Eine IT-Nutzungsrichtlinie (auch IT-Nutzungsordnung oder Acceptable Use Policy genannt) regelt, was alle, die Ihre Systeme nutzen, tun dürfen und was nicht, und was das Unternehmen kontrollieren darf. Acceptable Use Express ist ein Selbstbedienungs-Workshop, mit dem ein europäisches KMU eine solche Richtlinie in verständlicher Sprache verfasst, mit Bezug zur DSGVO und zu ISO/IEC 27001 und mit Kapiteln zu Remote-Arbeit, privaten Geräten und generativer KI. Sie erhalten einen einsatzfähigen Entwurf im Namen Ihres Unternehmens, den Ihr eigener Berater prüfen sollte.
Ein kurzes, lesbares Dokument, das Ihre Sicherheitsabsichten in Alltagsregeln für Ihre Mitarbeitenden übersetzt
Die meisten kleinen und mittleren Unternehmen haben Computer, ein Postfach pro Person, Dateiablagen in der Cloud, einige Fachanwendungen und immer mehr Smartphones und Laptops, die das Büro verlassen. Oft fehlt ein einziges Dokument, das in verständlicher Sprache festhält, wie diese Werkzeuge genutzt werden dürfen. Dieses Dokument ist die IT-Nutzungsrichtlinie. In Frankreich heißt sie üblicherweise charte informatique; im deutschsprachigen Raum begegnet man Bezeichnungen wie „IT-Nutzungsordnung“, „IT-Richtlinie“ oder „Acceptable Use Policy“. Der Name ist weniger wichtig als ihre drei Aufgaben.
Beschäftigte können sich nicht an Regeln halten, die niemand aufgeschrieben hat. Eine IT-Nutzungsrichtlinie legt das erwartete Verhalten fest für Passwörter, E-Mail, Internetnutzung, Dateifreigabe, Wechselmedien, Softwareinstallation, private Nutzung betrieblicher Geräte, Reisen und Remote-Arbeit. Sie ist der Teil Ihrer Sicherheit, den die Anwender sehen und der jeden Arbeitsplatz erreicht.
Protokollierung, Filterung, Postfachzugriff während einer Abwesenheit, Geräteverwaltung, Sicherung der Arbeitsplatzrechner: All dies betrifft personenbezogene Daten von Beschäftigten. Nach der Datenschutz-Grundverordnung (DSGVO) müssen die betroffenen Personen über die Zwecke und Bedingungen der Verarbeitung informiert werden (Artikel 13). Die IT-Nutzungsrichtlinie ist ein naheliegender Ort, um diese Informationen in einem einzigen, zusammenhängenden Text zu geben, statt in verstreuten E-Mails.
Wird eine Regel verletzt, muss eine Organisation zeigen können, dass die Regel existierte, dass die Person sie kannte und dass eine Überwachung, die den Verstoß aufgedeckt hat, selbst rechtmäßig und verhältnismäßig war. Eine Richtlinie, die nie bekannt gemacht wurde oder eine Überwachung verschweigt, von der die Beschäftigten nie erfahren haben, trägt im Streitfall wenig. Wie eine Richtlinie durchsetzbar wird, hängt vom nationalen Arbeitsrecht ab; deshalb halten wir diese Seite allgemein und verweisen Sie für den letzten Schritt an Ihren Berater.
Auch die internationale Norm für Informationssicherheit kennt diese Rolle ausdrücklich. ISO/IEC 27001:2022 enthält in seinem Anhang A die Maßnahme 5.10 „Akzeptable Verwendung von Informationen und anderen damit verbundenen Werten“, die erwartet, dass Regeln für die akzeptable Nutzung sowie Verfahren für den Umgang mit Informationen und Werten identifiziert, dokumentiert und umgesetzt werden. Die IT-Nutzungsrichtlinie ist der gängigste Weg, wie KMU diese Erwartung erfüllen, ob mit oder ohne angestrebte Zertifizierung.
Quellen: Verordnung (EU) 2016/679 (DSGVO), EUR-Lex · ISO/IEC 27001, öffentliche Seite auf iso.org
Dieselben wenigen Fehler kehren immer wieder. Keiner davon erfordert ein großes Budget zur Behebung.
Eine aus dem Internet heruntergeladene Richtlinie beschreibt die Werkzeuge eines anderen, das Land eines anderen und die Risiken eines anderen. Sie erwähnt Systeme, die Sie nicht nutzen, und schweigt zu denen, die Sie nutzen. Die Beschäftigten bemerken das und hören auf zu lesen.
Ein Dokument in einem Ordner im Netzlaufwerk gilt nicht als bekannt gegeben. Wenn Sie nicht nachweisen können, wer es wann und in welcher Fassung erhalten hat, lässt es sich später nur schwer geltend machen. In mehreren Ländern gehören die Unterrichtung und Anhörung der Beschäftigten dazu, damit die Regeln überhaupt gelten.
Protokolle von Webfiltern, Mail-Gateways, Endpunktverwaltung und Data-Loss-Prevention-Werkzeugen erfassen das Verhalten aller Beschäftigten. Die DSGVO verlangt Transparenz (Artikel 5 Absatz 1 Buchstabe a) und die Information der betroffenen Personen (Artikel 13). Verheimlichte Überwachung ist bereits für sich genommen ein Compliance-Risiko.
Viele Richtlinien entstanden, als alle am Desktop im Büro arbeiteten. Sie sagen nichts über das WLAN zu Hause, private Smartphones, auf denen Firmen-E-Mails eingehen, oder Beschäftigte, die Kundendaten in einen öffentlichen Chatbot einfügen. In dieser Lücke passieren Sicherheitsvorfälle.
Die folgenden Kapitel bilden das Gerüst des Entwurfs, den der Workshop erstellt. Jedes wird an Ihre Antworten angepasst und kann gekürzt oder entfernt werden.
Beschäftigte, Praktikantinnen und Praktikanten, Zeitarbeitskräfte, externe Auftragnehmer und alle Personen mit einem Konto. Welche Systeme abgedeckt sind: Arbeitsplatzrechner, mobile Geräte, E-Mail, Kollaborationsplattformen, Fachanwendungen, Netzwerke, Drucker, Cloud-Speicher. Ein klarer Geltungsbereich nimmt der Ausrede „Das galt nicht für mich“ den Boden.
Persönliche, nicht übertragbare Konten; Passwortqualität und -speicherung; Multifaktor-Authentifizierung, wo das Unternehmen sie eingeführt hat; Sperren des Bildschirms beim Verlassen des Arbeitsplatzes; was zu tun ist, wenn ein Passwort möglicherweise offengelegt wurde.
Verwandt: NIS2, Art. 21 Abs. 2 Buchst. j nennt die Multi-Faktor-Authentifizierung unter den Maßnahmen für Einrichtungen im Anwendungsbereich.
Dienstliche Nutzung als Regel, angemessene private Nutzung, sofern das Unternehmen sie erlaubt, und wie private Nachrichten zu kennzeichnen sind. Umgang mit Phishing, Anhänge und Links, Postfachregeln, automatische Weiterleitung an private Adressen, gesperrte Websites und Inhalte.
Welche Informationen vertraulich sind, wie sie intern und extern weitergegeben werden dürfen, zugelassene Werkzeuge zur Dateifreigabe, Drucken, Clean-Desk-Regel und die Pflicht, personenbezogene Daten nur auf Weisung des Unternehmens zu verarbeiten.
DSGVO Art. 29 und Art. 32 Abs. 4: Personen, die unter der Weisungsbefugnis des Verantwortlichen handeln, verarbeiten personenbezogene Daten nur auf dessen Weisung.
Wer Software installieren darf, Nutzung privater USB-Sticks und externer Laufwerke, Wartung von Laptops und Smartphones, Meldung von Verlust oder Diebstahl sowie Rückgabe von Geräten und Zugängen beim Ausscheiden (ISO/IEC 27001:2022 Anhang A enthält außerdem eine Maßnahme zur Rückgabe von Werten, 5.11).
Arbeit im Homeoffice, beim Kunden oder unterwegs: vertrauenswürdige Netze, VPN wo erforderlich, Blickschutz am Bildschirm, physischer Schutz der Geräte, Videokonferenzen an öffentlichen Orten. ISO/IEC 27001:2022 Anhang A hat eine eigene Maßnahme, 6.7 „Remote-Arbeit“.
Ob private Smartphones, Tablets oder Computer auf Unternehmensdaten zugreifen dürfen, unter welchen Bedingungen (Gerätesperre, Updates, getrenntes Arbeitsprofil, Remotelöschung nur der Unternehmensdaten) und was das Unternehmen auf einem privaten Gerät sehen darf und was nicht.
Welche KI-Werkzeuge zugelassen sind, welche Daten niemals eingegeben werden dürfen (personenbezogene Daten, Geschäftsgeheimnisse von Kunden, Quellcode, Zugangsdaten), menschliche Prüfung der Ergebnisse und wie ein neues Werkzeug angefragt wird. Ein pauschales Verbot drängt die Nutzung meist ins Verborgene.
KI-Verordnung, Verordnung (EU) 2024/1689, Art. 4 zur KI-Kompetenz der Beschäftigten.
Was protokolliert, gefiltert oder geprüft wird, zu welchem Zweck, von wem, wie lange Protokolle aufbewahrt werden und welche Rechte die betroffenen Personen haben. Dieses Kapitel ist der Ort, an dem die Transparenz- und Informationspflichten der DSGVO erfüllt werden.
DSGVO Art. 5 und Art. 13.
Wie und an wen eine verdächtige E-Mail, ein verlorenes Gerät oder ein Fehler zu melden ist, ohne Sanktionen befürchten zu müssen, wenn rasch gemeldet wird. Verweis auf den Disziplinarrahmen Ihrer Organisation (ISO/IEC 27001:2022 Anhang A, Maßnahme 6.4 „Maßregelungsprozess“) sowie Datum und Fassung der Richtlinie.
Der rechtliche Weg unterscheidet sich zwischen den Mitgliedstaaten. Gleich bleibt die Logik: rechtmäßig, verhältnismäßig, vorab bekannt.
Eine IT-Nutzungsrichtlinie beschreibt fast immer die Verarbeitung personenbezogener Daten von Beschäftigten: Kontoprotokolle, Verbindungsprotokolle, Filterung, Geräteinventare, mitunter Postfachzugriffe. Drei Artikel der DSGVO rahmen diese Verarbeitung überall in der Europäischen Union.
Artikel 5, Grundsätze. Personenbezogene Daten müssen rechtmäßig, nach Treu und Glauben und in transparenter Weise verarbeitet werden; für festgelegte, eindeutige und legitime Zwecke erhoben; dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt; nicht länger als nötig gespeichert; und mit angemessener Sicherheit verarbeitet. Nach Artikel 5 Absatz 2 muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können (Rechenschaftspflicht). Für eine IT-Nutzungsrichtlinie heißt das: Jede beschriebene Kontrolle sollte einen angegebenen Zweck und eine angemessene Aufbewahrungsfrist haben, und Sie sollten begründen können, warum sie verhältnismäßig ist.
Artikel 13, bereitzustellende Informationen. Werden Daten bei der betroffenen Person erhoben, muss der Verantwortliche unter anderem seine Identität und Kontaktdaten, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage der Verarbeitung, die verfolgten berechtigten Interessen, sofern diese die Grundlage bilden, die Empfänger, die Speicherdauer und die Rechte der Person mitteilen. Die IT-Nutzungsrichtlinie oder ein ihr beigefügter Informationshinweis ist ein praktisches Mittel für diese Informationen.
Artikel 88, Verarbeitung im Beschäftigungskontext. Die DSGVO erlaubt es den Mitgliedstaaten, durch Gesetz oder Kollektivvereinbarungen spezifischere Vorschriften für die Verarbeitung personenbezogener Daten von Beschäftigten im Beschäftigungskontext vorzusehen. Artikel 88 Absatz 2 verlangt, dass solche Vorschriften geeignete und besondere Maßnahmen zum Schutz der Menschenwürde, der berechtigten Interessen und der Grundrechte der betroffenen Personen umfassen, mit besonderem Augenmerk auf die Transparenz der Verarbeitung, die Übermittlung innerhalb einer Unternehmensgruppe und die Überwachungssysteme am Arbeitsplatz. In der Praxis hängt die Antwort auf die Frage „Was dürfen wir überwachen, und wie?“ deshalb zum Teil von dem Land ab, in dem Sie tätig sind.
In der gesamten EU schafft die Richtlinie 2002/14/EG einen allgemeinen Rahmen für die Unterrichtung und Anhörung der Beschäftigten in Unternehmen oberhalb von Schwellenwerten, die jeder Mitgliedstaat innerhalb der Grenzen der Richtlinie wählt. Das nationale Recht und Kollektivvereinbarungen legen dann fest, ob ein Betriebsrat, eine Personalvertretung oder eine Gewerkschaft vor der Einführung von Regeln zur IT-Nutzung oder zur Arbeitsplatzüberwachung zu informieren oder anzuhören ist, und in welcher Form. In manchen Ländern wird eine IT-Nutzungsrichtlinie den betrieblichen Ordnungsregeln beigefügt und folgt demselben Verfahren; in anderen ist sie Teil des Arbeitsvertrags, einer Kollektivvereinbarung oder eine eigenständige Richtlinie, die jede Nutzerin und jeder Nutzer bestätigt.
Ein Beispiel unter vielen ist Frankreich: Das Arbeitsgesetzbuch (Code du travail) sieht vor, dass der Betriebsrat (CSE, Comité social et économique) vor der Einführung von Mitteln oder Techniken, die eine Überwachung der Tätigkeit der Beschäftigten ermöglichen, unterrichtet und angehört wird, und dass über einen Beschäftigten keine personenbezogene Information mit einem Verfahren erhoben werden darf, das ihm nicht zuvor bekannt gemacht wurde. Die französische Datenschutzbehörde CNIL empfiehlt in ihrem Leitfaden zur Sicherheit personenbezogener Daten, dass ein Unternehmen eine IT-Charta erstellt und ihr verbindliche Wirkung verleiht, etwa indem sie den betrieblichen Ordnungsregeln beigefügt wird. Andere Länder haben eigene Entsprechungen, weshalb der Workshop fragt, wo Ihre Beschäftigten angestellt sind, und die Punkte benennt, die Sie mit Ihrem Berater klären sollten.
Welchen nationalen Weg Sie auch gehen, bewahren Sie Belege auf: die Fassung und das Datum der Richtlinie, das Datum der Mitteilung, wie sie erfolgte (E-Mail, Intranet, Einarbeitungspaket, Unterschrift) und wer sie bestätigt hat. Teilen Sie die Richtlinie bei jeder Änderung erneut mit. ISO/IEC 27001:2022 Anhang A behandelt dies im Themenfeld „Personenbezogene Maßnahmen“ (People Controls), neben den Beschäftigungs- und Vertragsbedingungen (6.2) sowie dem Informationssicherheitsbewusstsein, der -ausbildung und -schulung (6.3).
Wichtig. Dieser Abschnitt enthält allgemeine Informationen zu europäischen und nationalen Texten. Er ist keine Rechtsberatung und ersetzt nicht die Analyse durch eine Fachanwältin oder einen Fachanwalt für Arbeitsrecht, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten bzw. Ihren Personalberater für Ihre konkrete Situation, Ihr Land und Ihre Kollektivvereinbarungen.
Quellen: DSGVO, Art. 5, 13 und 88 (EUR-Lex) · Richtlinie 2002/14/EG (EUR-Lex) · Französisches Arbeitsgesetzbuch (Code du travail, Légifrance) · CNIL, Leitfaden zur Sicherheit personenbezogener Daten · ISO/IEC 27001 (iso.org)
Die IT-Nutzungsrichtlinie ist für sich allein keine Sicherheitsrichtlinie. Sie ist der Teil davon, der sich an die Nutzenden richtet.
Die Informationssicherheitsleitlinie richtet sich an Geschäftsführung und IT: Sie legt Ziele, Rollen, Risikobehandlung und die Maßnahmen fest, zu denen sich das Unternehmen verpflichtet. Die IT-Nutzungsrichtlinie übersetzt deren nutzerbezogene Teile in konkretes Verhalten. ISO/IEC 27001:2022 Anhang A trennt beides: Maßnahme 5.1 „Richtlinien für Informationssicherheit“ und Maßnahme 5.10 „Akzeptable Verwendung von Informationen und anderen damit verbundenen Werten“. Beide Dokumente sollten dieselbe Terminologie, dieselbe Klassifizierung von Informationen und dieselben Ansprechpartner verwenden, damit Beschäftigte niemals widersprüchliche Anweisungen erhalten.
Wenn Sie die Sicherheitsleitlinie selbst erstellen, sehen Sie sich unsere Schwesterseite pssi-express.eu an.
Remote-Arbeit verlagert Unternehmensdaten in private Heimnetze, an Küchentische und in Zugabteile. Die IT-Nutzungsrichtlinie ist der Ort für die Mindestanforderungen: Firmengeräte wie vorgesehen nutzen, aktuell halten, sich bei Bedarf über den gesicherten Zugang des Unternehmens verbinden, öffentliche Druckstationen meiden, Bildschirm und Gespräche vor Mithörern und Mitlesern schützen und einen Verlust sofort melden. Gibt es zusätzlich eine eigene Vereinbarung oder Richtlinie zur Telearbeit, sollte die IT-Nutzungsrichtlinie darauf verweisen, statt sie zu wiederholen. ISO/IEC 27001:2022 Anhang A, Maßnahme 6.7 „Remote-Arbeit“ deckt die Sicherheitsseite ab.
Privaten Smartphones den Empfang von Firmen-E-Mails zu erlauben ist bequem und weit verbreitet. Es wirft jedoch zwei Fragen auf, die die Richtlinie beantworten muss. Was verlangt das Unternehmen vom Gerät (Bildschirmsperre, unterstütztes Betriebssystem, getrenntes Arbeitsprofil oder Container)? Und was darf das Unternehmen sehen oder löschen? Werkzeuge zur Geräteverwaltung lassen sich so konfigurieren, dass sie nur Unternehmensdaten verwalten; die Richtlinie sollte das festhalten und regeln, was beim Ausscheiden einer Person mit den Unternehmensdaten geschieht. ISO/IEC 27001:2022 Anhang A, Maßnahme 8.1 „Endpunktgeräte von Benutzern“ beschreibt die technische Seite.
Öffentliche KI-Assistenten können nützlich sein, und Beschäftigte setzen sie oft schon ein. Das Risiko liegt in den eingegebenen Daten und in ungeprüft übernommenen Ergebnissen. Ein kurzes KI-Kapitel führt üblicherweise die zugelassenen Werkzeuge auf, verbietet die Eingabe personenbezogener Daten, vertraulicher Informationen oder Zugangsdaten in nicht zugelassene Dienste, verlangt eine menschliche Prüfung vor der Weiterverwendung und erklärt, wie ein neues Werkzeug beantragt wird. Verarbeitet ein externer KI-Dienst personenbezogene Daten in Ihrem Auftrag, gelten die DSGVO-Regeln zu Auftragsverarbeitern (Artikel 28) und zu Übermittlungen außerhalb der EU (Kapitel V). Artikel 4 der KI-Verordnung, anwendbar seit dem 2. Februar 2025, verlangt von Anbietern und Betreibern von KI-Systemen, nach bestem Vermögen Maßnahmen zu treffen, damit ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt (prüfen Sie den aktuellen konsolidierten Wortlaut, da Änderungen dieses Artikels vorgeschlagen wurden). Ein KI-Kapitel in der IT-Nutzungsrichtlinie samt kurzer Sensibilisierung ist dafür ein sinnvoller Baustein.
Verordnung (EU) 2024/1689 (KI-Verordnung) · DSGVO, Art. 28 und Kapitel V
Für wesentliche und wichtige Einrichtungen nach der NIS2-Richtlinie umfassen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21 grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit (21 Abs. 2 Buchst. g) sowie Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen (21 Abs. 2 Buchst. i). Eine IT-Nutzungsrichtlinie macht Sie nicht NIS2-konform, ist aber eines der Dokumente, die diese Maßnahmen stützen.
Eine Richtlinie, die unterschrieben und dann vergessen wird, bewirkt nichts. Richtlinie und Sensibilisierungsprogramm sollten ineinandergreifen: Die Richtlinie legt die Regel fest, kurze Schulungen erklären, warum es sie gibt. Wo ein Datenschutzbeauftragter existiert, zählt die DSGVO die Sensibilisierung und Schulung der Beschäftigten zu seinen Aufgaben (Artikel 39 Absatz 1 Buchstabe b). Nationale Behörden veröffentlichen kostenloses Material, das Sie wiederverwenden können, zum Beispiel ENISA auf EU-Ebene sowie in Frankreich ANSSI und cybermalveillance.gouv.fr.
Sie behalten vom Anfang bis zum Ende die Kontrolle. Ein menschlicher Berater ist eine Option, niemals eine Pflicht.
Ein kurzer Fragebogen zu Ihrem Unternehmen: wo Ihre Beschäftigten angestellt sind, welche Werkzeuge sie nutzen, ob private Geräte und Remote-Arbeit erlaubt sind, ob Sie KI-Assistenten einsetzen, ob es eine Arbeitnehmervertretung gibt und ob Sie bereits eine Sicherheitsleitlinie haben. Das Ergebnis zeigt, welche Kapitel Sie brauchen und welche Punkte rechtlich vor Ort geprüft werden müssen.
Sie beantworten geführte Fragen in eigenen Worten, Kapitel für Kapitel: was erlaubt ist, was nicht, was das Unternehmen kontrolliert und warum, wie lange Protokolle aufbewahrt werden, wen man kontaktiert. Zu jeder Frage gibt es eine kurze Erläuterung und, wo sinnvoll, einen Link zur offiziellen Quelle. Sie können zwischenspeichern, später weitermachen und Kolleginnen oder Kollegen hinzuziehen.
Die Richtlinie wird automatisch aus Ihren Antworten erstellt, im Namen Ihres Unternehmens, mit einem gesonderten Informationshinweis zur Überwachung und einem Bestätigungsformular. Sie ist eine Arbeitsgrundlage: Lassen Sie sie von Ihrem eigenen Berater prüfen (Fachanwalt für Arbeitsrecht, Datenschutzbeauftragter, Personalabteilung), hören Sie die Arbeitnehmervertretung, wo erforderlich, an und verabschieden Sie die Richtlinie, bevor Sie sie bekannt geben.
Wenn Sie jemanden möchten, der Ihre Antworten mit Ihnen durchgeht, den Entwurf auf einen konkreten Kontext anpasst oder die Vorstellung vor den Beschäftigten oder ihrer Vertretung vorbereitet, können Sie einen Partnerberater hinzuziehen. Das ist optional und getrennt vom Selbstbedienungswerkzeug.
Arbeitsgrundlage, keine Rechtsberatung. Das erstellte Dokument ist ein Entwurf auf Basis Ihrer eigenen Antworten und öffentlicher Quellen. Es stellt keine Rechtsberatung dar. Seine Gültigkeit in Ihrem Land und das Verfahren, mit dem es für Ihre Beschäftigten verbindlich wird, müssen von einem qualifizierten Berater geprüft werden.
Dokumente, die Sie bearbeiten, bekannt machen und als Nachweis aufbewahren können
Das Hauptdokument in verständlicher Sprache, aus Ihren Antworten erstellt.
Ein gesonderter Hinweis, gegliedert nach Artikel 13 DSGVO.
Was Sie brauchen, um die Richtlinie bekannt zu machen und einen Nachweis zu führen.
Zu jedem Kapitel die passenden öffentlichen Texte.
Ein kurzer, eigenständiger Anhang, den Sie öfter aktualisieren können als die Richtlinie selbst.
Ihr Dokument gehört Ihnen, in Formaten, die Sie selbst anpassen können.
Wir zitieren nur Texte, die wir auch verlinken können. Wo etwas vom nationalen Recht abhängt, weist der Entwurf darauf hin, statt zu raten.
Artikel 5 (Grundsätze und Rechenschaftspflicht), Artikel 13 (Information der betroffenen Personen), Artikel 88 (Verarbeitung im Beschäftigungskontext) sowie gegebenenfalls Artikel 28 (Auftragsverarbeiter), Artikel 32 (Sicherheit der Verarbeitung) und Artikel 39 (Aufgaben des Datenschutzbeauftragten).
Maßnahme 5.10 „Akzeptable Verwendung von Informationen und anderen damit verbundenen Werten“, mit den verwandten Maßnahmen 5.1 (Richtlinien für Informationssicherheit), 5.11 (Rückgabe von Werten), 6.2 (Beschäftigungs- und Vertragsbedingungen), 6.3 (Informationssicherheitsbewusstsein, -ausbildung und -schulung), 6.4 (Maßregelungsprozess), 6.7 (Remote-Arbeit) und 8.1 (Endpunktgeräte von Benutzern). Die Norm ist kostenpflichtig bei ISO erhältlich; wir zitieren nur die Titel der Maßnahmen.
Nur für Einrichtungen im Anwendungsbereich: Artikel 21 Absatz 2 Buchstabe g grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit, Buchstabe i Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen, Buchstabe j Multi-Faktor-Authentifizierung. Es gelten die nationalen Umsetzungsgesetze.
Artikel 4 zur KI-Kompetenz, anwendbar seit dem 2. Februar 2025 für Anbieter und Betreiber von KI-Systemen (prüfen Sie den aktuellen konsolidierten Wortlaut, bevor Sie sich darauf stützen). Relevant, sobald Ihre Beschäftigten KI-Systeme bei der Arbeit nutzen.
Was jede Option enthält. Die Verfügbarkeit geben wir auf dieser Seite bekannt.
Um vorab zu klären, was Sie brauchen
Um Ihren eigenen Richtlinienentwurf zu erstellen
Um den Selbstbedienungsentwurf von einem Menschen prüfen zu lassen
In jeder Option ist das Dokument eine Arbeitsgrundlage, die von Ihrem eigenen Berater validiert werden sollte. Es stellt keine Rechtsberatung dar.
Kurze Antworten. Wo ein Text zitiert wird, führt der Link zur offiziellen Quelle.
Jede regulatorische oder normative Aussage oben verweist auf eine dieser Quellen.
Diese Seite bietet allgemeine Informationen. Sie stellt keine Rechtsberatung dar.
Der Selbstbedienungs-Workshop ist in Vorbereitung und wird auf dieser Seite freigeschaltet.
Fragen in der Zwischenzeit: contact@syaga.eu