Vorlage aus dem NIS2-Paket
Vom Bewerbungsgespräch bis zur Sperrung der Konten am letzten Arbeitstag: Diese Richtlinie regelt die Sicherheit des Personals über den ganzen Beschäftigungszyklus. Sie ist im NIS2-Paket enthalten.
Das Dokument
Die Vorlage NIS-RL-17 ist eine Richtlinie in Word. Sie gliedert die Beschäftigung in Phasen: vor der Einstellung, Eintritt, während der Beschäftigung einschließlich Wechsel der Aufgabe und Austritt. Für jede Phase ist festgelegt, wer was bis wann erledigt: Personalabteilung, Führungskräfte, IT-Verantwortliche, die oder der ISB und die Beschäftigten selbst.
Vor der Einstellung ordnet die Vorlage jede Stelle einer von drei Stufen zu: Grundzugang, erweiterter Zugang oder privilegierter Zugang. Die Tabelle nennt Prüfungen, die je Stufe in Betracht kommen. Welche davon bei Ihnen zulässig und vorgesehen sind, entscheiden Geschäftsleitung und Personalabteilung und tragen es in der letzten Spalte ein. Beim Austritt zählt der letzte Arbeitstag, nicht das Vertragsende: Bis dahin sind alle Konten gesperrt und alle überlassenen Gegenstände zurückgegeben.
Eigene Abschnitte gelten für Fremdpersonal, Leiharbeitskräfte, Praktikantinnen und Praktikanten sowie für Verstöße und ihre Folgen. Anhang A ist eine Checkliste in drei Teilen für Eintritt, Wechsel und Austritt, mit einer Liste der ausgegebenen Gegenstände und den Bestätigungen von austretender Person, Führungskraft, IT-Verantwortlichen und Personalabteilung.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-RL-17: Deckblatt mit Dokumentenlenkung
NIS-RL-17: Inhalt und Änderungshistorie
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Drei Stufen nach Zugang, mögliche Prüfungen je Stufe und eine Spalte für das, was in Ihrem Betrieb zulässig und vorgesehen ist. Ein Hinweis nennt die rechtlichen Grenzen und die Beteiligung von Datenschutz und Betriebsrat vor der Freigabe.
Verpflichtung auf Vertraulichkeit und auf die Richtlinien am ersten Arbeitstag, Einweisung, Erstschulung innerhalb einer Frist und bis dahin nur Grundzugang. Ausgegebene Geräte und Schlüssel werden mit Inventarnummer eingetragen.
Keine Weitergabe von Zugangsdaten, Umgang mit Nebentätigkeiten, Deaktivierung von Konten bei längerer Abwesenheit und Regeln für den Wechsel der Aufgabe, bei dem alte Berechtigungen entzogen werden.
Meldung, Übergabe, Rückgabe aller Gegenstände, Sperrung aller Konten bis zu einer festgelegten Uhrzeit am letzten Arbeitstag, Änderung gemeinsam genutzter Passwörter und Umgang mit Postfach und persönlicher Ablage.
Vertrag, persönliche Verpflichtung, Kurzunterweisung vor dem ersten Zugang und bei längerem Einsatz die Erstschulung nach dem Schulungskonzept, befristete personenbezogene Konten und Regeln für externe Personen ohne Systemzugang.
Abgestufter Umgang von Gespräch und Nachschulung bis zu arbeitsrechtlichen Maßnahmen. Wer einen eigenen Fehler unverzüglich meldet, hat deswegen keine Nachteile, außer bei vorsätzlichem Handeln.
Auszug
Was nicht eingetragen ist, kann beim Austritt nicht zurückgefordert werden.
Berechtigungen der alten Aufgabe werden am Tag des Wechsels entzogen, nicht nur ergänzt.
Sammelkonten für Dienstleister sind nicht zulässig.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[5] | Wie viele Arbeitstage vorher die Personalabteilung Eintritt, Wechsel und Austritt meldet; derselbe Wert steht in der Richtlinie Zugriffskontrolle. | NIS-RL-17 |
[fünf Arbeitstagen] | Die Frist nach dem letzten Arbeitstag, in der gemeinsam genutzte Passwörter und Schlüssel geändert werden (Abschnitt 7). | NIS-RL-17 |
[ja / nein, geprüft am, durch] | Welche Prüfungen vor der Einstellung je Stufe bei Ihnen zulässig und vorgesehen sind. | NIS-RL-17 |
[Uhrzeit] | Bis zu welcher Uhrzeit am letzten Arbeitstag alle Konten gesperrt sind. | NIS-RL-17 |
[drei Monaten] | Ab welcher Dauer einer Abwesenheit die Konten einer Person deaktiviert werden. | NIS-RL-17 |
[Betriebsvereinbarung oder Anweisung zur E-Mail-Nutzung] | Welche Regelung den Zugriff auf das Postfach ausgetretener Personen bestimmt. | NIS-RL-17 |
[Muster, Ablageort] | Wo das Muster der Verpflichtung auf Vertraulichkeit liegt. | NIS-RL-17 |
Einsatz
Die Richtlinie setzt die Anforderung des § 30 Abs. 2 BSIG an Konzepte für die Sicherheit des Personals um. Im NIS2-Paket gehört sie zu Bereich 9, Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme, zusammen mit der Richtlinie Zugriffskontrolle und dem Inventar der IT-Systeme. Die Personalsicherheit regelt den Menschen, die Zugriffskontrolle die Berechtigungen, und beide verweisen aufeinander.
Die Richtlinie macht die Sperrung von Zugängen überprüfbar. Die oder der ISB prüft regelmäßig anhand der Austrittsmeldungen der Personalabteilung, ob alle Konten ausgetretener Personen gesperrt sind, meldet Abweichungen als Sicherheitsvorfall und gibt das Ergebnis in die Wirksamkeitsprüfung nach NIS-VF-13, die dafür eine eigene Kennzahl führt. Die Checkliste belegt jeden Austritt mit der Uhrzeit der Sperrung.
Fragt ein Kunde, wie Sie mit Beschäftigten von Dienstleistern umgehen, zeigt Abschnitt 8 die Regeln: Zugang nur auf Vertragsgrundlage, persönliche Konten mit Mehr-Faktor-Anmeldung, befristet und auf die vereinbarten Systeme beschränkt, keine Sammelkonten, Sperrung am letzten Einsatztag.
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Nicht unbedingt. Die Tabelle nennt Prüfungen, die in Betracht kommen, nicht solche, die gelten. Was zulässig ist, hängt von der Aufgabe, vom Datenschutzrecht und vom Arbeitsrecht ab. Die Vorlage verlangt deshalb, die Stufen mit der Personalabteilung, wo nötig mit rechtlicher Beratung, und unter Beteiligung der datenschutzbeauftragten Person und des Betriebsrats festzulegen.
Ja. Anhang A enthält eine Checkliste in drei Teilen: vor der Einstellung und Eintritt, Wechsel der Aufgabe und Austritt. Der Austrittsteil umfasst Übergabe, Rückgabe, Sperrung aller Konten mit Uhrzeit, Änderung gemeinsamer Passwörter, Postfach und Austrittsgespräch, jeweils mit der verantwortlichen Stelle.
Nein. Die Richtlinie sagt selbst, dass arbeitsrechtliche Fragen mit der Personalabteilung und bei Bedarf mit rechtlicher Beratung geklärt werden und dass sie keine Rechtsberatung ersetzt. Verpflichtungserklärungen, Betriebsvereinbarungen und Arbeitsverträge bringen Sie selbst ein.
Die Richtlinie Personalsicherheit ist im NIS2-Paket enthalten: 25 Dokumente in Word und Excel für 1.490 € netto. Sie umfasst 13 Seiten in Word und wird nicht einzeln abgegeben.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
