Zweck

Ein effektives Schulungsprogramm zur Informationssicherheit muss aufgebaut und aufrechterhalten werden. Ziel eines solchen Programms ist es, die Wahrnehmung der Mitarbeiter für Sicherheitsrisiken zu schärfen und ihnen die notwendigen Kenntnisse und Kompetenzen für sicherheitsbewusstes Verhalten zu vermitteln. Das vorliegende Dokument beschreibt die Vorgaben an Schulungszeitpunkte und Schulungsinhalte. Es wichtig, dass alle Mitarbeiter Informationssicherheit und Datenschutz als selbstverständlichen Teil ihrer Tätigkeit verinnerlichen und täglich in ihrer Arbeit leben. Regelmäßige Schulungen tragen dazu maßgeblich bei.

Geltungsbereich

Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Schulungszeitpunkte

Jeder Mitarbeiter und jede Mitarbeiterin der Parasol Island wird zu Beginn ihrer Tätigkeit in alle sie für sie wichtigen Bereiche eingewiesen. Dazu gehören insbesondere Informationssicherheit und Datenschutz. Außerdem wird mit regelmäßigen Schulungsmaßnahmen dafür Sorge getragen, dass dieses Wissen zum einen aufgefrischt wird, zum anderen aktualisiert wird. Darüber hinaus können anlassbezogene Schulungen veranstaltet werden, z.B. bei Änderungen gesetzlicher Anforderungen, Umstellung eines Geschäftsprozess oder Einführung einer neuen Software. Da die Parasol Island projektbezogen arbeitet, kann es auch zu Projektbeginn zu Schulungen der Projektteilnehmer kommen, in der projektspezifische Inhalte vermittelt werden. Diese Arten von Schulungen werden im Folgenden genauer beschrieben.

Beginn des Beschäftigungsverhältnisses

Jeder Beschäftige der Parasol Island GmbH ist zu Beginn seines Beschäftigungsverhältnisses zu den Themen Informationssicherheit und Datenschutz zu schulen. Aufgrund der Informationsfülle, denen ein neuer Mitarbeiter in den ersten Schulungen ausgesetzt ist, sind die Inhalte auf das Wichtigste zu beschränken, um sicherzustellen, dass die Informationen in Erinnerung bleiben. Danach sind diese kontinuierlich zu wiederholen und zu erweitern.

Folgende Themen sollen insbesondere behandelt werden:

Richtlinien zur Informationssicherheit und zum Datenschutz
Umgang mit Sicherheitsvorfällen
Richtlinien zu Benutzerkonten und Anmeldeinformationen (z. B. Passwortrichtlinie)
Prototypenschutz (wenn für den Mitarbeiter oder die Mitarbeiterin erforderlich)

Anlassbezogene Schulungen

Es gibt unterschiedliche Anlässe, warum Mitarbeiter verpflichtend geschult werden sollten. Bei Einführung einer neuen Software, deren Benutzer Einfluss auf Informationssicherheit und Datenschutz hat, sollten die Anwender im Umgang damit geschult werden. Dies hilft, Fehler zu vermeiden und damit versehentlich ausgelöste Sicherheitsvorfälle zu vermeiden.

Ähnliches gilt für die Änderung wichtiger Geschäftsprozesse oder Anpassungen an den geltenden Richtlinien und Arbeitsanweisungen.

Projektspezifische Schulungen

Sollten in einem Projekt besondere Anforderungen oder Regelungen gelten (insbesondere fällt darunter der Umgang mit Prototypen), oder z.B. eine Software eingesetzt werden, die nur in diesem Projekt eingesetzt wird, so sollte vor Projektbeginn eine Einweisung aller Projektteilnehmer stattfinden. Dies sollte auch dann zutreffen, wenn für ein Projekt personenbezogene Daten verarbeitet werden.

Diese Regelungen sind schriftlich festzuhalten und für alle Projektmitglieder zugänglich abzulegen. Projektmitglieder, die später in das Projektteam aufgenommen werden, sind vor ihrem Tätigkeitsbeginn darüber aufzuklären.

Kontinuierliche Schulungsangebote

Der Informationssicherheits- und der Datenschutzbeauftragte sollten in regelmäßigen Abständen Kurzschulungen zu verschiedenen Themengebieten anbieten, an denen jeder Mitarbeiter teilnehmen darf. Im Idealfall sind diese Schulungen aufzuzeichnen und online zur Verfügung zu stellen.

Hintergrund ist nicht nur die stetige Weiterbildung der Mitarbeiter, sondern auch das Kennenlernen der Mitarbeiter und der Sicherheitsbeauftragten untereinander sowie das Schaffen von Awareness für die Themen Datenschutz und Informationssicherheit.

Die folgende Tabelle listet die (Höchst-)Intervalle zu den verschiedenen Themen auf:

Themengebiet	Intervall
Informationssicherheit	1 Jahr
Datenschutz	2 Jahre
Prototypenschutz	1 Jahr

Schulungsinhalte

Alle Schulungsinhalte sind regelmäßig auf Aktualität zu überprüfen. Den Schulungsunterlagen ist ein Informationseigentümer zuzuweisen, der die Aufgabe hat, diese regelmäßig zu prüfen und zu aktualisieren. Dies ist unabhängig davon, ob eine konkrete Schulung in einem Bereich angesetzt ist, da die Schulungsunterlagen auch zum Nachschlagen dienen sollen.

Im Folgenden ist eine Liste der Themengebiete aufgeführt, die die Schulungsmaßnahmen der Parasol Island abdecken müssen.

Informationssicherheit

Richtlinie zur Informationssicherheit
Nutzung des ISMS
Melden von Informationssicherheitsereignissen
Verhalten beim Auftreten von Schadsoftware
Richtlinien zu Benutzerkonten und Anmeldeinformationen
- Passwortrichtlinie
- Welche Accounts/welche Systeme
Compliance-Themen der Informationssicherheit
Anforderungen und Verfahren zum Einsatz von Geheimhaltungsvereinbarungen bei der Weitergabe von schutzbedürftigen Informationen
Einsatz organisationsfremder IT-Dienste
Welche Software und welche Tools dürfen verwendet werden? Sollte eine Software nicht dabei sein, an wen kann ich mich wenden? Welche Software ist wofür zu verwenden?
Transfer großer Dateien
Wie werden welche Informationen kommuniziert? Welche Kommunikationswege stehen zur Verfügung? Welche sind wofür geeignet und wofür nicht?

Datenschutz

Was sind personenbezogene Daten?
Umgang mit Datenschutzvorfällen
Bearbeitung und Erstellung des Verzeichnisses von Verarbeitungstätigkeiten (VVT)
Einführung in die DSGVO

Prototypenschutz

„Durch Schulungen/Sensibilisierungen zum Prototypenschutz müssen die Mitarbeiter die notwendigen Kenntnisse und Kompetenzen für sicherheitsbewusstes Verhalten im Umgang mit als schutzbedürftig klassifizierten Fahrzeugen, Komponenten und Bauteilen erwerben.“ (8.2.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Allgemeiner Umgang mit Prototypen
Schutzbedarfe im Prototypenschutz und daraus resultierende Maßnahmen

Dokumentation von Schulungsergebnissen

Die Teilnahme jedes Mitarbeiters oder Mitarbeiterin an einer internen oder externen Veranstaltung zur Fort- und Weiterbildung ist der Personalabteilung zu melden und dort zu dokumentieren. Aus den Daten muss der Wissensstand eines Mitarbeiters erkenntlich sein, so dass die Sicherstellung eines angemessenen Wissensstands ermöglicht wird.