Die NDA-Pflicht bleibt offen
Den Haken bei „NDA-pflichtig" zu setzen erledigt nichts. Solange keine Unterzeichnung hinterlegt ist, weist das Projekt die Partei weiter als offen aus. Warum das der Sinn der Sache ist und weshalb eine abgelehnte Sicherheitsfreigabe mehr wert ist als ein leeres Feld.
Ein externer Dienstleister kommt ins Projekt. Jemand legt ihn als beteiligte Partei an und setzt den Haken bei NDA-pflichtig. Der Haken fühlt sich an wie eine Erledigung. Er ist keine.
Im Projektregister bleibt die Partei so lange als offen ausgewiesen, bis eine Unterzeichnung hinterlegt ist. Nicht als erledigt mit Anmerkung, nicht als in Bearbeitung. Offen. Der Haken hält fest, dass ein NDA nötig ist, und genau dadurch entsteht die Lücke, die vorher niemand gesehen hätte.
Der Unterschied zwischen vereinbart und unterschrieben
In der Praxis liegt zwischen beidem oft ein Vierteljahr. Das NDA wurde im Kickoff besprochen, die Rechtsabteilung hat eine Fassung geschickt, danach lief das Projekt einfach weiter. Fragt ein halbes Jahr später jemand nach, beginnt die Suche in Postfächern.
Der Punkt ist nicht, dass eine Software das Unterschreiben erzwingen könnte. Sie kann nur dafür sorgen, dass die Lücke an der Stelle sichtbar bleibt, an der sie entstanden ist, statt in einer Vertragsablage zu verschwinden, in die während des Projekts niemand schaut.
Der Schutzbedarf steht am Anfang, nicht am Ende
Sicherheitsbetrachtungen kommen in Projekten oft zu spät, meist kurz vor dem Produktivgang, wenn Entscheidungen längst gefallen sind. Das Register dreht die Reihenfolge um: Das Projekt trägt einen Schutzbedarf, und dieser bestimmt, ob eine Risikobewertung und eine Sicherheitsfreigabe überhaupt nötig sind.
Beides wird mit Status, Datum und freigebender Person dokumentiert. Die Risikobewertung durchläuft ausstehend, abgeschlossen und freigegeben. Die Sicherheitsfreigabe kennt vier Zustände, und der interessanteste davon ist abgelehnt.
Die meisten Systeme kennen nur freigegeben oder eben nicht freigegeben, was in der Praxis alles heißen kann: nicht beantragt, vergessen, abgelehnt. Eine ausdrücklich abgelehnte Freigabe ist dagegen eine dokumentierte Entscheidung mit Datum und Namen. Wer sie später überstimmt, tut das sichtbar.
Daneben steht nicht erforderlich als eigener Zustand. Ein Projekt ohne Freigabebedarf ist etwas anderes als ein Projekt, dessen Freigabe fehlt, und die Unterscheidung geht verloren, sobald beides als leeres Feld dasteht.
Was sonst am Projekt hängt
Maßnahmen tragen Status und Fälligkeit, offene und überfällige werden gesondert ausgewiesen. Verknüpfen lassen sich IT-Systeme, Software, Netzwerke, Prozesse, Informationen, Räume, Standorte, Personen, Dienstleister und Risikoanalysen. Ein Feld kennzeichnet datenschutzrelevante Vorhaben.
Die Assets werden dabei referenziert, nicht kopiert. Ein IT-System bleibt zentral gepflegt und kann gleichzeitig in mehreren Projekten hängen. Änderungen am Stammdatensatz wirken überall, wo er verknüpft ist.
Der Rest ist unspektakulär: Projektnummer im Format PRJ-NNNNN, automatisch fortlaufend. Typ intern oder extern, was die Sicht im Cockpit steuert. Externe Projekte beziehen häufiger externe Parteien ein, und damit sind wir wieder bei den NDAs.
Mehr auf der Modulseite zum Projektregister.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.