Datensicherheitsmanagement nach VGYS und ISO 27001 einrichten
Ein Datensicherheitsmanagementsystem (VGYS) schützt die Informationswerte einer Organisation, sichert Zugriffe ab und vereinheitlicht die Verarbeitung personenbezogener Daten. Auf Grundlage von…
Was enthält dieser Artikel?
Datensicherheit & ISO-Normen; 2025
Datensicherheitsmanagement nach VGYS und ISO 27001 einrichten
Ein Datensicherheitsmanagementsystem (VGYS) schützt die Informationswerte einer Organisation, sichert Zugriffe ab und vereinheitlicht die Verarbeitung personenbezogener Daten. Auf Grundlage von ISO 27001 und ISO 27701 verbindet es technische Maßnahmen mit einem Managementsystemansatz.
Zusammenfassung: Ein leistungsfähiges VGYS umfasst IT-Infrastruktur, Prozesse, Menschen und rechtliche Anforderungen.1. Grundlagen des VGYS: ISO 27001 & ISO 27701
Diese beiden Standards schaffen international anerkannte Rahmenbedingungen für Informationssicherheit und Datenschutz:
| Standard | Schwerpunkt | Anwendungsbereich |
|---|---|---|
| ISO 27001 | Informationssicherheitsmanagement | System, Zugriff, Verschlüsselung, Protokollierung |
| ISO 27701 | Datenschutz und Verwaltung personenbezogener Daten | KVKK, DSGVO und Datenschutzverfahren |
"ISO 27001 baut Sicherheit, ISO 27701 verwaltet Privatsphäre."
2. VGYS Schritt für Schritt einrichten
- Inventar der Informationswerte erstellen: Listen Sie alle digitalen und physischen Informationswerte auf, etwa Server, Cloud-Dienste und Verträge.
- Risikobewertung: Analysieren Sie für jeden Informationswert die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit.
- Richtlinien und Verfahren: Erstellen Sie Passwortrichtlinien, Vereinbarungen zur Datenweitergabe und Dokumente für Zugriffsberechtigungen.
- Zugriffskontrolle: Richten Sie eine rollenbasierte Zugriffskontrolle (RBAC) ein. Jeder Nutzer darf nur auf die für ihn freigegebenen Ressourcen zugreifen.
- Protokollierung und Überwachung: Protokollieren Sie Systemzugriffe, Datenübertragungen und Administratoraktionen täglich.
- Penetrationstest-Zyklus: Führen Sie mindestens zweimal jährlich Penetrationstests durch und dokumentieren Sie die Ergebnisse.
- Management von Datenschutzverletzungen: Erstellen Sie ein Verfahren zur Meldung von Datenschutzverletzungen anhand der 72-Stunden-Regel.
- Physische Sicherheit: Kontrollieren Sie den Zugang zu Serverräumen, Archiven und Geräten.
- Schulung: Alle Beschäftigten müssen mindestens einmal jährlich eine Schulung zum Informationssicherheitsbewusstsein erhalten.
- Prüfung: Sorgen Sie durch interne Audits und Managementbewertungen für kontinuierliche Verbesserung.
3. Einen unternehmensinternen Datenschutzausschuss einrichten
Für eine nachhaltige Datensicherheit im Unternehmen sollte ein Datenschutzausschuss (Data Protection Board) eingerichtet werden. Er trifft Sicherheitsentscheidungen auf Managementebene und sorgt für regelmäßige Kontrollen.
- Vorsitz: Informationssicherheitsleitung (CISO oder IT-Leitung)
- Mitglieder: Vertreter aus Recht, Personal, Betrieb und Marketing sowie des Verantwortlichen
- Aufgaben:
- Die jährliche Sicherheitsstrategie festlegen.
- Risikoanalyseberichte prüfen.
- Datenschutzverletzungen und Protokolle prüfen.
- Die Ergebnisse interner und externer Audits genehmigen.
- Die Sicherheitsauswirkungen neuer Technologien bewerten.
„Datensicherheit ist nicht nur ein IT-Thema, sondern eine Führungsaufgabe.“
4. B10 Digital Agency empfiehlt: ein integrierter VGYS-Ansatz
B10 verfolgt bei der organisationsspezifischen Einrichtung des VGYS einen Ansatz mit drei Ebenen:
- Technische Ebene: ISO-27001-Infrastruktur + Penetrationstests + Protokollüberwachungssysteme
- Managementebene: Datenschutzrichtlinien, Aufgabenbeschreibungen und Freigabeprozesse
- Compliance-Ebene: Integration von KVKK und DSGVO, Datenübertragungsnachweise und DPAs
Sind Sie bereit, VGYS zu installieren?
B10 Digital Agency bietet VGYS-Einrichtung, Protokollverwaltung, Zugriffsrichtlinien und Penetrationstest-Beratung nach ISO 27001 und ISO 27701.
Quellen und weiterführende Dokumente
Diese Dokumente dienen als Referenzen für die im Artikel behandelten Methoden und Regeln.