-
NIS 2: Warum die Schulung der Geschäftsleitung mehr sein muss als eine Pflichtveranstaltung
Mit der Umsetzung der NIS-2-Richtlinie in das BSI-Gesetz rückt Cybersicherheit endgültig auf die Ebene der Unternehmensleitung. Für wichtige und besonders wichtige Einrichtungen bedeutet das: Die Geschäftsleitung muss Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Gleichzeitig besteht eine regelmäßige Schulungspflicht. Dabei geht es nicht darum, Geschäftsführer zu IT-Sicherheitsexperten auszubilden. Entscheidend ist vielmehr, dass sie Cyberrisiken als Geschäftsrisiken einordnen, die Angemessenheit von Maßnahmen…
-
AI Act und Shadow AI: Wissen Sie, welche KI Ihr Unternehmen nutzt?
Bevor Unternehmen über AI Act Compliance sprechen können, müssen sie eine wesentlich einfachere Frage beantworten: Welche KI setzen wir eigentlich ein? Das klingt selbstverständlich. In der Praxis ist es das häufig nicht. Mitarbeiter nutzen ChatGPT, Claude, Gemini oder Perplexity. Microsoft Copilot und andere KI-Funktionen werden über bestehende Softwarelizenzen verfügbar. Fachbereiche testen spezialisierte Anwendungen oder Dienstleister setzen KI innerhalb ausgelagerter Prozesse…
-
KI Governance in der Praxis: Von der Richtlinie zum funktionierenden Prozess
Ist bekannt, welche KI-Anwendungen ein Unternehmen nutzt und welche Anforderungen dafür gelten, beginnt die eigentliche Implementierungsarbeit. Denn eine KI-Richtlinie allein schafft noch keine wirksame Governance. Entscheidend ist, wie Verantwortlichkeiten, Risiken, Freigaben und Kontrollen in bestehende Unternehmensprozesse integriert werden. Keine regulatorische Parallelwelt für KI schaffen KI betrifft zahlreiche bereits vorhandene Strukturen. Ein externer KI-Anbieter gehört in das Third Party Risk Management.…
-
ISACA Germany Chapter veröffentlicht Leitfaden zu IT-Compliance
Der ISACA ist der weltweit führende Berufsverband für die Themen IT-Revision und IT-Governance. Bekannt ist der ISACA vor allem durch sein international anerkanntes Framework COBIT. Neben COBIT veröffentlichen auch die ISACA Landesverbände immer wieder interessante und praxisorientierte Leitfäden durch ihre Fachgruppen. Im Januar 2021 hat die Fachgruppe „IT-Compliance“ des ISACA Germany Chapters mit Hilfe des dpunkt.Verlags den Leitfaden „IT-Compliance –…
-
ISO27001: Nach dem Audit ist vor dem Audit
Das Zertifizierungsaudit ist überstanden, vor einer Weile sind Report und Urkunde angekommen, die bestätigen, dass man ein funktionierendes Informationssicherheitsmanagement System besitzt (kurz „ISMS“). Nun lehnen sich viele zurück „endlich geschafft, nun können wir wieder arbeiten.“ Dieser vermeintlich harmlose Satz birgt allerdings jede Menge Sprengstoff in sich. Erst einmal ist der Satz ein Zeichen das Informationssicherheit und all die Prozesse, die…
-
Herausforderungen der IT-Strategie in agilen Organisationen
Die Bundesfinanzanstalt (BaFin) hat in ihrem letzten Rundschreiben 10/2017 für BAIT die Mindestanforderungen an die IT-Strategie konkretisiert und empfehlt den Geschäftsführern die Anforderungen zur strategischen Ausrichtung von IT-Systemen. Dafür sollte die gesamte IT-Infrastruktur von Vorstand und Aufsichtsrat einmal jährlich einer genauen Überprüfung unterzogen werden.
-
Von der Kür zur Pflicht: B3S für Krankenhäuser
von Dr. Klaus-Dieter Krause Das Thema Sicherheit beim Einsatz von digitalen Prozessen spielt in Krankenhäusern nicht erst seit dem Frühjahr 2016 eine wichtige Rolle, als die durch die Ransomware „Locky“ bekannt gewordenen Zwischenfälle unzählige Prozesse in den betroffenen Häusern nachhaltig negativ beeinflussten. Der Kostendruck sowie die u.a. damit verbundene Digitalisierung vieler Prozesse in den Krankenhäusern hat dazu geführt, dass die…
-
BYOD in Unternehmen
Welche Risiken durch BYOD in Unternehmen entstehen und wie mit diesen umgegangen werden kann “Bring your own device“ (BYOD) bezeichnet die Nutzung privater mobiler Geräte, wie z.B. Tablet-PCs, Notebooks oder Smartphones, innerhalb von Unternehmensnetzwerken. Auf diesen mobilen Geräten wird auf vom Arbeitgeber bereitgestellte Ressourcen wie E-Mail, Kontakte, Kalender, Datenbanken sowie persönliche Einstellungen und Daten zugegriffen. Die Nutzung privater IT-Geräte in…
-
Compliance Management – Eine Standortbestimmung
Pragmatisch betrachtet sollten umgesetzte Compliance Management Systembestandteile in ihren Ausführungen sowie ihrer Umsetzung in regelmäßigen Zeitabständen, schlechtesten Falls mindestens einmal im Geschäftsjahr, hinterfragt werden. Als Basisverständnismodel hierfür eignet sich das so genannte „Three Line of Defense-Model“ (TLoD) welches aus dem Risikomanagement hervorgegangen ist und mittlerweile als gängige Methode angesehen wird. Das Modell dient im Wesentlichen dazu Risiken, die in einer…
-
Cloud Computing, seine Betriebsformen und Servicemodelle – eine Einführung
Der Hintergrund der Bezeichnung Cloud Computing liegt in der schematischen Darstellung des Internets in Form von Zeichnungen. Dafür wird eine Ansammlung stilisierter vernetzter Computer verwendet, um die eine Wolke gezeichnet wird, die das Internet darstellt. Im Zusammenhang mit Cloud Computing symbolisiert die Wolke die Unbekanntheit des physischen und geographischen Speicherortes für den Benutzer1. Zum Cloud Computing existiert eine Vielzahl von…
