Sicherheitsrichtlinie

1.- Einleitung

Diese Informationssicherheitsrichtlinie dient dem Schutz der Vertraulichkeit, Integrität, Verfügbarkeit, Rückverfolgbarkeit und Authentizität der Informationswerte von heydiga. Sie entspricht der Norm ISO/IEC 27001:2022 und dem Königlichen Dekret 311/2022, das das spanische Nationale Sicherheitsschema (Esquema Nacional de Seguridad, ENS) regelt.

Sie gilt für alle Beschäftigten, Auftragnehmer und Nutzer von Drittparteien, die auf die Informationswerte von heydiga zugreifen oder diese nutzen.

Bei der Festlegung dieser und der übrigen Richtlinien der Organisation wurden die Leitfäden der Reihe CCN-STIC 800 als Referenz herangezogen, auch wenn dies in der jeweiligen Dokumentation nicht ausdrücklich angegeben ist.

2.- Zweck

Zweck dieser Richtlinie ist es, den Schutz der Informationswerte vor allen Bedrohungen zu gewährleisten, ob intern oder extern, vorsätzlich oder versehentlich. Sie soll die Einhaltung aller anwendbaren Gesetze, Vorschriften und vertraglichen Verpflichtungen sicherstellen.

Die Richtlinie schafft einen Rahmen für die Festlegung, Überprüfung und Erreichung der Informationssicherheitsziele und legt die Verantwortlichkeiten von Beschäftigten, Auftragnehmern und Nutzern von Drittparteien beim Schutz der Informationswerte von heydiga fest.

Darüber hinaus soll die Richtlinie das Sicherheitsbewusstsein fördern, die Beschäftigten schulen und die Entscheidungsprozesse im Zusammenhang mit der Informationssicherheit innerhalb der Organisation leiten.

3.- Geltungsbereich

heydiga, ein Unternehmen, das konversationelle KI entwickelt, die jede geschäftliche Interaktion versteht, automatisiert und skaliert, hat beschlossen, ein Informationssicherheits-Managementsystem (ISMS) einzuführen, um die Leistungen für die eigenen Kunden zu verbessern.

Diese Richtlinie gilt für alle Informationswerte, die sich im Eigentum von heydiga befinden, von heydiga gemietet, verarbeitet oder auf andere Weise kontrolliert werden, einschließlich der auf physischen oder elektronischen Datenträgern gespeicherten Informationen, der über Netzwerke oder andere Kommunikationskanäle übertragenen Informationen sowie der von Beschäftigten, Auftragnehmern oder Nutzern von Drittparteien verarbeiteten oder gehandhabten Informationen.

4.- Ziele

Die Hauptziele dieser Richtlinie bestehen darin, die Vertraulichkeit der Informationen zu schützen, um ihre unbefugte Offenlegung zu verhindern, die Integrität der Informationen zu gewährleisten, um ihre unbefugte Änderung zu verhindern, und die Verfügbarkeit der Informationen für befugte Nutzer sicherzustellen, wenn diese sie benötigen.

Ebenso soll die Richtlinie die Einhaltung der anwendbaren Gesetze, Vorschriften und vertraglichen Verpflichtungen gewährleisten – etwa der Datenschutz-Grundverordnung (DSGVO), des spanischen Organgesetzes über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD) oder des spanischen Gesetzes 10/2021 über Fernarbeit, um nur einige zu nennen – und zugleich das Informationssicherheits-Managementsystem (ISMS) kontinuierlich verbessern.

5.- Sicherheitsorganisation und Verantwortlichkeiten

Die Geschäftsleitung von heydiga ist dafür verantwortlich, Führung und Engagement für die Informationssicherheit zu zeigen. Sie stellt sicher, dass angemessene Ressourcen für die Einführung und Aufrechterhaltung des Informationssicherheits-Managementsystems vorhanden sind, und prüft und genehmigt die Richtlinien und Verfahren zur Informationssicherheit.

Der Verantwortliche für das Informationssicherheits-Managementsystem (ISMS-Verantwortlicher) ist für die Entwicklung, Einführung und Aufrechterhaltung des Informationssicherheits-Managementsystems zuständig. Dazu gehören die Durchführung von Risikoanalysen, die Umsetzung geeigneter Kontrollen und die Berichterstattung an die oberste Leitung über die Wirksamkeit des Systems.

Beschäftigte, Auftragnehmer und Nutzer von Drittparteien sind dafür verantwortlich, diese Richtlinie und alle damit verbundenen Verfahren zur Informationssicherheit einzuhalten. Sie müssen dem ISMS-Verantwortlichen jeden vermuteten Informationssicherheitsvorfall und jede vermutete Schwachstelle melden und an den Schulungs- und Sensibilisierungsprogrammen zur Informationssicherheit teilnehmen.

6.- Sicherheitsmaßnahmen

Im Einklang mit unserer Verpflichtung, die Informationswerte zu schützen und die Integrität unserer Abläufe zu wahren, haben wir ein umfassendes Paket von Sicherheitsmaßnahmen eingeführt. Diese Maßnahmen umfassen eine Reihe von Strategien und Technologien, die darauf abzielen, unsere Systeme, Daten und Ressourcen vor potenziellen Bedrohungen zu schützen und die Vertraulichkeit, Integrität und Verfügbarkeit der für unser Geschäft kritischen Informationen zu gewährleisten.

• Personal: Es werden personelle Sicherheitsmaßnahmen umgesetzt, um sicherzustellen, dass Beschäftigte, Auftragnehmer und Nutzer von Drittparteien ihre Verantwortlichkeiten kennen und darauf vorbereitet sind, die Informationswerte zu schützen.
• Verwaltung von Werten: Es werden Maßnahmen zur Verwaltung der Werte umgesetzt, um sicherzustellen, dass alle Informationswerte während ihres gesamten Lebenszyklus ordnungsgemäß identifiziert, klassifiziert und geschützt werden. Dazu gehören die Pflege eines genauen Inventars der Werte, die Zuweisung der Eigentümerschaft und die Festlegung von Nutzungsrichtlinien. Es werden regelmäßige Audits und Überprüfungen durchgeführt, um sicherzustellen, dass die Werte angemessen geschützt sind.
• Zugangssteuerung: Der Zugang zu den Informationswerten ist ausschließlich auf befugte Nutzer beschränkt. Es werden robuste Authentifizierungs- und Autorisierungsmechanismen eingesetzt, und die Zugriffsrechte werden regelmäßig überprüft, um sicherzustellen, dass sie weiterhin angemessen sind.
• Netzwerksicherheit: Es werden Maßnahmen umgesetzt, um die Netzwerkinfrastruktur des Unternehmens vor unbefugtem Zugriff, Sicherheitsverletzungen und anderen Sicherheitsbedrohungen zu schützen. Dazu gehören Firewalls, Systeme zur Angriffserkennung und eine regelmäßige Netzwerküberwachung.
• Betriebssicherheit: Es werden betriebliche Sicherheitsmaßnahmen angewandt, um die Integrität der betrieblichen Prozesse zu wahren und die sichere Durchführung der täglichen Aktivitäten zu gewährleisten. Dazu gehört die Einführung von Überwachungssystemen und robusten Protokollierungsmechanismen, um verdächtige Aktivitäten schnell zu erkennen und darauf zu reagieren.
• Konfigurationsmanagement: Es wird ein Verfahren zum Konfigurationsmanagement umgesetzt, um sicherzustellen, dass alle Konfigurationen der Informationssysteme und der zugehörigen Werte während ihres gesamten Lebenszyklus systematisch verwaltet, dokumentiert und überwacht werden. Dieser Prozess unterstützt die Informationssicherheitsziele der Organisation, indem er die Integrität und Konsistenz der Konfigurationen wahrt.
• Sichere Entwicklung: Sicherheitspraktiken werden in den Lebenszyklus der Softwareentwicklung integriert, um sicherzustellen, dass Anwendungen sicher konzipiert, entwickelt und gewartet werden. Dazu gehören Code-Reviews, Schwachstellenanalysen und regelmäßige Sicherheitstests.
• Änderungsmanagement: Es wird ein Verfahren zur Steuerung und Dokumentation von Änderungen an den Informationssystemen und der Infrastruktur festgelegt. So wird sichergestellt, dass Änderungen kontrolliert geprüft, genehmigt und umgesetzt werden, wodurch das Risiko von Sicherheitsvorfällen und Betriebsunterbrechungen minimiert wird.
• Risikomanagement: Es werden regelmäßige Risikoanalysen durchgeführt, um Risiken für die Informationswerte zu identifizieren und zu bewerten. Zur Minderung der identifizierten Risiken werden geeignete Kontrollen umgesetzt, und die Wirksamkeit dieser Risikomanagementaktivitäten wird kontinuierlich überwacht und überprüft.
• Datenmanagement: Informationen werden nach ihrer Sensibilität und Kritikalität klassifiziert. Für jede Klassifizierungsstufe werden geeignete Verfahren zum Umgang mit den Informationen festgelegt, die deren Schutz während ihres gesamten Lebenszyklus gewährleisten.
• Vorfallmanagement: Es wird ein Prozess zum Management von Vorfällen eingerichtet und aufrechterhalten, um Informationssicherheitsvorfälle zu erkennen, darauf zu reagieren und den Normalbetrieb wiederherzustellen. Alle Sicherheitsvorfälle sind unverzüglich dem benannten Team für die Reaktion auf Vorfälle zu melden. Vorfälle werden untersucht, um ihre Grundursache zu ermitteln und ein erneutes Auftreten zu verhindern.
• Geschäftskontinuität: Es werden Pläne erstellt und aufrechterhalten, um die Kontinuität der kritischen Geschäftsfunktionen im Fall einer Unterbrechung zu gewährleisten. Diese Pläne werden regelmäßig getestet und aktualisiert, um ihre Wirksamkeit sicherzustellen.
• Management von Drittparteien: Für Lieferanten und externe Partner werden Sicherheitsanforderungen festgelegt und durchgesetzt. Es werden regelmäßige Bewertungen und Überprüfungen durchgeführt, um sicherzustellen, dass Drittparteien die Informationssicherheitsstandards des Unternehmens einhalten.
• Compliance: Die Einhaltung aller anwendbaren Gesetze, Vorschriften und vertraglichen Verpflichtungen im Bereich der Informationssicherheit wird gewährleistet. Es werden regelmäßige Audits und Überprüfungen durchgeführt, um die Einhaltung dieser Richtlinie und des Informationssicherheits-Managementsystems zu überprüfen.
• Sensibilisierung und Kommunikation: Alle Beschäftigten, Auftragnehmer und Nutzer von Drittparteien erhalten regelmäßige Schulungen zur Informationssicherheit. In der gesamten Organisation wird die Kenntnis der Richtlinien, Verfahren und bewährten Praktiken der Informationssicherheit gefördert.

7.- Verbesserung der Sicherheit

heydiga bekennt sich zum Grundsatz der kontinuierlichen Verbesserung der eigenen Praktiken im Informationssicherheitsmanagement. Es werden regelmäßige Bewertungen und Überprüfungen durchgeführt, um Verbesserungspotenziale im ISMS zu ermitteln.

Die Ergebnisse von Audits, Vorfallberichte und Vorschläge der Beschäftigten werden systematisch ausgewertet, um Verbesserungen umzusetzen. Kennzahlen und Leistungsindikatoren werden überwacht, um die Wirksamkeit der Informationssicherheitskontrollen zu messen und Optimierungsmöglichkeiten zu erkennen.

Die kontinuierlichen Verbesserungsbemühungen stellen sicher, dass das ISMS wirksam bleibt, auf neue Bedrohungen reagiert und an den strategischen Zielen von heydiga ausgerichtet ist.

8.- Genehmigung

Geschäftsleitung, heydiga. 16. März 2026.

9.- Sprachen dieser Richtlinie

Diese Sicherheitsrichtlinie wird auf Spanisch, Katalanisch, Englisch, Französisch, Italienisch, Portugiesisch und Deutsch veröffentlicht. Bei Abweichungen zwischen den Fassungen ist die spanische Fassung maßgeblich.