KI-generierte IT-Sicherheitspolitik für den Einsatz in Deutschland
PDF & Word - 2026 Aktualisiert

Diese IT-Sicherheitspolitik hat zum Ziel, die Informationssicherheit im Unternehmen systematisch zu gewährleisten, Risiken zu minimieren und die Vertraulichkeit, Integrität, Verfügbarkeit sowie Nichtabstreitbarkeit von Informationen und Systemen zu schützen. Sie dient der Einhaltung gesetzlicher und regulatorischer Anforderungen sowie der Schaffung eines einheitlichen Sicherheitsniveaus.

Der Geltungsbereich erstreckt sich auf alle IT-Systeme, Netzwerke, Datenverarbeitungsprozesse, Mitarbeiter, externen Dienstleister, Lieferanten und Dritte, die mit Unternehmensinformationen in Berührung kommen oder auf diese zugreifen. Dies umfasst sämtliche Standorte, Abteilungen und kritische Infrastrukturen (KRITIS), sofern zutreffend.

Die Geschäftsleitung verpflichtet sich zur kontinuierlichen Verbesserung des Informationssicherheitsmanagementsystems gemäß den Anforderungen des BSI IT-Grundschutzes und der ISO 27001. Diese Politik wird mindestens jährlich überprüft und bei Bedarf aktualisiert, um neuen Bedrohungen und regulatorischen Änderungen zu begegnen.

Die vorliegende IT-Sicherheitspolitik wird am 15. Oktober 2024 erstellt und dient dazu, die Vertraulichkeit, Integrität und Verfügbarkeit von Unternehmensdaten zu gewährleisten, Risiken zu minimieren und die Einhaltung gesetzlicher Vorgaben wie der Datenschutz-Grundverordnung (DSGVO) sicherzustellen.

Die grundlegenden Prinzipien der Informationssicherheit in dieser IT-Sicherheitspolitik umfassen Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität.

Diese IT-Sicherheitspolitik gilt für das gesamte Unternehmen und berücksichtigt die Anforderungen der geltenden deutschen Gesetze, einschließlich der Datenschutz-Grundverordnung (DSGVO) und der Netz- und Informationssystemsicherheitsrichtlinie (NIS-Richtlinie).

Die IT-Sicherheitspolitik ist ausgerichtet an den Standards des Bundesamtes für Sicherheit in der Informationstechnik (BSI), insbesondere dem BSI IT-Grundschutz, dem IT-Sicherheitsgesetz (IT-SiG 2.0) gemäß § 8b BSIG, dem NIS2-Umsetzungsgesetz sowie weiteren relevanten deutschen Vorschriften wie der KRITIS-Verordnung (falls zutreffend), dem Bundesdatenschutzgesetz (BDSG) und der DSGVO. Die Ausrichtung umfasst die Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOM), regelmäßige Risikoanalysen und die Meldung von Sicherheitsvorfällen an das BSI innerhalb der gesetzlich vorgeschriebenen Fristen.

Die IT-Sicherheitspolitik gilt für das gesamte Unternehmen, einschließlich aller Abteilungen und Standorte in Deutschland.

Der Anwendungsbereich umfasst alle IT-Systeme, Netzwerke und Daten des Unternehmens.

Die IT-Sicherheitspolitik gilt für alle Mitarbeiter, unabhängig von ihrer Position, sowie für externe Dienstleister, die Zugriff auf Unternehmensressourcen haben.

Die betroffenen Organisationseinheiten sind die IT-Abteilung, Verwaltung, Produktion sowie Verkauf und Marketing.

Externe Parteien wie Lieferanten, Dienstleister und Partnerunternehmen sind in den Anwendungsbereich der IT-Sicherheitspolitik einbezogen.

Die IT-Sicherheitspolitik deckt den Schutz sensibler Informationen ab und berücksichtigt gesetzliche Anforderungen wie die DSGVO.

Diese IT-Sicherheitspolitik tritt am 1. Januar 2025 in Kraft.

Vertraulichkeit bezeichnet die Eigenschaft von Informationen, die nur autorisierten Personen zugänglich gemacht werden dürfen, um unbefugten Zugriff zu verhindern.

Integrität umfasst die Gewährleistung, dass Daten vollständig, korrekt und unverändert bleiben, ohne unbefugte Modifikationen oder Löschungen.

Verfügbarkeit bedeutet, dass IT-Systeme und Daten jederzeit für autorisierte Nutzer zugänglich und funktionsfähig sind, um Ausfälle zu minimieren. Dies entspricht der BSI-Definition im IT-Grundschutz.

Nichtabstreitbarkeit bezeichnet die Eigenschaft, dass der Urheber einer Handlung oder die Integrität von Daten nicht bestritten werden kann (z. B. durch digitale Signaturen gemäß BSI-Standards).

Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass diese ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können (Art. 4 Nr. 5 DSGVO).

TOM (Technische und Organisatorische Maßnahmen) sind Maßnahmen gemäß Art. 32 DSGVO und BSI IT-Grundschutz, die zum Schutz personenbezogener Daten und der Informationssicherheit ergriffen werden.

KRITIS bezeichnet Kritische Infrastrukturen gemäß der KRITIS-Verordnung und § 10 BSIG, deren Ausfall erhebliche Auswirkungen auf das Gemeinwesen hätte.

CISO (Chief Information Security Officer) ist der IT-Sicherheitsbeauftragte gemäß § 8b BSIG bzw. IT-SiG, der für die Umsetzung und Überwachung der IT-Sicherheit verantwortlich ist.

Incident Response umfasst die geplanten Maßnahmen zur Erkennung, Reaktion und Nachbereitung von Sicherheitsvorfällen gemäß BSI IT-Grundschutz und NIS2-Anforderungen.

Die folgenden Abkürzungen werden in dieser IT-Sicherheitspolitik verwendet: BSI (Bundesamt für Sicherheit in der Informationstechnik), BSIG (BSI-Gesetz), DSGVO (Datenschutz-Grundverordnung), BDSG (Bundesdatenschutzgesetz), IT-SiG (IT-Sicherheitsgesetz), NIS2 (Netz- und Informationssysteme-Richtlinie 2.0), KRITIS (Kritische Infrastrukturen), CISO (Chief Information Security Officer), TOM (Technische und Organisatorische Maßnahmen), ISO 27001 (Internationaler Standard für Informationssicherheitsmanagementsysteme), RBAC (Role-Based Access Control), NAC (Network Access Control), DSFA (Datenschutz-Folgenabschätzung), WORM (Write Once Read Many), GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff).

Das Management ist verantwortlich für die strategische Ausrichtung der IT-Sicherheit, die Bereitstellung ausreichender Ressourcen, die Genehmigung von Sicherheitsrichtlinien und die regelmäßige Überprüfung der Einhaltung durch Audits.

Das Management verpflichtet sich, ein jährliches Budget für IT-Sicherheit bereitzustellen.

Das Management führt eine jährliche Überprüfung der IT-Sicherheitspolitik bis zum 31. Dezember 2025 durch.

Die IT-Abteilung ernennt einen dedizierten Sicherheitsbeauftragten und führt viermal pro Jahr Sicherheitsaudits durch.

Alle Mitarbeiter sind verpflichtet, an regelmäßigen Schulungen teilzunehmen, Vorfälle sofort zu melden, Passwortrichtlinien einzuhalten und bei Verdacht auf Sicherheitsvorfälle sofort zu handeln.

Die verpflichtenden Schulungen für Mitarbeiter umfassen Themen wie Phishing-Erkennung, Datenschutzgrundverordnung und sichere Passwortverwaltung.

Der CISO (Chief Information Security Officer) oder IT-Sicherheitsbeauftragte gemäß § 8b BSIG bzw. IT-SiG ist für die operative Umsetzung der IT-Sicherheit verantwortlich. Er berichtet direkt und unabhängig an die Geschïtsleitung, hat Weisungsfreiheit in Sicherheitsfragen und überwacht die Einhaltung aller relevanten Vorschriften. Der Datenschutzbeauftragte (gemäß DSGVO) ist für die Überwachung des Datenschutzes und die Beratung bei Datenschutzfragen zuständig. Die interne Revision führt unabhängige Prüfungen der IT-Sicherheits- und Datenschutzmaßnahmen durch und berichtet direkt an die Geschïtsleitung.

Die Organisation führt jährlich Risikoanalysen durch, wobei die nächste Risikoanalyse bis zum 31. Dezember 2025 geplant ist.

Für die Bewertung von IT-Sicherheitsrisiken werden die qualitative Methode und die hybride Methode angewendet.

Die Strategie zur Behandlung identifizierter IT-Sicherheitsrisiken umfasst das Vermeiden hochriskanter Aktivitäten, das Reduzieren von Risiken durch technische und organisatorische Maßnahmen, das Akzeptieren niedriger Risiken und das Übertragen von Risiken an Dritte, wo angemessen.

In der Risikoanalyse werden die Kategorien technische Risiken, menschliche Risiken, organisatorische Risiken und externe Risiken berücksichtigt.

Alle Risikoanalysen und -bewertungen werden schriftlich dokumentiert.

Der IT-Sicherheitsbeauftragte ist in Zusammenarbeit mit dem Management für das Risikomanagement verantwortlich.

Bei Verarbeitungstätigkeiten mit hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist gemäß Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Die verwendete Risikomatrix bewertet Risiken anhand von Eintrittswahrscheinlichkeit (gering, mittel, hoch) und Auswirkung (gering, mittel, hoch). Das IT-Risikomanagement ist an das unternehmensweite Risikomanagement angebunden, um eine ganzheitliche Betrachtung zu gewährleisten.

Die Zugriffssteuerung regelt die Vergabe, Verwaltung und Widerruf von Rechten auf IT-Systeme und Daten ausschließlich basierend auf dem Bedürfnis-zu-Wissen-Prinzip, um unbefugten Zugriff zu verhindern.

Das Bedürfnis-zu-Wissen-Prinzip wird strikt angewendet.

Die definierten Kategorien von Zugriffsrechten sind Leserechte, Schreibrechte und Adminrechte.

Jede Vergabe von Zugriffsrechten erfordert eine schriftliche Anfrage durch den Abteilungsleiter, eine Prüfung durch die IT-Abteilung und eine finale Genehmigung durch den Datenschutzbeauftragten.

Zugriffsrechte werden alle sechs Monate überprüft.

Inaktive Konten werden automatisch gesperrt.

Die IT-Abteilung und der Datenschutzbeauftragte sind für die Verwaltung von Zugriffsrechten verantwortlich.

Bei Verstößen gegen Zugriffsregeln drohen disziplinarische Maßnahmen, einschließlich Abmahnung, Kündigung oder strafrechtlicher Verfolgung, je nach Schweregrad des Verstoßes.

Alle Zugriffe werden protokolliert.

Die Zugriffssteuerung folgt dem Least-Privilege-Prinzip, bei dem Nutzern nur die minimal erforderlichen Rechte zugewiesen werden. Es wird Role-Based Access Control (RBAC) eingesetzt. Privilegierte Zugriffe werden gemäß BSI-Anforderungen (IT-Grundschutz) protokolliert, überwacht und regelmäßig überprüft.

Passwörter müssen mindestens 12 Zeichen lang sein und mindestens eine Großbuchstabe, einen Kleinbuchstaben, eine Ziffer und ein Sonderzeichen enthalten.

Passwörter müssen alle 90 Tage geändert werden, wobei die Wiederverwendung alter Passwörter verboten ist.

Passwörter werden mit der Methode bcrypt gespeichert.

Mitarbeiter sind verpflichtet, einen Passwort-Manager zu nutzen.

Diese Passwortrichtlinie tritt am 1. Januar 2025 in Kraft.

Ein System zur Kontrolle des physischen Zugriffs auf IT-Räume ist implementiert, wobei Schlüsselkarten und biometrische Systeme als Zugriffskontrollmethoden angewendet werden.

Videoüberwachung wird in sensiblen Bereichen angewendet.

Drei Sicherheitsmitarbeiter sind für den Schutz der IT-Infrastruktur zuständig.

Gegen Umweltrisiken wie Feuer oder Überschwemmung wurden Maßnahmen wie Feuerlöschanlagen und Klimaanlagen mit Backup ergriffen.

Ein detaillierter Notfallplan für physische Bedrohungen ist vorhanden.

Monatliche physische Sicherheitsüberprüfungen werden am 15. Tag des Monats durchgeführt.

Die IT-Geräte sind gegen physische Schäden versichert.

Die IT-Serverräume sind in einem separaten Gebäude physisch gelegen.

Im Netzwerk werden Hardware-Firewalls und Cloud-basierte Firewalls eingesetzt, die quartalsweise gewartet werden.

Ein Intrusion Detection System (IDS) ist im Netzwerk implementiert.

Das Netzwerk wird segmentiert, um den Datenaustausch zu kontrollieren.

Die Strategie für die Netzwerksegmentierung sieht vor, das Netzwerk in VLANs zu unterteilen, wobei sensible Bereiche wie Serverräume isoliert werden und der Zugriff durch ACLs gesteuert wird.

Network Access Control (NAC) wird eingesetzt, um den Zugriff auf das Netzwerk nur autorisierten und konformen Geräten zu gestatten (BSI IT-Grundschutz).

Regelmäßige Penetrationstests (mindestens jährlich) werden gemäß BSI-Standards durchgeführt, um Schwachstellen zu identifizieren und zu beheben.

Eine Zero-Trust-Architektur wird schrittweise implementiert, bei der jeder Zugriff kontinuierlich verifiziert wird (entsprechend BSI-Empfehlungen).

Sichere WLAN-Konfigurationen umfassen die Verwendung von WPA3-Verschlüsselung, separaten Gastnetzen und Zertifikatsbasierter Authentifizierung gemäß BSI IT-Grundschutz.

Schutzmaßnahmen gegen DDoS-Angriffe umfassen den Einsatz von Traffic-Filtern, Redundanz und Diensten von qualifizierten Providern (BSI-Standard 200-4).

Regelmäßige Backups der Daten werden täglich durchgeführt und 30 Tage aufbewahrt.

Die Backups werden in einem Cloud-Dienst und auf einem externen Datenträger gespeichert und verschlüsselt.

Der IT-Administrator, Herr Müller, ist für die Durchführung der Backups verantwortlich.

Regelmäßige Tests der Wiederherstellungsprozesse werden durchgeführt.

Im Falle eines Ausfalls oder Angriffs wird das System zunächst isoliert, um weiteren Schaden zu vermeiden.

Anschließend wird das neueste Backup aus dem Cloud-Dienst oder vom externen Datenträger ausgewählt.

Die Wiederherstellung erfolgt schrittweise durch Überprüfung der Integrität des Backups, Wiederherstellung der kritischen Systeme, Test des Systems auf Funktionalität sowie Dokumentation des Vorfalls und Benachrichtigung der relevanten Stellen.

Im Falle eines Ransomware-Angriffs werden das System isoliert, Daten aus Backups wiederhergestellt und die Behörden benachrichtigt.

Die Datensicherung erfolgt nach dem 3-2-1-Backup-Prinzip (drei Kopien, zwei unterschiedliche Medien, eine Offsite-Kopie). Die Unveränderlichkeit der Backups wird regelmäßig geprüft, z. B. durch WORM-Speicher. Aufbewahrungsfristen richten sich nach DSGVO und GoBD.

Die Verwendung von kommerzieller Software oder einer Cloud-basierten Lösung als Antiviren-Software ist für alle Mitarbeiter des Unternehmens vorgeschrieben.

Die Antiviren-Software muss regelmäßig aktualisiert werden, wobei das maximale Intervall für Updates sieben Tage beträgt.

Protokolle zur Erkennung und Beseitigung schädlicher Software sind verpflichtend und werden im Cloud-Speicher gespeichert.

Die Protokolle zur Malware-Prävention werden zwölf Monate aufbewahrt.

Eine Schulung der Mitarbeiter zur Virenschutz und Malware-Prävention ist vorgesehen.

Die IT-Abteilung ist für die Überwachung und Anwendung von Patches verantwortlich.

Der Patch-Prozess umfasst die regelmäßige Überwachung von Sicherheitsupdates durch die IT-Abteilung, eine Priorisierung basierend auf Kritikalität, Testen in einer Staging-Umgebung und anschließende Bereitstellung auf Produktionssystemen mit Dokumentation der Änderungen.

Für kritische Patches beträgt die maximale Verzögerung sieben Tage und für normale Patches 30 Tage.

Die Überwachung neuer Sicherheitsupdates erfolgt durch automatisierte Tools, RSS-Feeds und Newsletter.

Patches müssen vor der Anwendung in einer Testumgebung getestet werden.

Die monatliche Anwendung von Patches ist am 15. Tag des Monats geplant.

Die Arten von sensiblen Daten, die in der Verschlüsselungspolitik abgedeckt werden, umfassen personenbezogene Daten, finanzielle Daten und geschäftliche Geheimnisse.

Sensible Daten müssen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden.

Für die Verschlüsselung während der Übertragung ist das Protokoll TLS 1.3 vorgeschrieben.

Das Schlüsselmanagement umfasst die sichere Generierung, Verteilung, Speicherung und Rotation von Verschlüsselungsschlüsseln.

Es wird ein zentrales System zur Verwaltung der Schlüssel eingesetzt, das regelmäßige Audits und Zugriffsbeschränkungen vorsieht, um die Integrität und Vertraulichkeit zu gewährleisten.

In der Verschlüsselungspolitik werden die Compliance-Standards DSGVO, ISO 27001 und BSI-Standard berücksichtigt.

Es sind ausschließlich kryptografische Standards gemäß BSI-TR-02102 zu verwenden, wie AES-256, SHA-256 oder RSA-2048 bzw. höher. Die Verwendung veralteter Algorithmen (z. B. DES, MD5, SHA-1) ist streng verboten.

Die Verwendung von Verschlüsselung für E-Mails und andere Kommunikationen ist vorgeschrieben.

Die Anti-Spam-Maßnahmen für E-Mails umfassen die Aktivierung der Spam-Filterung, die Nutzung von Whitelist und Blacklist sowie die regelmäßige Überprüfung der Filter.

Verpflichtende Schulungen zur Phishing-Prävention für Mitarbeiter sind eingeführt und werden alle zwölf Monate durchgeführt.

Für Instant Messaging und andere Kommunikationskanäle gelten die Richtlinien, nur genehmigte Tools zu verwenden und Verschlüsselung für Nachrichten zu erzwingen.

Verdächtige E-Mails sollen sofort an den IT-Support weitergeleitet werden, wobei der Mitarbeiter den Absender, Betreff und das Datum notiert.

Der IT-Support prüft den Vorfall und informiert das Management innerhalb von 24 Stunden.

Die Zwei-Faktor-Authentifizierung ist für E-Mail-Zugänge verpflichtend.

Die akzeptablen Kommunikationskanäle sind firmeneigene E-Mail-Systeme, sichere Instant-Messaging-Apps und Videokonferenz-Tools.

Sensible Daten wie personenbezogene Informationen oder Geschäftsgeheimnisse dürfen nur verschlüsselt übertragen werden.

Nicht verschlüsselte E-Mails sind verboten, und Mitarbeiter müssen sensible Anhänge mit Passwortschutz versehen und den Empfänger vorab kontaktieren.

Eine Mobile Device Management (MDM)-Lösung wird für die Verwaltung mobiler Geräte eingesetzt.

Die Arten von mobilen Geräten für den Einsatz im Unternehmen sind Smartphones, Tablets und Laptops.

Ein Bring-Your-Own-Device (BYOD)-Szenario ist erlaubt, wobei für BYOD-Geräte die Sicherheitsmaßnahmen Geräteverschlüsselung, Passwortschutz und Remote Wipe verpflichtend sind.

Die minimale Passwortlänge für mobile Geräte beträgt acht Zeichen.

Regelmäßige Software-Updates für mobile Geräte sind verpflichtend.

Diese Mobile Geräte und BYOD-Politik wird am 1. Januar 2025 wirksam.

Mitarbeiter müssen den Verlust eines Geräts innerhalb von 24 Stunden melden.

Mitarbeiter werden zu Mobile Geräte und BYOD-Richtlinien geschult.

Bei der Auswahl von Cloud-Anbietern werden die Kriterien Datenschutzzertifizierung, Standort der Server und Kostenstruktur verwendet.

Ausschließlich Cloud-Anbieter mit Sitz in Deutschland werden genutzt.

Die derzeit genutzten Cloud-Dienste sind Microsoft Azure für Speicherung und Google Workspace für Kollaborationswerkzeuge.

Die Kategorien für die Klassifizierung von Daten in Cloud-Diensten sind Intern, Vertraulich und Streng Vertraulich.

Eine Pflicht zur Verschlüsselung aller Daten in Cloud-Diensten ist eingeführt.

Die maximale Downtime pro Jahr für Cloud-Dienste beträgt vier Stunden.

Die aktuellen Richtlinien für die Datenverwaltung in Cloud-Umgebungen umfassen regelmäßige Backups, Zugriffsbeschränkungen basierend auf Rollen und monatliche Audits der Datenintegrität in Cloud-Umgebungen.

Die genutzten Cloud-Service-Modelle sind IaaS, PaaS und SaaS.

Alle Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden.

Der Kanal für die Meldung von Sicherheitsvorfällen durch Mitarbeiter ist die E-Mail an das IT-Sicherheitsteam oder der direkte Anruf unter der Hotline-Nummer 0800-123456.

Die Rollen für die Initialmeldung von Vorfällen sind das IT-Sicherheitsteam und die Abteilungsleiter.

Die Schritte für die Untersuchung eines Sicherheitsvorfalls umfassen die erste Bewertung des Vorfalls, die Sammlung von Logs und Beweisen, die Analyse der Ursache und die Dokumentation der Erkenntnisse.

Die Untersuchung eines Vorfalls soll innerhalb von 48 Stunden nach Meldung abgeschlossen sein.

Die Reaktionsmaßnahmen für verschiedene Vorfallarten umfassen Systemisolation, Datenwiederherstellung und Benachrichtigung Betroffener.

Bei Vorfällen niedriger Schwere eskaliert das IT-Team den Vorfall direkt an den Abteilungsleiter innerhalb von vier Stunden.

Bei schweren Vorfällen wird der Vorfall sofort an den Datenschutzbeauftragten und dann innerhalb einer Stunde an den Vorstand gemeldet.

Eine obligatorische Nachbesprechung wird nach jedem Vorfall durchgeführt.

Sicherheitsvorfälle mit erheblicher Auswirkung sind gemäß IT-SiG bzw. NIS2-Umsetzungsgesetz unverzüglich, spätestens jedoch innerhalb von 72 Stunden an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Aufsichtsbehörden und betroffene Personen sind innerhalb der in DSGVO und IT-SiG vorgesehenen Fristen zu informieren. Ein detaillierter Incident-Response-Plan ist vorhanden und wird regelmäßig geübt. Forensische Analysen erfolgen unter Einhaltung der BSI-Richtlinien zur Beweissicherung und mit Unterstützung qualifizierter Experten, um die Integrität der Beweise zu wahren.

Ein Datenschutzbeauftragter wird ernannt.

Der Name des Datenschutzbeauftragten ist Dr. Anna Müller, und die E-Mail-Adresse lautet anna.mueller@datenschutz-gmbh.de.

Die verarbeiteten Arten von personenbezogenen Daten sind personenbezogene Daten von Mitarbeitern und Kundendaten.

Eine Datenschutzerklärung ist bereits vorhanden.

Die Verarbeitungstätigkeiten betreffen 150 Datensubjekte.

Die implementierten technischen und organisatorischen Maßnahmen (TOMs) umfassen Verschlüsselung von Daten, Zugangskontrollen und regelmäßige Backups.

Verträge mit Auftragsverarbeitern gemäß Art. 28 DSGVO sind vorhanden.

Bei einem Datenschutzvorfall wird der Vorfall innerhalb von 24 Stunden dem Datenschutzbeauftragten gemeldet.

Der Datenschutzbeauftragte bewertet die Schwere und informiert die Aufsichtsbehörde innerhalb von 72 Stunden, falls erforderlich.

Betroffene Personen werden umgehend benachrichtigt, und eine interne Untersuchung und Dokumentation folgt, um zukünftige Vorfälle zu verhindern.

Ein Programm zur Schulung der Mitarbeiter über IT-Sicherheitsthemen ist eingeführt.

Die Themen in der Schulung über IT-Sicherheit umfassen Phishing-Erkennung, Passwort-Management und Datenschutzgrundverordnung.

Die Inhalte der IT-Sicherheitsschulung umfassen interaktive Module zu Risiken im Internet, Best Practices für den Umgang mit sensiblen Daten und praktische Übungen zu Sicherheitsmaßnahmen.

Die Schulungen werden zweimal pro Jahr durchgeführt und sind für alle Mitarbeiter verpflichtend.

Die Schulungen werden in den Formaten Online-E-Learning und Webinare durchgeführt.

Der IT-Sicherheitsbeauftragte der Firma ist als Koordinator für die Schulungen verantwortlich.