Telearbeitsrichtlinie

Die Telearbeitsrichtlinie (P09) bietet ein umfassendes Rahmenwerk zur Steuerung von sicherem Fernzugriff und zur Minderung der besonderen Risiken verteilter Arbeitsumgebungen. Sie ist für sämtliches Personal konzipiert, einschließlich Vollzeit-, Teilzeit- und Vertragsmitarbeiter, Drittdienstleister, Berater, Drittanbieter und projektbezogenes Personal, die berechtigt sind, Aufgaben außerhalb der Unternehmensstandorte auszuführen. Die Richtlinie gilt in allen Regionen und Zeitzonen, in denen die Organisation tätig ist, und stellt eine einheitliche Sicherheitsbasislinie sicher – unabhängig davon, wo oder wann Telearbeit erfolgt. Zweck ist die Aufrechterhaltung von Vertraulichkeit, Integrität und Verfügbarkeit der Informations-Assets der Organisation, auf die außerhalb des Standorts zugegriffen wird oder die dort verarbeitet werden. Dies wird durch robuste technische und prozedurale Schutzmaßnahmen erreicht, darunter verpflichtende Verschlüsselung, starke Authentifizierung (einschließlich Multi-Faktor-Authentifizierung), Endpunktschutz sowie sichere Zugriffskanäle wie Virtuelle Private Netzwerke (VPN) oder Remote-Desktops. Die Richtlinie ist eng an die Anforderungen von ISO/IEC 27001:2022 ausgerichtet, einschließlich Anhang A Maßnahme 6.7, die sichere Bedingungen für Telearbeit adressiert und sowohl physische als auch logische Schutzmaßnahmen abdeckt. Die Kontrollen berücksichtigen zudem Branchenanforderungen wie NIST SP 800-53 (für Zugriffs- und kryptographische Schutzmaßnahmen), DSGVO und NIS2 (für Datensicherheit und Datenschutz) sowie DORA (für finanzielle IKT-Resilienz). Spezifische Abschnitte der Richtlinie definieren Rollen und Verantwortlichkeiten in der Geschäftsleitung, der Informationssicherheitsführung (Chief Information Security Officer (CISO)/ISMS-Manager), im IT-Betrieb, im Personalwesen, bei Linienvorgesetzten, in Recht/Compliance sowie bei Remote-Personal selbst. Beispielsweise ist die IT für die Bereitstellung und Unterstützung sicherer Infrastruktur, die Nachverfolgung der Geräte-Compliance und die Pflege von Ereignisprotokollen verantwortlich. Mitarbeiter und beauftragte Remote-Arbeitskräfte müssen die Vorgaben zur sicheren Gerätenutzung, zu genehmigten Zugriffsmethoden, zu Regeln für die Datenverarbeitung einhalten und Sicherheitsvorfälle oder Geräteverlust unverzüglich melden. Die Richtlinie untersagt Fernzugriff strikt außerhalb autorisierter Konfigurationen und verlangt, dass alle Geräte – unternehmenseigene oder Bring-Your-Own-Device (BYOD) – die Basissicherheit (Konfiguration, Patching, Verschlüsselung, Schutz vor Schadsoftware) sowie die Anforderungen an die Asset-Erfassung erfüllen. Governance-Mechanismen innerhalb der Richtlinie adressieren Risikobehandlung, Ausnahmemanagement und Durchsetzung konsequent. Risikokategorien wie Diebstahl von Zugangsdaten, Datenexfiltration, Insider-Bedrohungen, regulatorische Verstöße und Malware-Kompromittierung werden durch gestaffelte Kontrollen adressiert: rollenbasierte Zugriffskontrolle, SIEM-Warnmeldungen, Endgerätesicherheit, Regeln für die Datenverarbeitung und Benutzerschulungen. Darüber hinaus müssen alle Ausnahmen durch den Chief Information Security Officer (CISO) genehmigt, dokumentiert und regelmäßig überprüft werden. Kontinuierliche Aufsicht wird durch Überwachung, zentralisierte Audit-Protokollierung und definierte Auditprozesse sichergestellt. Richtlinienverstöße unterliegen dem Entzug von Zugriffsrechten, Disziplinarmaßnahmen, Vertragsbeendigung oder rechtlichen Schritten. Die Richtlinie ist zudem eng mit verwandten Richtlinien integriert, darunter Informationssicherheit, Richtlinie zur zulässigen Nutzung, Zugriffskontrollrichtlinie, Risikomanagement, Asset Management, Datenaufbewahrung und Entsorgung sowie Protokollierungs- und Überwachungsrichtlinie, um ein durchgängiges Governance-Modell für Telearbeit zu bilden. Der jährliche oder ereignisgesteuerte Überprüfungszyklus stellt die Reaktionsfähigkeit auf sich entwickelnde Bedrohungen, regulatorische Änderungen oder technologische Weiterentwicklungen sicher; alle Aktualisierungen werden formal kommuniziert und bestätigt. Dadurch werden sichere, konforme und zuverlässige Abläufe in allen Telearbeitsszenarien konsistent durchgesetzt.