Wie kann es sein, dass bei einigen Firmen die HR-Leiter und HR-Manager den ersten Schritt zur Einbeziehung von Experten in die Vorbereitung auf NIS2 (Network and Information Security V2) tun? Die Antwort ist, dass dieser Fachbereich reichlich viel in diesem Labyrinth der Informationssicherheit zu suchen hat.  Auf der Grundlage der bisherigen Erfahrungen unserer Dienstleistung NIS2-Mentoring versuchen wir, diese Frage zu beantworten.

Die Informationssicherheit ist nicht (nur) eine innere Angelegenheit der IT

Die NIS2-Richtlinie (Network and Information Security V2) handelt sowohl von dem Schutz der  Infrastruktur als auch der Informationen.

Niemand soll sich dadurch beirren lassen, dass das ungarische NIS2-Gesetz bei der nationalen Umsetzung der Richtlinie schließlich einen Titel bekam, in dem nur noch der Cyberschutz übrig geblieben ist, NIS2 handelt unabhängig davon auch in Ungarn von dem Informationsschutz.

Der Cyberschutz ist die Kunst der Abwehr von Angriffen aus dem Cyberraum, während der Informationsschutz ein streng geregeltes, bewusstes und professionelles Verfahrenssystem zur Verwaltung und Speicherung von Daten bei der Firma ist. Der Cyberschutz ist ebenfalls ein wichtiges Element, auch wenn nur eine schmale Scheibe davon.

Die Informationssicherheit beginnt nicht bei der IT und endet auch nicht dort. Die IT ist selbstverständlich ein sehr wichtiger Akteur, aber  im Zentrum der Informationssicherheit steht derzeit noch der Mensch. Der Mensch, der selbst bei dem größten Wohlwollen noch als schwächster Punkt des Schutzes angesehen werden kann.

Mit den GDPR-Regeln vertraut

Wenn man eine Rechtsnorm nennen sollte, die in der Europäischen Union ausgesprochen für den Schutz der Informationen geschaffen wurde, dann würde zuerst fast ausnahmslos jedem die Datenschutzgrundverordnung einfallen. Kein Wunder, da seit dem 25. Mai 2018 alle Firmen die Datenschutzgrundverordnung (nachstehend kurz DSGVO genannt) kennenlernen mussten, bei denen personenbezogene Daten verarbeitet werden, zum Beispiel Aufzeichnungen über die Beschäftigten oder Privatpersonen als Kunden geführt werden.

Angesichts dessen, dass die personenbezogenen und besonderen Daten in den HR-Abläufen und HR-Instrumenten gegenüber den anderen geschäftlichen Abläufen in der Regel überrepräsentiert sind, hat die DSGVO bereits seit Jahren eine bedeutende Auswirkung auf das Tagesgeschäft der HR-Abteilungen.

Das Kennenlernen der Vorschriften der  DSGVO  und ihre Implementierung ins Tagesgeschäft der Firma sind bereits in den meisten HR-Abteilungen erfolgt.

NIS2 ist zwar keine neue DSGVO, aber es ist in Besitz von DSGVO-Erfahrungen kein Wunder, wenn mancherorts die HR-Teams als erste die Bedeutung der neuen Vorschriften in Verbindung mit dem Informationsschutz verstehen und erkennen und als erste auf die Herausforderungen aufmerksam werden, denen zu entsprechen ist.

Die ganze Organisation im Blick haben

Die Gesellschaften können das NIS2-Anforderungssystem nur so verstehen und ihrer Situation entsprechend umsetzen, wenn sie es als IT-Sicherheitsmanagementsystem behandeln, das über den Organisationseinheiten steht. Es ist sehr schwierig und in vielen Fällen auch nicht möglich, die Maßnahmen zum Informationsschutz und deren Betrieb ausschließlich einer einzigen Organisationseinheit zuzuweisen.

In einem zeitgemäßen und gut funktionierenden HR-Team scheint in vielen Fällen die Fähigkeit auf,  die ganze Organisation im Blick zu haben, und die Bedürfnis, organisatorische Silos zu demontieren, auf einer höheren Ebene als im Falle einer herkömmlichen IT-Abteilung.

Davon ausgegangen kann die Folge logisch und gerechtfertigt erscheinen, dass in Verbindung mit dem genaueren Kennenlernen der NIS2-Anforderungen in vielen Fällen die HR-Teams die Initiative ergreifen.

Es geht jedoch nicht darum, dass die Mitarbeiter der HR-Abteilung sich bereit fühlen, sich allein, mit dem notwendigen Wissen und Erfahrungen ausgestattet den NIS2-Herausforderungen zu stellen. Anstatt dessen übernehmen sie eher eine koordinierende Rolle zwischen der IT, den Verantwortlichen für die internen geschäftlichen Abläufe und dem eventuellen externen Beratungspartner.

Und dann gibt es noch die Schulungen

Es kann nicht genug betont werden, dass es sich zwar bei NIS2 grundsätzlich um ein Anforderungssystem technologischer Art handelt, darf die menschliche Seite der Informationssicherheit auch nicht vergessen werden.

Die Fehler der Mitarbeiter oder der Führungskräfte stellen auch bei Abläufen und Software, die mit der sorgfältigsten Planung ausgestaltet und beinahe zur Vollkommenheit gebracht wurden, eine enorme Gefahr für die Informationssicherheit dar, und dies wird sich wahrscheinlich auch in der Zukunft nicht ändern.

Ein Kapitel der NIS2-Anforderungen handelt ausgesprochen von den Schulungen und davon, dass das Sicherheitsbewusstsein der Firmen kontinuierlich gestärkt werden muss, sowohl auf der Ebene der Individuen als auch auf der Ebene der Organisation. Es ist ausgesprochen gut, wenn die Veranstaltung von sog. Cyberhygiene-Praktiken der HR zugewiesen wird, um eine diesbezügliche fortlaufende und effektive Vorbereitung der Kollegen durchführen zu können. Die HR-Abteilung ist nämlich in vielen Fällen am besten gewappnet, um bei einer Firma erfolgreiche und effektive Schulungen abzuwickeln.

Wir behaupten nicht, dass das auf Personalangelegenheiten spezialisierte Team bei jeder Gesellschaft der idealste Akteur in der Koordinierung der NIS2-Vorbereitung ist, aber es ist beinahe sicher, dass eine proaktive und versierte HR-Abteilung viel dazu beitragen kann, dass die Erfüllung der komplexen Anforderungen von NIS2 die minimalste negative Auswirkung auf die vorhandene Organisationskultur hat.