craftvia/seed/isms-vorlagenpaket-v2/richtlinien/R05_Personalsicherheit-und-Awareness.md

Richtlinie Personalsicherheit und Awareness

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_HR_LEAD}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt Eignung, vertragliche Verpflichtung sowie Schulung und Sensibilisierung des Personals. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (1:1 aus VDA ISA; [MUSS]/[SOLL] und – bei entsprechendem Schutzbedarf – [HOCH]/[SEHR HOCH]) und Umsetzung bei {{ORG_NAME}} (gebündelt, anzupassen wo erforderlich).

3.1 Qualifikation für sensible Tätigkeiten

Anforderungsbezug: {{#if FLAG_FW_TISAX}}VDA ISA 2.1.1{{/if}}{{#if FLAG_FW_ISO27001}}{{#if FLAG_FW_TISAX}} · {{/if}}ISO/IEC 27001 7.2, A.6.1{{/if}}

Anforderung

{{#if FLAG_FW_TISAX}} {{#if FLAG_FW_ISO27001}}Anforderungen nach VDA ISA 2027:{{/if}}

• [MUSS] Sensible Arbeitsbereiche und Tätigkeiten sind bestimmt.

• [MUSS] Die Anforderungen an Beschäftigte hinsichtlich ihrer Stellenprofile sind bestimmt und erfüllt.

• [MUSS] Die Identität potenzieller Beschäftigter wird verifiziert (z. B. Prüfung von Ausweisdokumenten). {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Die persönliche Eignung potenzieller Beschäftigter wird mit einfachen Methoden überprüft (z. B. Vorstellungsgespräch). {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Eine erweiterte Eignungsprüfung abhängig vom Arbeitsbereich und der Tätigkeit wird durchgeführt (z. B. Assessment-Center, Prüfung von Referenzen, Zeugnissen und Führungszeugnissen). {{/if}} {{/if}}

{{#if FLAG_FW_ISO27001}} {{#if FLAG_FW_TISAX}}Anforderungen nach ISO/IEC 27001:{{/if}}

• [ISO 7.2] Erforderliche Kompetenzen sind zu bestimmen und sicherzustellen; entsprechende Nachweise sind zu führen.

• [ISO A.6.1] Hintergrundüberprüfungen von Bewerbern sind angemessen zu den Geschäftsanforderungen und gesetzeskonform durchzuführen. {{/if}}

Umsetzung bei {{ORG_NAME}}

Sensible Arbeitsbereiche und Tätigkeiten sind im Register sensibler Tätigkeiten ({{LINK:REG-SENS-ROLES}}) bestimmt und mit der geforderten Prüftiefe hinterlegt; Anforderungen an Positionen sind in Stellenbeschreibungen dokumentiert und werden erfüllt. Identitätsverifizierung sowie die persönliche und – bei sensiblen Rollen – erweiterte Eignungsprüfung (Gespräch, Referenzen, Führungszeugnis im rechtlich zulässigen Rahmen) erfolgen nach dem Eignungs- und Verifizierungsverfahren ({{LINK:VA-14}}); Verantwortlich: {{ROLE_HR_LEAD}}; Nachweis in der Personalakte.

3.2 Vertragliche Verpflichtung des Personals

Anforderungsbezug: {{#if FLAG_FW_TISAX}}VDA ISA 2.1.2{{/if}}{{#if FLAG_FW_ISO27001}}{{#if FLAG_FW_TISAX}} · {{/if}}ISO/IEC 27001 A.6.2, A.6.5, A.6.6{{/if}}

Anforderung

{{#if FLAG_FW_TISAX}} {{#if FLAG_FW_ISO27001}}Anforderungen nach VDA ISA 2027:{{/if}}

• [MUSS] Eine Vertraulichkeitsverpflichtung ist in Kraft.

• [MUSS] Eine Verpflichtung zur Einhaltung der Informationssicherheitsrichtlinien ist in Kraft. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Eine über den Arbeitsvertrag hinausgehende Vertraulichkeitsverpflichtung ist in Kraft. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Informationssicherheitsaspekte werden in den Arbeitsverträgen der Beschäftigten berücksichtigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Ein Verfahren zum Umgang mit Verstößen gegen diese Verpflichtungen ist beschrieben. {{/if}} {{/if}}

{{#if FLAG_FW_ISO27001}} {{#if FLAG_FW_TISAX}}Anforderungen nach ISO/IEC 27001:{{/if}}

• [ISO A.6.2] Die arbeitsvertraglichen Vereinbarungen legen die Verantwortlichkeiten für die Informationssicherheit fest.

• [ISO A.6.5] Fortbestehende Informationssicherheitsverantwortlichkeiten nach Beendigung oder Wechsel des Beschäftigungsverhältnisses sind zu definieren und durchzusetzen.

• [ISO A.6.6] Vertraulichkeits- bzw. Geheimhaltungsvereinbarungen sind zu identifizieren, zu dokumentieren und regelmäßig zu überprüfen. {{/if}}

Umsetzung bei {{ORG_NAME}}

Alle Beschäftigten werden bei Eintritt vertraglich zur Vertraulichkeit und zur Einhaltung der Informationssicherheitsrichtlinien verpflichtet ({{ROLE_HR_LEAD}}); Informationssicherheitsaspekte sind Bestandteil der Arbeitsverträge, die Vertraulichkeit gilt nachvertraglich fort. Ein dokumentiertes Verfahren zum Umgang mit Verstößen (siehe {{LINK:VA-14}}) ist etabliert; der Nachweis wird in der Personalakte geführt.

3.3 Sensibilisierung und Schulung

Anforderungsbezug: {{#if FLAG_FW_TISAX}}VDA ISA 2.1.3{{/if}}{{#if FLAG_FW_ISO27001}}{{#if FLAG_FW_TISAX}} · {{/if}}ISO/IEC 27001 7.3, A.6.3{{/if}}

Anforderung

{{#if FLAG_FW_TISAX}} {{#if FLAG_FW_ISO27001}}Anforderungen nach VDA ISA 2027:{{/if}}

• [MUSS] Beschäftigte werden geschult und sensibilisiert. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Ein Konzept für Sensibilisierung und Schulung der Beschäftigten ist erstellt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Zielgruppen für Schulungs- und Sensibilisierungsmaßnahmen (z. B. Führungskräfte, Administratoren, Beschäftigte mit Zugang zu Kundennetzen, Fertigungspersonal) sind identifiziert und im Konzept berücksichtigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Das Konzept ist durch die verantwortliche Leitung genehmigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Schulungs- und Sensibilisierungsmaßnahmen werden regelmäßig und anlassbezogen durchgeführt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Die Teilnahme an Schulungs- und Sensibilisierungsmaßnahmen wird dokumentiert. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Ansprechpartner für Informationssicherheit sind den Beschäftigten bekannt. {{/if}} {{/if}}

{{#if FLAG_FW_ISO27001}} {{#if FLAG_FW_TISAX}}Anforderungen nach ISO/IEC 27001:{{/if}}

• [ISO 7.3] Personen unter Aufsicht der Organisation müssen sich der Politik, ihres Beitrags und der Folgen von Verstößen bewusst sein.

• [ISO A.6.3] Beschäftigte erhalten angemessene Awareness, Aus- und Weiterbildung sowie regelmäßige Aktualisierungen der relevanten Richtlinien. {{/if}}

Umsetzung bei {{ORG_NAME}}

Ein von der Leitung genehmigtes, rollenspezifisches Schulungs-/Awareness-Konzept (BL-HR-01) ist etabliert; Beschäftigte werden bei Eintritt und danach mindestens {{REVIEW_CYCLE}} sowie anlassbezogen geschult (Ablauf siehe {{LINK:VA-12}}). Zielgruppen sind identifiziert, Teilnahmenachweise werden im {{TOOL_NAME}} geführt, Ansprechpartner für Informationssicherheit sind bekannt; die Wirksamkeit wird (z. B. Phishing-Simulation) geprüft.

{{#if FLAG_FW_ISO27001}}

3.4 Vorgehen bei Verstößen

Anforderungsbezug: ISO/IEC 27001 A.6.4

Anforderung

• [ISO A.6.4] Ein Disziplinarverfahren für Verstöße gegen die Informationssicherheit ist festzulegen und zu kommunizieren.

Umsetzung bei {{ORG_NAME}}

Für Verstöße gegen die Informationssicherheitsvorgaben besteht ein abgestuftes, dokumentiertes Vorgehen, das im Voraus kommuniziert ist. Es berücksichtigt Art und Schwere des Verstoßes, Vorsatz oder Fahrlässigkeit, Wiederholung sowie den Schulungsstand der betroffenen Person. Das Verfahren wird von {{ROLE_HR_LEAD}} in Abstimmung mit {{ROLE_ISB}} geführt; arbeitsrechtliche Vorgaben und Mitbestimmungsrechte werden gewahrt. Die Anwendung wird vertraulich dokumentiert.

{{/if}}

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_HR_LEAD}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_HR_LEAD}}	Verpflichtung, Eignung
{{ROLE_ISB}}	Awareness/Schulung

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_HR_LEAD}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

• Zugehörige Verfahren: {{LINK:VA-12}}
• Technische Sicherheits-Baseline: {{LINK:BASELINE}}
• ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
• Nachweisregister: {{LINK:NACHWEISREGISTER}}
• Weitere: {{LINK:R01}}, {{LINK:R06}}