Im Intranet abgelegt ist nicht zur Kenntnis gegeben

Die Richtlinie zur IT-Nutzung ist überarbeitet und freigegeben. Sie liegt im Intranet, die Rundmail ist verschickt, das Thema ist erledigt. Im Audit kommt die Frage: Wie stellen Sie sicher, dass die Beschäftigten die Richtlinie kennen? Die Antwort lautet: Sie liegt im Intranet.

Das ist eine Antwort auf die Frage, wo die Richtlinie steht. Nicht darauf, wer sie kennt.

Was der Grundschutz verlangt

Der Baustein ORP.1 Organisation fordert in A16 eine Richtlinie zur sicheren IT-Nutzung, mit Sicherheitszielen, Rollen, Ansprechperson und den Maßnahmen, die die Beschäftigten selbst umsetzen müssen. Was eine solche Richtlinie von einer Leitlinie unterscheidet, stand in Eine Leitlinie ist keine Richtlinie. Für die Bekanntgabe nennt A16 drei Sätze:

„Die Richtlinie SOLLTE allen Benutzenden zur Kenntnis gegeben werden. Jeder neue Benutzende SOLLTE die Kenntnisnahme und Beachtung der Richtlinie schriftlich bestätigen, bevor er die Informationstechnik nutzen darf. Benutzende SOLLTEN die Richtlinie regelmäßig oder nach größeren Änderungen erneut bestätigen.“

Das Intranet kommt in der Anforderung auch vor, aber an anderer Stelle: Die Richtlinie solle „zum Nachlesen für alle Mitarbeitenden frei zugänglich abgelegt werden, beispielsweise im Intranet“. Die Ablage ist der Ort zum Nachlesen. Der Nachweis ist die Bestätigung.

Wo die Rundmail nicht reicht

• Neue Beschäftigte. Die Rundmail ging an alle, die damals da waren. Wer im nächsten Monat anfängt, bekommt sie nie, und die Anforderung verlangt die Bestätigung vor der ersten Nutzung der IT, nicht irgendwann.
• Die geänderte Fassung. Wer die alte Richtlinie vor zwei Jahren bestätigt hat, hat die neue nicht bestätigt. Nach einer größeren Änderung beginnt die Zählung von vorn.
• Wer gerade fehlt. Elternzeit, Krankheit, ein halbes Jahr im Projekt beim Kunden. Die Rundmail liegt danach unter dreihundert anderen. Ohne eine Liste der Offenen fällt niemandem auf, dass sie fehlen.

Eine Quote ohne Fassung sagt deshalb wenig. „92 Prozent haben bestätigt“ ist erst dann eine Aussage, wenn dabei steht, welche Fassung und wer die übrigen acht Prozent sind.

Wie isidaten das abbildet

Im Richtlinienmanagement gilt die Kenntnisnahme je freigegebener Fassung: Wird eine neue Fassung freigegeben, müssen alle neu bestätigen, eine bloße Tippfehlerkorrektur ohne neue Freigabe löst das nicht aus. Die Zielgruppe besteht aus Personen, Personengruppen oder Teams, und gezählt wird nur, wer zu ihr gehört. Jede Bestätigung hält Person, Fassung, Zeitpunkt und eine Prüfsumme des Inhalts fest, auf Wunsch mit Unterschrift. Offene Kenntnisnahmen werden höchstens einmal pro Woche erinnert. Wer abwesend ist, bekommt eine befristete Ausnahme und fällt so lange aus der Quote heraus, statt sie still zu drücken. Ist für die Richtlinie eine Eskalation eingerichtet, geht sie in Stufen weiter, in der Grundeinstellung nach drei Tagen an die Führungskraft und nach sieben an Personal oder Compliance. Den Zugang zur IT sperrt isidaten nicht; das bleibt Sache des Eintrittsprozesses. Aber es zeigt, wer die aktuelle Fassung noch nicht bestätigt hat.

Die Prüffrage

Wie viele der Beschäftigten, die seit der letzten größeren Änderung Ihrer IT-Nutzungsrichtlinie angefangen haben, haben genau diese Fassung bestätigt?

Wenn Sie dafür erst die Personalabteilung fragen müssen, ist die Richtlinie abgelegt, aber nicht zur Kenntnis gegeben.

Quellen

BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein ORP.1 Organisation, Anforderung A16.