usw.

Checkliste: Sicherer und effektiver KI-Einsatz im Unternehmen

Diese Checkliste dient als Leitfaden für die Bewertung, Einführung und regelmäßige Kontrolle von KI-Anwendungen.

  1. Strategische Vorbereitung
  • Zieldefinition: Welche konkreten Aufgaben soll die KI übernehmen (z.  Textanalyse, Prozessautomatisierung, Vorhersage)?
  • Welches Modell: Öffentliche KI oder On-Premise Lösung
  • Kosten-Nutzen-Abwägung: Wirtschaftlicher Mehrwert und bestehende Alternativen prüfen.
  • Governance-Festlegung: Verantwortlichkeiten, Freigabeprozess und Auditintervalle definieren.
  1. Datenschutz & Compliance
  • DSGVO-konform: Werden personenbezogene Daten verarbeitet? Wenn ja, mit Einwilligung oder Berechtigungsgrundlage.
  • Datentransfer prüfen: Fließen Daten außerhalb des europäischen Rechtsraums (z.B.  über Cloud-API)?
  • Vertragliche Vereinbarungen: Lizenzbedingungen, Datenschutzerklärungen und Nutzungsrechte dokumentieren.
  • Audit-Trail: Ergebnisse der KI müssen nachvollziehbar und nachprüfbar gespeichert werden.
  1. Informationssicherheit
  • Zugriffsrechte: KI-Anwendungen nur für autorisierte Mitarbeitende zugänglich.
  • MDM-Integration: Diensthandys und mobile Geräte über zentrale Sicherheitssteuerung schützen.
  • Cloud-Sicherheit: Verschlüsselung und separate Datenräume („Data Sovereignty Zones“) verwenden.
  • Incident Response: KI-Einsatz im Notfallplan bzw. ISMS berücksichtigen.
  1. Qualitätskontrolle der KI-Ergebnisse
  • Vier-Augen-Prinzip: Fachliche Review der durch KI erstellten Inhalte oder Analysen.
  • Bias-Tests: Gibt es systematische Verzerrungen in den Ergebnissen?
  • Regelmäßiges Retraining: Modelle regelmäßig mit aktuellen, validierten Daten füttern.
  • Dokumentation: KI-Version, Trainingszeitpunkt und Quellen eindeutig vermerken.
  1. Urheberrecht & Inhaltssicherheit
  • Bilder und Textquellen prüfen: Nur freigegebene oder eigens erstellte Inhalte verwenden.
  • KI-Tool auswählen: Bevorzugt Anbieter mit transparenten Trainingsdaten.
  • Rechtsprüfung: Vor Publikation oder Produktivsetzung durch Juristen oder Compliance-Teams prüfen lassen.
  • Beweisführung: Bei generativen Inhalten immer Herkunftsnachweis (Source Tag) abspeichern.
  1. Schulung & Awareness
  • Mitarbeiterschulung: Grundlagen der KI-Nutzung, Datenschutz und rechtliche Risiken.
  • Praxisübungen: „Gute vs. riskante“ KI-Beispiele durchspielen.
  • Rollenbezogene Trainings: Fachbereiche lernen, KI-Ergebnisse korrekt zu hinterfragen.
  • Kommunikation: Interne Richtlinie zur Nutzung öffentlicher KI-Systeme veröffentlichen.

Whitepaper und Checklisten finden Sie z. B. auch bei:

Was Sie auch interessieren könnte:

Seminar:

“KI im Unternehmen – Rechtliche Anforderungen und praktische Umsetzung”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

 

/von
,

Das Diktiergerät – ein Bericht aus der Praxis

In meinen Jahren als Datenschutzbeauftragter habe ich immer wieder erlebt, dass nicht nur große Systemfehler oder Cyberangriffe, sondern gerade kleine, unscheinbare Nachlässigkeiten häufig den Auslöser für einen Datenschutzvorfall darstellen – genau darum soll es in diesem Praxisbeispiel gehen.

In einer mittelgroßen Organisation gehörte es seit vielen Jahren zur gängigen Praxis, Sitzungen der Leitungsebene mit einem Diktiergerät aufzuzeichnen. Die Absicht war zunächst pragmatisch: Diskussionen sollten später leichter protokolliert werden können. Das Gerät wurde regelmäßig auf Sitzungen genutzt.

Im Laufe der Jahre entwickelte sich daraus ein routinierter, jedoch kaum hinterfragter Prozess. Die Aufzeichnungen enthielten eine Vielzahl sensibler Inhalte: Personalangelegenheiten, strategische Planungen, finanzielle Entscheidungen, sowie vereinzelt auch personenbezogene Daten von Mitarbeitenden und externen Partnern.

Das Diktiergerät selbst war ein einfaches, handelsübliches Modell ohne Verschlüsselung. Weder war der Zugriff durch ein Passwort geschützt, noch existierte eine systematische Löschroutine. Die gespeicherten Dateien sammelten sich über Jahre hinweg auf dem Gerät. Eine formelle Regelung zur Aufbewahrung oder zur datenschutzkonformen Verarbeitung der Aufnahmen existierte nicht.

Aus Sicht der Informationssicherheit stellte dies mehrere strukturelle Schwachstellen dar. Es fehlten grundlegende organisatorische und technische Maßnahmen im Sinne der Schutzziele der Informationssicherheit – insbesondere hinsichtlich Vertraulichkeit und Integrität. Auch eine Risikoanalyse oder eine Klassifizierung der enthaltenen Informationen war nie durchgeführt worden.

Als wieder eine Sitzung aufgezeichnet werden sollte fiel auf, dass das Diktiergerät fehlte. Zunächst wurde ein Verlegen vermutet, doch nach kurzer Suche wurde klar: Das Gerät war gestohlen worden.

Mit einem Schlag wurde deutlich, welche Tragweite dieser Verlust haben konnte. Auf dem Gerät befanden sich viele Stunden von Sitzungsaufzeichnungen aus mehreren Jahren. Viele davon enthielten vertrauliche und schützenswerte Daten verschiedenster Ausprägung.

Aus rechtlicher Perspektive ergaben sich sofort mehrere Problemfelder:

Nach der Datenschutz-Grundverordnung (DSGVO) hätte die Organisation geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 implementieren müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen beispielsweise Verschlüsselung, Zugriffsbeschränkungen und klare Aufbewahrungsregelungen.

Darüber hinaus verlangt Artikel 5 der DSGVO das Prinzip der Datenminimierung und der Speicherbegrenzung. Daten dürfen nur so lange gespeichert werden, wie sie für den ursprünglichen Zweck erforderlich sind. In diesem Fall hätte nach Erstellung eines schriftlichen Protokolls eine zeitnahe Löschung der Audiodateien erfolgen müssen.

Auch eine Rechtsgrundlage für die Aufzeichnung der Gespräche wäre zu dokumentieren gewesen. Bei Sitzungen mit personenbezogenen Daten ist regelmäßig eine transparente Information der Betroffenen erforderlich. Zudem stellt sich die Frage, ob überhaupt eine Notwendigkeit bestand, vollständige Audioaufnahmen dauerhaft zu speichern.

Mit dem Diebstahl entstand schließlich ein Datenschutzvorfall im Sinne von Artikel 4 Nr. 12 DSGVO – eine Verletzung des Schutzes personenbezogener Daten. Daraus folgte eine weitere Verpflichtung: Die Organisation musste prüfen, ob eine Meldung an die zuständige Aufsichtsbehörde erforderlich war.

Parallel dazu stellte sich eine weitere Frage:

Hätte der Vorfall durch grundlegende Maßnahmen der Informationssicherheit verhindert werden können?

Die Antwort lautete eindeutig: ja.

Bereits einfache Maßnahmen hätten das Risiko erheblich reduziert. Dazu gehörten:

  • Verwendung eines verschlüsselten Aufnahmegeräts
  • Zugriffsschutz durch PIN oder Authentifizierung
  • sichere Aufbewahrung in einem abgeschlossenen Schrank
  • definierte Löschfristen für Aufzeichnungen
  • eine dokumentierte Datenschutz- und Informationssicherheitsrichtlinie
  • Sensibilisierung der Mitarbeitenden für den Umgang mit vertraulichen Informationen

Was als kleines Hilfsmittel für die Protokollführung begonnen hatte, entwickelte sich rückblickend zu einem exemplarischen Fall dafür, wie alltägliche Bequemlichkeit über Jahre hinweg zu erheblichen Datenschutzrisiken führen kann. In der Praxis sind es häufig nicht komplexe Cyberangriffe, sondern unscheinbare organisatorische Versäumnisse, die sensible Informationen gefährden.

Die eigentliche Ursache lag nicht im Diebstahl selbst, sondern in der fehlenden Umsetzung grundlegender Prinzipien des Datenschutzes und der Informationssicherheit.

Das verschwundene Diktiergerät ist bis heute nicht wieder aufgetaucht.

/von

Neuer Datenschutz-Newsletter ist da!

Die neueste Ausgabe unseres Datenschutz-Newsletters ist ab sofort verfügbar. Auch dieses Mal erwarten Sie spannende und praxisrelevante Themen rund um Datenschutz:

  • Unser ANMATHO-Forum – am 17.03.2026 im Business-Club Hamburg Anmeldung

  • Digitaler Omnibus: Welche Auswirkungen hat der aktuelle Entwurf auf den Datenschutz in der EU?

  • Microsoft Teams: Welche Risiken entstehen bei der Transkription von Meetings, und worauf sollten Unternehmen achten?

Registrieren Sie sich noch heute für unseren Newsletter und erhalten Sie quartalsweise einen kompakten Überblick über aktuelle Entwicklungen, praxisnahe Empfehlungen und relevante News aus Datenschutz und Informationssicherheit.

👉 Hier anmelden für den ANMATHO-Newsletter

/von
,

Podcast – Security on Air – Heute der EU-Datenschutztag

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Der EU-Datenschutztag: Rückblick, Status quo und Ausblick auf 2026

Der 28. Januar ist in Europa mehr als nur ein Termin im Kalender: Er erinnert daran, dass der Schutz personenbezogener Daten längst ein strategisches Thema für Unternehmen, Behörden und jede einzelne Person geworden ist. Der Europäische Datenschutztag bietet jährlich Anlass, innezuhalten, die Entwicklung der letzten Jahre zu betrachten und den Blick nach vorne zu richten. Genau das tun wir in unserem aktuellen Podcast.

Im Gespräch beleuchten wir kurz die wichtigsten Meilensteine – vom Volkszählungsurteil über die DSGVO bis hin zur internationalen Rolle des europäischen Datenschutzmodells – und leiten daraus über zu den

Datenschutz-Schwerpunkten in 2026

  1. Künstliche Intelligenz und Datenverarbeitung

  2. Aufsichtsbehörden kontrollieren verstärkt die Einhaltung von Betroffenenrechten

  3. Cloudnutzung und Drittlandtransfers

  4. Vernetzte Produkte

Hören Sie rein!

Alle unsere Podcast-Folgen finden Sie auf “Apple Podcast”, “Spotify” und “YouTube” sowie natürlich auf unserer Website.

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
, ,

Podcast – Jahresrückblick 2025 & Ausblick 2026

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

2025 war ein Jahr der Weichenstellungen – nicht spektakulär, aber entscheidend. In der neuen Podcast-Folge blicken wir auf die wichtigsten Entwicklungen in Informationssicherheit und Datenschutz zurück und werfen einen fundierten Blick auf das, was 2026 bringen wird.

Vom Warten zum Handeln – NIS2 ist da

Lange war es Thema in der Branche, jetzt ist es Realität: Das NIS2-Umsetzungsgesetz wurde verabschiedet. Damit steigt die Zahl der Unternehmen, die sich künftig strukturierter mit Informationssicherheit beschäftigen müssen, erheblich.
Wir erklären im Podcast, warum 2026 das Jahr sein wird, in dem viele Organisationen wirklich beginnen, ihre Pflichten aus NIS2 umzusetzen – mit Themen wie Risikomanagement, Business Continuity und der Schulung der Geschäftsleitungen.

Datenschutz unter Druck? Der digitale Omnibus

Auch im Datenschutzrecht wird es interessant: Der sogenannte digitale Omnibus der EU soll verschiedene Digitalgesetzgebungen zusammenführen und davon ist auch die DSGVO betroffen.
Doch die Meinungen gehen auseinander – während die einen die Vereinfachung begrüßen, warnen andere vor einer Aufweichung des Datenschutzes. Im Podcast beleuchten wir, welche Änderungen denkbar sind und wo sich Chancen für praxisnähere Regelungen eröffnen könnten.

Künstliche Intelligenz: Zwischen Innovation und Risiko

Kaum ein Thema hat 2025 so stark geprägt wie künstliche Intelligenz. Ob beim Schutz sensibler Daten, in Angriffsszenarien oder im Unternehmensalltag – KI verändert die Spielregeln grundlegend.
Klar ist – KI ist gekommen, um zu bleiben.

Awareness bleibt der beste Schutz

Einig sind sich wohl alle: Technologie allein reicht nicht. Schulung und Sensibilisierung der Mitarbeitenden bleiben die letzte Verteidigungslinie gegen Sicherheitsvorfälle und Datenschutzverletzungen.
Der Podcast liefert praxisnahe Einblicke, wie Unternehmen zielgruppenorientierte Awareness-Programme gestalten und Informationssicherheit und Datenschutz dabei sinnvoll miteinander verzahnen können.

Aus der Praxis – und mit Blick in die Zukunft

Neben der Gesetzgebung geht es im Gespräch auch um aktuelle Entwicklungen in der Beratung: etwa die steigende Bedeutung interner Audits im ISMS und die Vorteile externer Sichtweisen.
Und ein Blick nach vorn darf nicht fehlen: 2026 steht beim ANMATHO-Forum (17. März) das Thema Risikomanagement im Fokus. Dort treffen sich erneut Expertinnen und Experten zum Erfahrungsaustausch und zur Diskussion praxisorientierter Lösungen.

Jetzt reinhören!

Alle unsere Podcast-Folgen finden Sie auf “Apple Podcast” und “Spotify” sowie natürlich auf unserer Website.

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Winterhuder Weg 82
22085 Hamburg

Tel: +49(0)4022947190
E-Mail: info@anmatho.de

Wir sind Mitglied im:

Wir sind zertifiziert nach ISO27001:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen