In einem früheren Artikel habe ich den DORA-Tempel vorgestellt, der 17 themenspezifische IKT-Sicherheitsrichtlinien umfasst

In einem früheren Artikel habe ich den DORA-Tempel vorgestellt, der 17 themenspezifische IKT-Sicherheitsrichtlinien umfasst. Diese decken eine breite Palette von Fachthemen ab – von IT-Betriebssicherheit über Projektmanagement bis hin zur Personalsicherheit. Doch eine zentrale Frage bleibt: Wer ist eigentlich verantwortlich für das Erstellen und Aktualisieren dieser Richtlinien?

Die Diskussionen, sowohl hier im Netzwerk als auch in den Unternehmen, zeigen, dass diese Frage alles andere als einfach ist. Es geht um verfügbare Kapazitäten, fachliche Expertise und nicht zuletzt um die Frage, wer im Unternehmen die Befugnis hat, solche Vorgaben zu erstellen. Die Verantwortung dafür liegt letztlich beim Leitungsorgan, das sicherstellen muss, dass die erforderlichen IKT-Sicherheitsrichtlinien vorhanden sind. Aber wie wird diese Aufgabe intern verteilt?

Das BSI weist unter anderem darauf hin, dass der Informationssicherheitsbeauftragte (ISB) für die Erstellung der Informationssicherheitsleitlinie verantwortlich ist. Darüber hinaus zählt zu seinen Aufgaben, „die Erstellung des Sicherheitskonzepts und zugehöriger Teilkonzepte und Richtlinien zu koordinieren.“ Diese Formulierung bietet meines Erachtens Handlungsspielraum, um die unternehmensspezifischen Gegebenheiten bei der Delegation von Aufgaben im Bereich der Vorgabenerstellung zu berücksichtigen. Gleichzeitig unterstreicht die Formulierung aber auch die Notwendigkeit einer klaren Abgrenzung von Rollen und Verantwortlichkeiten.

Um diese komplexe Thematik besser zu verdeutlichen und die Diskussion über mögliche Vor- und Nachteile zu erleichtern, habe ich ein visuelles Modell entwickelt, das die Verteilung der Aufgaben und Zuständigkeiten im Three-Lines-of-Defense-Modell aufzeigt.

Fühlt euch gerne eingeladen, das Modell zu studieren und auch zu hinterfragen. Ich freue mich über jede Meinung und konkrete Perspektive zu diesem Thema!