Wenn mehrere Stellen für Cybersicherheit zuständig sind, ist noch nicht geklärt, wer im Ernstfall entscheidet.
Wenn mehrere Stellen für Cybersicherheit zuständig sind, ist noch nicht geklärt, wer im Ernstfall entscheidet.
Die erste Zuständigkeitsannahme: Zugänge liegen bei der IT. Die IT kann Konten technisch einrichten. Sie weiß aber nicht automatisch, wer welchen Zugriff geschäftlich braucht, wer ihn freigibt und wann er wieder entzogen werden muss. Bleibt diese Entscheidung offen, wird ein Berechtigungsproblem als Technikaufgabe behandelt, obwohl die Zuständigkeit fehlt.
Die zweite Annahme: Der Datenschutz kümmert sich um Vorfälle. Datenschutzexpertise kann bei der Einordnung eines Vorfalls wichtig sein. Der Betrieb braucht zugleich eine Person, die die Lage koordiniert, Prioritäten setzt und dafür sorgt, dass die richtigen Stellen einbezogen werden. Mit dem Hinweis auf Datenschutz sind diese Aufgaben nicht automatisch verteilt.
Die dritte Annahme: Der Dienstleister überwacht alles. Ein IT-Dienstleister kann Hinweise liefern und technische Maßnahmen unterstützen. Er kennt aber nicht automatisch die geschäftlichen Prioritäten des Unternehmens und kann nicht für jede betriebliche Entscheidung zuständig sein. Wer entscheidet, ob ein System abgeschaltet wird? Wer sorgt dafür, dass der Betrieb weiterarbeiten kann? Wer koordiniert die nächsten Schritte?
Keine dieser Rollen ist das Problem. Es wird kritisch, wenn jede davon annimmt, eine andere habe die Entscheidung bereits getroffen. Dann sind Aufgaben verteilt, aber die Verantwortung für den Übergang zwischen ihnen bleibt offen.
Ein praktischer Test: Nehmen Sie einen neuen Zugang und einen möglichen IT-Vorfall. Klären Sie für beide Situationen, wer handelt, wer entscheidet, wer vertreten darf und wer informiert werden muss. Wenn die Antwort bei einer Frage nur aus „IT“, „Datenschutz“ oder „Dienstleister“ besteht, fehlt noch eine konkrete Zuständigkeit.
Wer entscheidet bei Ihnen, wenn ein digitaler Vorfall nicht mehr nur ein IT-Thema ist?