1. Einleitung
NeuronUP ist zur Erreichung seiner Ziele auf IKT-Systeme (Informations- und Kommunikationstechnologien) angewiesen. Diese Systeme müssen sorgfältig verwaltet werden, und es sind geeignete Maßnahmen zu ergreifen, um sie vor unbeabsichtigten oder vorsätzlichen Schäden zu schützen, die die Verfügbarkeit, Integrität oder Vertraulichkeit der verarbeiteten Informationen oder der erbrachten Dienste beeinträchtigen könnten.
Die Mitarbeitenden von NeuronUP müssen sicherstellen, dass Sicherheit in jeder Phase des Systemlebenszyklus fester Bestandteil ist – von der Konzeption bis zur Außerbetriebnahme, einschließlich der Entscheidungen über Entwicklung oder Beschaffung und der Betriebsaktivitäten.
Die Abteilungen von NeuronUP müssen entsprechend den ihnen übertragenen Aufgaben darauf vorbereitet sein, Vorfälle gemäß den geltenden Vorschriften zu verhindern, zu erkennen, darauf zu reagieren und sich davon zu erholen.
Um die Einhaltung dieser Richtlinie zu gewährleisten, entwickelt und bewertet der Sicherheitsausschuss die Systeme regelmäßig und sorgt dafür, dass alle Mitarbeitenden von NeuronUP ihre Aufgaben im Bereich der Informationssicherheit kennen und erfüllen.
2. Geltungsbereich
Diese Richtlinie gilt für alle Personen, Prozesse, Systeme und Vermögenswerte, die an der Verarbeitung von Informationen innerhalb von NeuronUP beteiligt sind.
Dies umfasst interne Mitarbeitende, externe Mitarbeitende, Lieferanten und Dritte, die Zugang zu den Informationen oder Systemen haben, sowie alle Informationswerte.
Die Einhaltung dieser Richtlinie ist verpflichtend und bildet die Grundlage für die Normen, Verfahren und Kontrollen des Informationssicherheits-Managementsystems (ISMS) der Organisation.
3. Ziel dieser Richtlinie
Ziel dieser Richtlinie ist es, den Handlungsrahmen festzulegen, um die Informationssicherheit und die kontinuierliche Erbringung der Dienste zu gewährleisten.
Diese Richtlinie wird durch Sicherheitsdokumentation und -vorschriften umgesetzt, die allen Mitgliedern der Organisation zur Verfügung stehen, die sie kennen müssen – insbesondere jenen, die die Informations- und Kommunikationssysteme nutzen, betreiben oder verwalten –, und zwar in Form von Verfahren, Prozessen, technischen Anweisungen usw.
Die Sicherheitsvorschriften stehen allen Beschäftigten der Organisation in ihrem Dokumentenmanagementsystem zur Verfügung.
4. Rechtsrahmen
NeuronUP verpflichtet sich, alle geltenden Gesetze, Verordnungen und Vorschriften im Bereich der Informationssicherheit einzuhalten.
5. Sicherheitsorganisation
Die Geschäftsleitung übernimmt die Verantwortung, die Einführung technischer, organisatorischer und kontrollierender Maßnahmen zu fördern und zu unterstützen, die das für den Geschäftsbetrieb erforderliche Qualitäts- und Sicherheitsniveau gewährleisten, und verpflichtet sich zur kontinuierlichen Verbesserung des Informationssicherheits-Managementsystems.
Die Verantwortung für diese Aufgabe wird an den Sicherheitsausschuss delegiert, den NeuronUP als bereichsübergreifendes Kollegialorgan eingerichtet hat und der sich wie folgt zusammensetzt:
- Der/die Informationssicherheitsbeauftragte, der/die zugleich den Vorsitz des Sicherheitsausschusses innehat.
- Der/die Systemadministrator:in, der/die zugleich die Rolle des Schriftführers des Sicherheitsausschusses übernimmt.
- Der/die Technologiedirektor:in.
Die konkreten Befugnisse dieser Rollen sind in den Stellenbeschreibungen der jeweiligen Verantwortlichen festgelegt. Das Verfahren zu ihrer Ernennung und/oder Erneuerung wird von der Geschäftsleitung genehmigt.
Die Ernennungen werden alle 2 Jahre oder bei Freiwerden einer Stelle auf Vorschlag des Sicherheitsausschusses überprüft.
5.1. Aufgaben des Sicherheitsausschusses
Die Hauptaufgabe des Sicherheitsausschusses besteht darin, die Informationssicherheitsrichtlinie und die Ziele des ISMS festzulegen.
Der Sicherheitsausschuss legt fest, welche Risikoniveaus als akzeptabel gelten, und bestimmt die geeigneten Maßnahmen, um Risiken zu verringern, die diese Schwellenwerte überschreiten.
Aufgabe des Sicherheitsausschusses ist die jährliche Überprüfung dieser Richtlinie sowie der Vorschlag zu ihrer Überarbeitung oder Beibehaltung. Zudem wird diese Richtlinie durch Sicherheitsvorschriften und -empfehlungen ergänzt (weitere Richtlinien, Protokolle, Verfahren, technische Anweisungen usw.).
Konkret werden folgende Sicherheitspunkte überprüft:
- Der Stand der seit der letzten Kontrolle umzusetzenden Maßnahmen.
- Für das ISMS relevante Änderungen.
- Management von Risiken, Schwachstellen und Bedrohungen.
- Technologien, Produkte und Dienste zur kontinuierlichen Verbesserung.
6. Risikomanagement
Zur Vereinheitlichung der Risikoanalysen legt der Sicherheitsausschuss eine Referenzbewertung für die verschiedenen Arten verarbeiteter Informationen und die verschiedenen erbrachten Dienste fest.
Der Sicherheitsausschuss prüft die Verfügbarkeit von Ressourcen, um den Sicherheitsanforderungen der verschiedenen Systeme gerecht zu werden.
Für alle Systeme, die dieser Richtlinie unterliegen, ist eine Risikoanalyse durchzuführen, in der die Bedrohungen und Risiken bewertet werden, denen sie ausgesetzt sind. Diese Analyse wird wiederholt:
- regelmäßig, mindestens einmal pro Jahr;
- wenn ein schwerer Sicherheitsvorfall eintritt;
- wenn schwerwiegende Schwachstellen gemeldet werden.
Um die Verfügbarkeit kritischer Dienste bei möglichen Störungen sicherzustellen, verfügt das Unternehmen über einen Disaster-Recovery-Plan, der alle Wiederherstellungsmaßnahmen für die möglicherweise betroffenen Geschäftsprozesse koordiniert.
7. Pflichten der Mitarbeitenden
Alle Mitglieder von NeuronUP sind verpflichtet, die Informationssicherheitsrichtlinie und die Sicherheitsvorschriften zu kennen und einzuhalten; der Sicherheitsausschuss ist dafür verantwortlich, die nötigen Mittel bereitzustellen, damit die Informationen die Betroffenen erreichen.
Verstöße gegen diese Sicherheitsrichtlinie und die sie umsetzenden Vorschriften können Disziplinarmaßnahmen gemäß dem spanischen Arbeitnehmerstatut (Estatuto de los Trabajadores) und dem geltenden Tarifvertrag nach sich ziehen. Die konkreten Vorgaben für die Mitarbeitenden sind in der Sicherheitsrichtlinie für Mitarbeitende festgelegt.
7.1. Sensibilisierung und Schulung
Gemäß der Richtlinie für Schulung und Sensibilisierung in der Informationssicherheit erhalten alle Mitglieder von NeuronUP mindestens einmal jährlich eine Schulung zur Informationssicherheit. Zudem wird ein fortlaufendes Sensibilisierungsprogramm eingerichtet, um sicherzustellen, dass alle Beteiligten die Informationssicherheitsrichtlinie verstehen und einhalten.
Personen mit Verantwortung für Nutzung, Betrieb oder Verwaltung von Systemen werden im sicheren Umgang mit den Systemen geschult, soweit dies für ihre Arbeit erforderlich ist. Die Schulung ist vor Übernahme einer Verantwortung verpflichtend, sei es bei der ersten Zuweisung oder bei einem Wechsel der Stelle oder der Zuständigkeiten.
7.2. Grundlegende ISMS-Vorgaben
Die grundlegenden Vorgaben für den sicheren Umgang mit Informationen und für die Strukturierung, Verwaltung und den Zugriff auf die Sicherheitsdokumentation des Systems sind in den Handbüchern, Richtlinien, Vorschriften und Verfahren des ISMS festgelegt.
Diese Vorgaben lauten wie folgt:
- Informationen sind in folgende Kategorien einzustufen: Öffentlich, Interner Gebrauch, Vertraulich oder Streng vertraulich.
- Physische Datenträger mit nicht öffentlichen Informationen sind an einem sicheren Ort aufzubewahren.
- Der Zugriff auf die Informationssysteme wird nach dem Need-to-know-Prinzip gewährt, sodass jede Person nur auf die Informationen zugreift, die sie für die Erfüllung ihrer Aufgaben benötigt.
- Der physische Zugang zu den Räumlichkeiten des Unternehmens ist ausschließlich autorisiertem Personal vorbehalten.
- Alle Beschäftigten müssen ihr Kommen und Gehen über das Zeiterfassungssystem registrieren.
- Der Zutritt unternehmensfremder Personen ist in den von NeuronUP festgelegten Fällen zu registrieren.
- Es gilt die von NeuronUP vorgegebene Richtlinie zur Passwortverwaltung.
- Die Computer sind so konfiguriert, dass sie nach einer Zeit der Inaktivität automatisch mit einem passwortgeschützten Bildschirmschoner gesperrt werden. Dennoch liegt es in der Verantwortung der Nutzer:innen, den Computer jedes Mal manuell zu sperren, wenn sie ihren Arbeitsplatz verlassen.
- Wenn Beschäftigte das Unternehmen verlassen, werden ihre Zugriffsrechte deaktiviert.
- Die Nutzer:innen erhalten für ihre Arbeit eine geschäftliche E-Mail-Adresse.
- In Verträge mit Dritten werden die entsprechenden Sicherheitsklauseln aufgenommen.
- Nutzer:innen dürfen niemals Antivirenprogramme oder andere zur Verbesserung der Sicherheit installierte Tools oder Kontrollen deaktivieren.
- Nutzer:innen dürfen beim Zugriff auf die Informationssysteme des Unternehmens keine Privatsphäre erwarten, da das Unternehmen (im Rahmen der geltenden Gesetze und zur Steuerung der Systeme und Durchsetzung der Sicherheit) alle in seinen Systemen gespeicherten Informationen überprüfen kann.
- Fragen zur Sicherheit können an [email protected] gerichtet werden.
- Wird eine Situation festgestellt, die die Informationssicherheit von NeuronUP beeinträchtigt, muss jede Person (Beschäftigte oder Externe) dies der Abteilungsleitung und/oder dem/der Sicherheitsbeauftragten melden.
8. Personenbezogene Daten
NeuronUP erhebt und verarbeitet personenbezogene Daten nur, wenn dies erforderlich ist, und im Einklang mit den Datenschutzvorschriften. Dafür verfügt NeuronUP über eine Richtlinie zum Schutz personenbezogener Daten, die den nach geltendem Recht erforderlichen Sicherheitsniveaus entspricht.
Es werden die erforderlichen technischen und organisatorischen Maßnahmen ergriffen, um den Schutz personenbezogener Daten zu gewährleisten.
9. Dritte
Wenn NeuronUP Dienstleistungen für andere Organisationen erbringt oder Informationen Dritter verarbeitet, werden diese über diese Informationssicherheitsrichtlinie sowie die daraus abgeleiteten Normen und Anweisungen informiert. Es werden Kanäle für die Meldung und Abstimmung zwischen den jeweiligen Sicherheitsausschüssen sowie Verfahren zur Reaktion auf Sicherheitsvorfälle eingerichtet.
Wenn NeuronUP Dienste Dritter nutzt oder Informationen an Dritte weitergibt, werden diese über diese Richtlinie und die für diese Dienste oder Informationen geltenden Sicherheitsvorschriften informiert. Die Dritten unterliegen den in den Vorschriften festgelegten Pflichten und können eigene Betriebsverfahren entwickeln, um diese zu erfüllen. Es werden spezifische Verfahren zur Meldung und Behebung von Vorfällen festgelegt. Es wird sichergestellt, dass das Personal Dritter in Sicherheitsfragen mindestens im gleichen Maße sensibilisiert ist, wie in dieser Richtlinie festgelegt.
Kann ein Dritter einen Aspekt der Richtlinie nicht wie in den vorstehenden Absätzen gefordert erfüllen, ist ein Bericht des/der Sicherheitsbeauftragten erforderlich, der die damit verbundenen Risiken und den Umgang mit ihnen darlegt. Dieser Bericht muss von den Verantwortlichen der betroffenen Informationen und Dienste genehmigt werden, bevor fortgefahren wird.
Datum der letzten Überprüfung: 22. November 2025
