Referenzen

Bis zum 1. Januar 2019 müssen alle bayerischen Behörden ein Informationssicherheit-Konzept erarbeitet haben. Das schreibt das Bayerische E-Government-Gesetz vor. Für den Landkreis Starnberg war diese Vorschrift allerdings nicht der einzige Antrieb. „Bürger und Unternehmen haben ein Recht darauf, dass ihre Daten und Informationen bei uns als Verwaltungsbehörde sicher gespeichert und verarbeitet werden“, sagt Thomas Eberhard, IT-Leiter im Landratsamt. Verschiedene Vorfälle der jüngeren Zeit wie Computersysteme in Krankenhäusern, die durch Angriffe von außen lahmgelegt wurden, nimmt Eberhard als Warnung.  Deswegen hatte das Landratsamt schon länger investiert. „Die Behörde ist technisch sehr weit vorne“, bescheinigt Thomas Eberl von der complimant AG. Das oberbayerische Unternehmen hat den Zertifizierungsprozess als externe Dienstleister begleitet. So verfügt das Landratsamt unter anderem über zwei völlig baugleiche Rechenzentren. Fällt das eine aus, kann das andere übernehmen, „ohne dass der Mitarbeiter an seinem Computer das überhaupt mitbekommen würde“, sagt Eberl.

Ein Jahr intensive Arbeit bis zum Zertifikat

Die Gesamtleitung des Projektes übernahm Thomas Eberhard (IT-Leitung). Herr Eberhard setzte sich zum Ziel die IT-Sicherheit im LRA Starnberg auf die aktuellen Gefahren und Bedrohungen anzupassen. Die Projektleitung im Haus übernahm Sebastian Glener.

Der Weg bis zum Zertifikat, das am 4. Dezember an Landrat Karl Roth übergeben wurde, dauerte ungefähr ein Jahr.

Entlang der Vorschriften des ISIS12-Regelwerks werden dabei alle wichtigen Vorgänge abgeklopft.. „Im Kern geht es darum, nach welchen Regeln die rund 500 Mitarbeiter mit vertraulichen Informationen umgehen – sei es am Computer, auf Papier oder mündlich im Gespräch und am Telefon“, erklärt Eberhard. Einer der wichtigsten Schritte war dabei die Schulung aller Mitarbeiter des Landratsamtes. Am Ende steht ein Handbuch, das genau beschreibt, wie die Mitarbeiter mit den Informationen umgehen müssen. Im abschließenden Audit prüft ein Beauftragter des Bayerischen IT-Sicherheitsclusters das Handbuch und erteilt das Zertifikat. „Beim Landratsamt Starnberg haben die Mitarbeiter im Umgang mit schutzwürdigen Informationen das allermeiste bereits richtig gemacht“, sagt Eberl. Herausforderung war, das Vorgehen für alle Prozesse schriftlich zu dokumentieren, „denn das bedeutet zunächst einmal zusätzlichen Aufwand für die Mitarbeiter“, weiß der Experte. Ab jetzt kommt es darauf an, die Vorschriften des neuen Informationssicherheits-Handbuchs tagtäglich umzusetzen, damit das Landratsamt sein hohes Schutzniveau auch in Zukunft beibehält.

Was ist ISIS12?

Die Abkürzung ISIS12 steht für „Informations-Sicherheitsmanagement-System in 12 Schritten“. Entwickelt hat das Regelwerk ein Netzwerk rund um das Bayerische IT-Sicherheitscluster in Regensburg speziell für mittelständische Unternehmen, Organisationen und Behörden. Die Zertifizierung nach ISIS12 ist noch recht neu. Mitte Dezember hatten sich bundesweit erst 17 Firmen und Behörden dem Prozedere unterzogen. Starnberg ist bislang der einzige Landkreis innerhalb dieser exklusiven Gruppe.

„Diese Kombination unterschiedlicher Anforderungen war für uns bislang einzigartig“, bestätigt complimant-Projektleiter Dominik Seifert. Neben den unterschiedlichen Tätigkeitsfeldern galt es darüber hinaus, die Verfahren für das Informationssicherheitsmanagement in eine ganze Reihe bestehender Managementsysteme wie Qualitätsmanagement nach ISO 9001 und Umweltmanagement nach ISO 14001 einzupassen. „Das war den Verantwortlichen der AlzChem sehr wichtig“, so Seifert. Und es scheint gelungen: Laut Seifert haben seine Ansprechpartner bestätigt, dass viele der zusätzlichen Strukturen, Vorgaben und Prozesse dazu beitragen, sowohl den Unternehmensalltag als auch die dafür benötigten Prozess- und Informationsflüsse zu optimieren.

Die AlzChem ist ein Traditionsunternehmen der chemischen Industrie. 1908 wurde sie unter dem Namen Bayerische Stickstoffwerke AG gegründet. Mit einem Stromverbrauch von rund 0,1 Prozent des gesamten deutschen Stromverbrauchs zählt AlzChem zu den energieintensiven Unternehmen des Landes. Schon die Bayerischen Stickstoffwerke begannen 1910, ein eigenes Elektrizitätsversorgungsnetz in den Landkreisen Traunstein und Altötting aufzubauen. Heute betreibt AlzChem ein Hoch- und Mittelspannungsnetz samt den benötigten Umspannwerken. Die Regierung von Oberbayern prüft und genehmigt als Aufsichtsbehörde die Netzentgelte.

Als Netzbetreiber unterliegt AlzChem branchenspezifischen Sicherheitsstandards für die Energiewirtschaft. Daher ist für die Informationssicherheit zusätzlich eine Zertifizierung nach ISO 27019 zwingend. Auch hierfür hat die complimant AG Experten und konnte so die Informationssicherheit nach ISO 27001 mit den weiterreichenden Anforderungen der ISO 27019 kombinieren.

Ein weiterer Produktschwerpunkt der AlzChem Group AG liegt in der NCN-Chemie, einer typischen Stickstoff-Kohlenstoff-Stickstoff-Bindung. Verwendung finden die Produkte in Düngern und Pflanzenschutzmitteln, bei Farbpigmenten, für die Windenergie- und Photovoltaikindustrie sowie, nicht zuletzt, bei Pharmawirkstoffen und Nahrungsergänzungsmitteln. „Hier gelten für den chemischen Laborbetrieb besonders strenge Vorschriften nach dem Regelwerk der GLP, Gute Laborpraxis“, sagt Seifert. Ähnlich wie beim Thema Energieversorgung ist es gelungen, GLP und ISO 27001 nahtlos ineinandergreifen zu lassen.

Mit Diplomatie und Fingerspitzengefühl

Als weltweit tätiges Unternehmen mit rund 1.500 Mitarbeitern und mehr als 320 Millionen Euro Jahresumsatz betreibt die AlzChem ein eigenes IT-Rechenzentrum. Sie fällt damit unter die besonderen Sicherheitsanforderungen der ISO 27001 für Rechenzentrumsdienstleister. „Auch wenn ein Unternehmen diese Infrastruktur nur für eigene Zwecke nutzt, muss das Rechenzentrum besonders geschützt werden“, sagt Seifert. Denn fällt es aus, steht das gesamte Unternehmen still.

Fast 30 Beauftragte für verschiedene Managementsysteme und Sicherheitsbereiche sowie die Vorstandschaft hat die complimant AG bei der Einführung des Informationssicherheitsmanagements mit ins Boot geholt. „Leute mit jeder Menge Erfahrung und Fachwissen, die teilweise schon 30 oder 40 Jahre bei dem Traditionsunternehmen arbeiten“, erzählt Seifert. „Diplomatie und Fingerspitzengefühl sind gefragt, wenn man hier Prozesse und Arbeitsweisen ändert“, weiß der Experte.