Source: https://www.compliance-net.de/content/im-spannungsfeld-zwischen-haftung-und-effizienz-corporate-governance-deutschland
Timestamp: 2020-08-14 08:54:21
Document Index: 345929101

Matched Legal Cases: ['§ 11', '§ 11', '§ 11', '§ 11', '§ 11', '§ 11']

compliance-net | Im Spannungsfeld zwischen Haftung und Effizienz – Corporate Governance in Deutschland
StartseiteIm Spannungsfeld zwischen Haftung und Effizienz – Corporate Governance in Deutschland
Als ein Beispiel für die aktuelle Situation sei an dieser Stelle das Bilanzrechtsmodernisierungsgesetz (BilMoG) aus dem Jahre 2009 ein wenig detaillierter beschrieben, mit dessen Hilfe der Gesetzgeber u.a. auch die Anforderungen an Aufsichtsräte weiter konkretisiert hat. Die hier beschriebenen Regelungen gelten dabei für alle Aufsichtsräte, und zwar unabhängig davon, ob sie z.B. eine börsennotierte Aktiengesellschaft oder eine kommunale GmbH zu überwachen haben. Die Anforderungen kennen auch keine Befreiungen aufgrund geringer Unternehmensgröße. Umso wichtiger ist es für die Organe, durch pragmatische Lösungen mögliche persönliche Haftungsrisiken auszuschließen.
Geschäftsführungs- und Aufsichtsratshaftung
Bei der Haftung ist zwar zwischen Geschäftsführungs- und Aufsichtsratshaftung zu unterscheiden; jedoch haftet der Aufsichtsrat grundsätzlich in der gleichen Weise wie der Vorstand, wenn er die ihm obliegenden Pflichten verletzt. Hierbei gelten die Regeln des allgemeinen Schadensersatzrechts, sodass ein Aufsichtsrat bei einer Sorgfaltspflichtverletzung schuldhaft handelt, da die Pflichtverletzung das Verschulden zumeist indiziert. Um eine solche Pflichtverletzung zu vermeiden, muß sich ein Aufsichtsrat zumindest mit den notwendigen Informationen durch die Geschäftsführungsorgane versorgen lassen. Nach dem BilMoG hat der Aufsichtsrat insbesondere
die Wirksamkeit des Internen Kontrollsystems, des Risikomanagementsystems und des Internen Revisionssystems sowie
die Prüfer des Jahresabschlusses (insbesondere im Hinblick auf deren Unabhängigkeit und die von ihnen zusätzlich erbrachten Leistungen) zu überwachen.
Da die Regelungen bereits seit Inkrafttreten des BilMoG im Mai 2009 gelten, sollten sich Aufsichtsräte spätestens jetzt mit den Fragen zur Transparenz und Wirksamkeit der Internen Kontroll- und Risikomanagementsysteme beschäftigen. Die neuen Anforderungen stellen den Aufsichtsrat und die Geschäftsleitung vor bislang unbekannte Herausforderungen:
Was muss der Aufsichtsrat tun, um seiner Überwachungsaufgabe angemessen nachkommen zu können?
Welche Anforderungen muss der Aufsichtsrat an die Geschäftsleitung stellen, um die Wirksamkeit des Internen Kontrollsystems und des Risikomanagementsystems angemessen nachweisen zu können?
Wie müssen Struktur, Umfang und Organisation der o.g. Systeme ausgestaltet und dokumentiert sein, um den Nachweis ihrer Wirksamkeit dauerhaft und effizient führen zu können?
Der Gesetzgeber hat dabei bewusst keine direkten Vorgaben an die konkrete Ausgestaltung dieser Systeme formuliert, sondern überlässt richtigerweise das Design einer angemessenen sowie an die strategischen und operativen Bedürfnissen des Unternehmens ausgerichteten Systemumgebung der Geschäftsleitung.
Systeme nicht neu erfinden
Der Gesetzgeber erwartet dabei keine Neuerfindung der Internen Systeme, da die Unternehmen hierüber bereits regelmäßig in unterschiedlicher Ausprägung verfügen. Die durch das BilMoG konkretisierte Aufgabenstellung sollten Aufsichtsräte jedoch zum Anlass nehmen, einen für ihre jeweilige Unternehmensumgebung anzustrebenden Soll-Zustand eines angemessenen und übergreifenden Risikomanagement-, Kontroll- und Compliance-Frameworks zum Gegenstand der Diskussion zu machen. Denn die betreffenden Systemumgebungen wurden in der Vergangenheit häufig unabhängig voneinander entwickelt und operieren insoweit oft silo-artig neben- und nicht miteinander.
Die Soll-Definition eines solchen sinnvoll integrierten Risiko-, Kontroll- und Compliance-Frameworks dagegen kann helfen,
die Fragen nach dem notwendigem Umfang, der Schwerpunktsetzung sowie der zeitlichen Verteilung der damit verbundenen Investitionen zu beantworten,
etwaige Inkonsistenzen bei wesentlichen Geschäftsprozessen zu identifizieren,
die Weiterentwicklung vereinheitlichter und damit effizienterer Prozesse zu unterstützen,
damit zu einer verbesserten Standardisierung von Kernprozessen und -kontrollen im Unternehmensverbund beizutragen,
das Knowledge Sharing im Unternehmen über wesentliche Prozesse und -kontrollen zu verbessern und
somit das Management bei der Erreichung der strategischen und operativen Geschäftsziele zu unterstützen sowie zu einer nachhaltigeren Performance beizutragen.
Zugleich bietet ein solches Framework die Möglichkeit einer kontinuierlichen Evaluierung, Optimierung und Überwachung des sich im Unternehmen ständig verändernden Risikoprofils.
Das Interne Kontrollsystem sollte grundsätzlich risikoorientiert ausgestaltet sein. Der Umfang der Kontrollmaßnahmen bestimmt sich also immer nach der Risikoexposition. Oder anders formuliert: Wo kein nachhaltiges Risiko existiert, gibt es keinen Grund, in teure Kontrollen zu investieren.
Ein Internes Kontrollsystem sollte nicht dokumentiert werden, bevor eine aktualisierte Übersicht über die Risikosituation im Unternehmen existiert (Risikoinventar). Die Beschreibung der hierdurch als risikorelevant erkannten Kontrollen und Prozesse, bspw. in Richtlinien, Arbeitsanweisungen, ggf. auch durch Prozess-Flow-Charts, stellt erst den zweiten Schritt dar. Ansonsten besteht die Gefahr, Kontrollen zu dokumentieren, die weniger relevant sind, und andere Risikobereiche werden womöglich ganz übersehen. Nur durch eine sinnvolle Risikozuordnung können Ineffizienzen vermieden werden.
Der Aufsichtsrat hat die Wirksamkeit des Internen Kontroll- und Risikomanagementsystems zu überwachen. Aufgrund der aktienrechtlichen Situation in Deutschland wird er sich hierbei zuallererst auf Informationen stützen, die ihm vonseiten der Geschäftsleitung zur Verfügung gestellt werden. Diese wiederum kann und wird dabei in aller Regel auf Untersuchungen der Internen Revision, die Selbstbeurteilung des Managements (bspw. durch Self-Assessment-Methoden) oder auch externe Gutachter (z.B. den Abschlussprüfer oder externe Berater) zurückgreifen.
Eine direkte Kommunikation zwischen Aufsichtsrat und Fachabteilungen (z.B. Risikomanagement oder Interne Revision) wird dagegen nur in begründeten Fällen bzw. nach vorheriger Abstimmung mit der Geschäftsleitung infrage kommen, kann aber als zusätzliche Maßnahme sehr sinnvoll sein.
Die Regulierungswut im Bereich der Corporate Governance scheint weiter ungebrochen, und dies nicht nur vonseiten des Gesetzgebers. So hat auch der letzte Vorstoß der Regierungskommission Deutscher Corporate-Governance-Kodex in Sachen Vielfalt (Diversity) den Bogen für manchen überspannt, da allgemeinpolitische Anliegen wie die Förderung von Frauen und Ausländern an der Unternehmensspitze weit über das hinausgingen, was mit dem ursprünglichem Gedanken der Schaffung eines selbstverpflichtenden Rahmens für ein gute und verantwortungsvolle Unternehmensführung verbunden worden sei. Jürgen Weber, Aufsichtsratschef der Deutschen Lufthansa, hat dies im Rahmen einer Rede vor einigen Monaten bei der Schmalenbach-Gesellschaft so formuliert: „Und wir erleben es, dass der Kodex allmählich von der Politik als eine Art Versandhauskatalog für gesellschaftspolitische „Issues“ ausgewertet wird. Nach folgendem Muster: Aus Anregungen des Kodex werden über Jahr und Tag Empfehlungen. Worauf diese Empfehlungen bei der themensuchenden Politik Aha-Effekte auslösen mit der Folge: Es dauert nicht lange, und der Gesetzgeber wird tätig….“.
Und da nicht nur der Gesetzgeber, sondern auch die laufende Rechtsprechung dazu neigt, die Aufgabenstellung für Aufsichtsräte weiter im Detail zu konkretisieren, kann man der deutschen Financial Times nur beipflichten, die vor kurzem in ähnlichem Zusammenhang titelte:
„Die Zeit der Kaffee- und Abnick-Runden ist vorbei“.
Seien Sie also vorbereitet…..
Ein Beitag von Klaus-Michael Thelemann
Komplexe Welt: Wir hatten (und haben noch) ein Bundesdatenschutzgesetz (BDSG), das bis Mai 2018 vollständig in Kraft ist. Jetzt kommt aber die EU-Datenschutzgrundverordnung (EU-DSGVO), die für uns unmittelbar Gesetzescharakter hat und insofern nicht in nationales Recht umzusetzen ist.Die EU-Verordnung läßt aber Spielraum (und Notwendigkeiten) für nationale Anpassungen. Diese werden bei uns im BDSG (neu) umgesetzt. Wer sich also mit den neuen Vorschriften auseinandersetzen möchte, kommt nicht umhin, die EU-Verordnung in Kombination mit dem BDSG (neu) zu lesen. Als Interpretationshilfe sind der EU-DSGVO noch die ausführlichen Erwägungsgründe mitgegeben, die sehr hilfreich sind.Um dem Leser hier eine Hilfestellung zu bieten und zu erkennen, welche Regelungen wie miteinander korrespondieren, haben wir eine kleine Synopse erstellt, die versucht, die Zusammenhänge darzustellen. Die einzelnen Themen sind über Links mit den Originaltexten verbunden und können so leicht eingesehen werden.Wir nutzen hierfür die schöne Aufbereitung von https://dsgvo-gesetz.de als Ziel der Links.Über Rückmeldungen oder Feedback freuen wir uns! Melden Sie sich gern bei martin.heinzel@compliance-net.com Bitte beachten Sie, dass die Tabelle ledigich eine Hilfestellung sein kann und wir keine Haftung oder Gewährleistung übernehmen. Im konkreten Einzelfall müssen geeignete Recherchen betrieben und Maßnahmen definiert werden.
Im Zuge der Überlegung, welche Maßnahmen für die Compliance zu ergreifen sind, rückt zwangsläufig früher oder später der Aspekt des Business Continuity Management in den Fokus. Nicht nur einschlägige Anforderungen an die IT fordern dies (siehe beispielsweise hier), sondern es ist auch als risikokompensierende Maßnahme ein notwendiges Werkzeug. Der Autor dieses Beitrags stellt und beantwortet diese Frage:Wie können externe Partner zum Erfolg des Risk- und Business Continuity Management in Ihrem Unternehmen beitragen?Häufig stellt sich für Unternehmen die konkrete Frage, wie externe Berater sie bei der Einführung eines angemessenen Risk- und Business Continuity Management unterstützen können. In der Regel steht bei dieser Fragestellung immer der Kostenaspekt mit einem alles überragenden Gewicht im Vordergrund. Die aus einer externen Unterstützung resultierenden Vorteile werden demgegenüber in der Betrachtungsweise allzu häufig besonders stark und gerne vernachlässigt.Der Inhalt der unten angehängten Präsentation diskutiert die Vor- und Nachteile einer Beauftragung externer Partner in Bezug auf das Thema und zeigt mögliche Lösungsansätze für Ihr Unternehmen auf. Partner deshalb, da die Zielenur gemeinsam erreicht werden können,von Anfang an ein Mitarbeiter Ihres Unternehmens in die Aufgabenstellung als zukünftiger Verantwortungsträger mit eingebunden wird unddiese Aufgabenstellung kein Einmalprojekt darstellt, sondern nach dem Initialprojekt in einen Prozess übergeht, der täglich gelebt werden muss.Der Autor steht für Rückfragen und Gespräche gern zur Verfügung.
Ein wesentlicher Erfolgsfaktor für die Funktionsfähigkeit unserer modernen Gesellschaft ist die Energieversorgung. Diese umfasst die Versorgung der Gesellschaft mit Strom, Gas, Wasser und Heizverfahren aus unterschiedlichsten Quellen. Als Quellen können Windkraftanlagen, Kohlekraftwerke, Kernkraftwerke, Wasserkraftwerke, Wärmekopplungsanlagen, Gezeitenanlagen, Biogasanlagen, Solaranlagen, Gaskraftwerke und weitere Anlagen der Energiegewinnung genannt werden.Waren es bis Ende der 1990er-Jahre im Wesentlichen Kohle-, Wasser- und Kernkraftwerke, so sind es heute immer mehr Windkraft-, Biogas-, Solar- und Wasserkraftwerke, Tendenz stark steigend. Darüber hinaus hat die Liberalisierung des Energiemarktes dazu beigetragen, dass die Anzahl der Marktteilnehmer in Bezug auf die Erzeugung und den Handel sowie den Vertrieb der Energie stark gewachsen ist. Betrug der Anteil der erneuerbaren Energie (Wasser, Wind, Biogas, Batterie, Sonne …) 2014 rund 28%, so wird sich dieser 2050 voraussichtlich bundesweit insgesamt 80% oder mehr belaufen, wie einer von der IRR-Innovationsregion Rheinisches Revier GmbH (Jühlich) beauftragten Studie zu entnehmen war. Nicht zu vergessen ist in diesem Zusammenhang die immer noch bestehende Absicht der heutigen Bundesregierung, bis Ende 2022 den Ausstieg aus der Kernenergie als Energielieferant geschafft zu haben.Anhand der Energieversorgungseinrichtungen für Strom (Netzbetreiber) lässt sich der Sachverhalt der ansteigenden Energieversorger gut verdeutlichen. Waren es früher vier bis sechs große regionale und überregionale Netzbetreiber, Netzverteiler und Energieversorger, so sind es heute bundesweit wesentlich mehr kleinere und mittelständische Netzbetreiber (z.B. Stadtwerke), welche die Auflagen der Bundesnetzagentur (BNetzA) erfüllen müssen.Die Bundesregierung hat auf die Abhängigkeit der Gesellschaft von den Energieversorgungseinrichtungen unter anderem mit dem seit Juli 2015 geltenden IT-Sicherheitsgesetz reagiert. Neben diesem Gesetz und der Definition „Kritischer Infrastrukturen” ist von den Netzverteilern und Netzbetreibern auch das Energiewirtschaftsgesetz (vgl. § 11 Abs. 1a EnWG) zu berücksichtigen. So schreibt das Energiewirtschaftsgesetz (EnWG) für Netzbetreiber einen angemessenen Schutz gegen Bedrohungen für Telekommunikations- und elektronische Datenverarbeitungssysteme vor, der für einen sicheren Netzbetrieb einzuhalten ist. Die Schutzziele der Informationssicherheit werden hierin wie folgt definiert:- die Sicherstellung der Verfügbarkeit der zu schützenden Systeme und Daten (diese sind auf Verlangen einer berechtigten Einheit zugänglich und nutzbar),- die Sicherstellung der Integrität der verarbeiteten Informationen und Systeme (zum einen die Richtigkeit und Vollständigkeit der verarbeiteten Daten und zum anderen die korrekte Funktionsweise der eingesetzten Systeme) und- die Sicherstellung der Vertraulichkeit der mit den betrachteten Systemen verarbeiteten Informationen (darunter wird der Schutz der Systeme und Daten vor unberechtigtem Zugriff durch Personen und/oder Prozesse verstanden). IT-Sicherheitskatalog der BundesnetzagenturDamit Aufsichts- und Regulierungsbehörden die durch einen Netzbetreiber implementierten Sicherheitsmechanismen in Bezug auf einen angemessen Schutz gegen Bedrohungen für Telekommunikations- und elektronische Datenverarbeitungssysteme beurteilen können, nutzen diese entsprechende internationale Standards bzw. selbst aufgestellte Maßgaben wie z.B. den IT-Sicherheitskatalog der BNetzA, welcher eine Zertifizierung, basierend auf dem Standard ISO/IEC 27001, zum Gegenstand hat sowie weitere Maßgaben beschreibt. Durch den IT-Sicherheitskatalog konkretisiert die BNetzA die Ausführungen des § 11 Abs. 1a EnWG:„Der Betrieb eines sicheren Energieversorgungsnetzes umfasst insbesondere auch einen angemessenen Schutz gegen Bedrohungen für Telekommunikations- und elektronische Datenverarbeitungssysteme, die für einen sicheren Netzbetrieb notwendig sind. Die Regulierungsbehörde erstellt hierzu im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik einen Katalog von Sicherheitsanforderungen und veröffentlicht diesen. Der Katalog der Sicherheitsanforderungen enthält auch Regelungen zur regelmäßigen Überprüfung der Erfüllung der Sicherheitsanforderungen. Ein angemessener Schutz des Betriebs eines Energieversorgungsnetzes liegt vor, wenn dieser Katalog der Sicherheitsanforderungen eingehalten und dies vom Betreiber dokumentiert worden ist. Die Einhaltung kann von der Regulierungsbehörde überprüft werden. Zu diesem Zwecke kann die Regulierungsbehörde nähere Bestimmungen zu Format, Inhalt und Gestaltung der Dokumentation nach Satz 4 treffen.“Im Rahmen der Konkretisierung der Ausführungen zum § 11 Abs. 1a EnWG hebt die BNetzA auch hervor, dass der Netzbetreiber für die Erfüllung der Schutzziele die alleinige Verantwortung trägt und hat das in folgendem Wortlaut festgehalten: „Die Verantwortung für die Erfüllung der Schutzziele trägt der Netzbetreiber, auch wenn er sich hierzu Dritter bedient. Er stellt die Erarbeitung, Kommunikation, Durchführung und Dokumentation der zur Umsetzung der Schutzziele getroffenen Maßnahmen innerhalb der Organisation sicher.“ Der „Fahrplan“ der Bundesnetzagentur Ferner lässt sich aus dem IT-Sicherheitskatalog der BNetzA für Netzbetreiber ein „Fahrplan“ ableiten, der unter anderem vorsieht, verbindlich einen Ansprechpartner „IT-Sicherheit“ (vgl. Abschnitt F II Abs. 2 IT-Sicherheitskatalog) zu benennen. Der Ansprechpartner „IT-Sicherheit“ eines Netzbetreibers und dessen Kontaktdaten sind der Bundesnetzagentur bis zum 30.11.2015 mitzuteilen. Dieser hat die Aufgabe, der BNetzA auf Anfrage unverzüglich Auskunft zu geben, u.a. in Bezug auf die nachfolgenden Punkte:- Umsetzungsstand der Anforderungen betr. IT-Sicherheitskatalog- aufgetretene Sicherheitsvorfälle inkl. Art und Umfang der hierdurch hervorgerufenen Auswirkungen- Ursachen für auftretende Sicherheitsvorfälle sowie Maßnahmen zur Behebung und Vermeidung- Sicherstellung der Anbindung an Kommunikationsinfrastrukturen für Lageberichte und Warnmeldungen sowie der Bewältigung großflächiger IKT-Krisen.Gemäß IT-Sicherheitskatalog BNetzA, vgl. Abschnitt F II Abs. 1, hat der Netzbetreiber der BNetzA bis zum 31.01.2018 den Abschluss des Zertifizierungsverfahrens auf Grundlage der ISO/IEC 27001 Standard „Informationssicherheitsmanagementsysteme – Anforderungen“ (i.V.m. ISO/IEC 27019 Standard „Leitlinien zum Informationssicherheitsmanagement auf Basis ISO/IEC 27002 für die Telekommunikation für die Energiewirtschaft“, welcher auf dem ISO/IEC 27002 Standard „Leitfaden zum Informationssicherheitsmanagement“ basiert) über die DAkkS und durch Vorlage einer Kopie des Zertifikates mitzuteilen.Grob gestaffelt sieht der „Fahrplan“ der BNetzA folgende Sachverhalte vor:1) Benennung eines Verantwortlichen für die IT-Sicherheit innerhalb der Organisation des Netzbetreibers und Meldung dieser Person mit Kontaktdaten an die Regulierungsbehörde bis zum 30.11.20152) Aufbau eines maßgabenkonformen Informationssicherheitsmanagementsystems (ISMS) mit eigenen Ressourcen3) Prüfung des maßgabenkonformen ISMS durch akkreditierte Prüfer, abgeschlossen bis zum 31.01.2018 mit Meldung der Zertifizierung an die BNetzA. Maßgebend für ein InformationssicherheitsmanagementsystemAls maßgebend für ein ISMS bei einem Netzbetreiber sind in diesem Zusammenhang unter anderemdas Gesetz über die Elektrizitäts- und Gasversorgung (insb. §§ 11 Abs. 1a, 21d, 21e, 21i EnWG) sowie entsprechende Rechtsverordnungender IT-Sicherheitskatalog der BNetzA gemäß § 11 Abs. 1a EnWGdie ISO/IEC Standards 27019 i.V.m. ISO/IEC 27002 und ISO/IEC 27001 für ein angemessenes ISMSBSI-CC-PP-0073 „Schutzprofil für ein Smart Meter Gateway“ des BSIBSI-CC-PP-0077 „Schutzprofil für das Sicherheitsmodul eines Smart Meter Gateways“ des BSIBSI TR-03109 „Technische Vorgaben für intelligente Messsysteme und deren sicherer Betrieb“ des BSIBSI Grundschutzhandbücher 100-1 bis 100-4Whitepaper des BDEW „Anforderungen an sichere Steuerungs- und Telekommunikationssysteme“ISO/IEC 31000 Standard „Risikomanagement - Allgemeine Anleitung zu den Grundsätzen und zur Implementierung eines Risikomanagements“hauseigene Vorschriftenzu berücksichtigen.Um den „Fahrplan“ der BNetzA einhalten zu können, sollten sich die Unternehmen mit den unterschiedlichen Standards und deren Anforderungen zeitnah auseinandersetzen, entsprechende Verantwortung definieren und Organisationsstrukturen und Prozesse schaffen, welche den gestellten Anforderungen gerecht werden. Hierbei können folgende Schritte hilfreich sein:ermitteln, was die Regulierungsbehörde tatsächlich in Bezug auf Ihre Energieversorgungseinrichtung benötigt (vgl. Maßnahmenkataloge der zertifizierungsrelevanten Sachverhalte)Definition/Entscheidung der Vorgehensweise (eigene Maßnahmen, unterstützende Maßnahmen, Zertifizierung) in Bezug auf die Erfüllung der Anforderungskriterien bzw. ZertifizierungssachverhaltePrüfung der bereits umgesetzten und etablierten Verantwortlichkeiten, Maßnahmen, Organisationsstrukturen und Prozesse in Bezug auf die Erfüllung der Anforderungskriterien bzw. Zertifizierungssachverhalteggf. Modifikation der vorliegenden Verantwortlichkeiten, implementierten Maßnahmen, Organisationsstrukturen und Prozesse sowie Dokumentationsanforderungen zur Erfüllung der Anforderungskriterien bzw. ZertifizierungssachverhaltePre-Audit durch ein unabhängiges Unternehmen mit einer Stellungnahme zu möglichen Schwachstellenggf. Nutzung von Unterstützungsmöglichkeiten zur Vorbereitung einer Zertifizierung Möglichst ganzheitlicher Ansatz – (IT-) Sicherheit beeinflusst nicht nur die IT-Abteilung oder das IT-Management Sowohl bei der Einführung als auch bei der Modifikation eines ISMS empfiehlt es sich unter anderem, die jeweils individuelle Ausprägung der nachfolgend aufgeführten Bereiche eines Netzbetreibers zu berücksichtigen.Im Rahmen der Betrachtung eines entsprechenden Ansatzes sollte ein ganzheitlicher Ansatz gewählt und alle für dieses Thema relevanten Ansprechpartner eines Unternehmens von Anfang an mit einbezogen werden, um die größtmögliche Thementransparenz im Unternehmen zu schaffen, interdisziplinäres Know-how im Sinn der Aufgabenstellung zu nutzen und zu vermeiden, dass ein entsprechendes Projekt durch bereichsspezifische Sachverhalte (z.B. die Notwendigkeit der Neu- oder Nachverhandlung von Verträgen mit Dritten) ins Stocken gerät oder bereits durchgeführte Arbeiten erneut verrichtet werden müssen.Die vorstehende Abbildung gibt einen entsprechenden Ansatz wieder und erhebt nicht den Anspruch auf Vollständigkeit. Bewährter Projektansatz Sollte ein Projekt für die Umsetzung der Anforderungen der Aufsichts- und Regulierungsbehörden aufgesetzt werden, so hat sich in der Vergangenheit bei ähnlich gelagerten Projekten der nachfolgend skizzierte Ansatz bewährt:Akzeptanz in der gesamten betroffenen Organisation ist erfolgskritisch. Daher sollte das Projekt offiziell durch die Geschäftsführung/den Vorstand des betroffenen Netzbetreibers gut sichtbar unterstützt werden. Ohne eine Zustimmung und Freigabe eines ISMS durch eine Geschäftsführung/einen Vorstand ist eine Zertifizierung nach ISO/IEC 27001 nicht möglich.Scope (welche Organisation, welche Systeme) und einzubeziehende Dienstleister (auch interne) frühzeitig definieren und den Geltungsbereich festlegen: Das spart Zeit und Geld und schont Ressourcen.Die punktuelle Einbeziehung des Prüfers (soweit bekannt) bereits im Projektverlauf hilft, dessen Sicht einzubringen, und bereitet ihn auf das Projekt vor. Anstelle der Einbeziehung des Prüfers könnte auch auf andere fachlich spezialisierte Prüfer in diesen Themenbereichen zurückgegriffen werden, um einen sogenannten Pre-Audit durchzuführen. Das kann im besten Fall die Prüfungszeit verkürzen und dazu beitragen, im Vorfeld Missverständnisse zu beheben, die zu einer möglichen Versagung der Zertifizierung führen könnten.Implementierung von Kontrollaktivitäten sowie die Sicherstellung der Nachvollziehbarkeit dürfen nicht „für den Prüfer“ gemacht werden. Es sollten sinnvolle Aktivitäten und Dokumentationswege zur Zielerreichung gefunden werden, die in die Organisation integriert und nicht aufgesetzt werden. Die Mitarbeiter der Organisation sollten die implementierten Kontrollaktivitäten akzeptieren und leben – Awareness schaffen.Aufwand für notwendige Maßnahmen, Organisations- und/oder Prozessänderungen bzw. die Implementierung von Kontrollen darf nicht unterschätzt werden (damit ist u.U. die Anpassung unternehmensweiter Richtlinien verbunden). Die ISO/IEC 27001 beinhaltet z.B. 14 Control Sections und 114 Controls. Die ISO/IEC 27019 i.V.m. mit der ISO/IEC 27002 stellt ebenfalls einen hohen Umfang an Maßgaben, die zu berücksichtigen sind.Entscheidungsträger müssen definiert und verfügbar sein und zeitnahe Entscheidungen treffen. Dies ist einer der kritischen Erfolgsfaktoren für die Umsetzung eines solchen Projektes.Es sollte nicht auf der Basis von unklaren Vorgaben oder Vermutungen gearbeitet werden. Dies führt oft zu erheblichem Mehraufwand, da die Auslegung oder Interpretation von Maßgaben nicht im Sinne eines Prüfers gedeutet werden könnte. Hier sollte, bevor eine „falsche“ Richtung eingeschlagen wird, immer Rücksprache mit den verantwortlichen Entscheidungsträgern gehalten werden. Fazit – Der durch die BNetzA festgelegte Fahrplan drängt die Unternehmen zum HandelnDas Fazit ist, dass die Netzbetreiber durch die Maßgaben der Gesetzgeber und Verbände teilweise einen erheblichen und nicht zu unterschätzenden Aufwand betreiben müssen, um den Anforderungen gerecht zu werden. Die Einführung für ein ISMS wird von den meisten Unternehmen (89%), nach einer Studie der Bitkom und VKU, auf 1-3 Jahre determiniert, mit einem personellen Aufwand von 3,7 Personenstellen während der Einführungsphase. Die verbleibenden rd. 24 Monate – Zieltermin für den Nachweis der Zertifizierung gegenüber der Bundesnetzagentur ist der 31.01.2018 – bilden in diesem Zusammenhang ein mitunter sehr enges Zeitfenster, um das Unternehmen eines Netzbetreibers entsprechend zu positionieren.Eine sachgerechte und nachhaltige Dokumentation in Bezug auf die Umsetzung der gesetzlichen Maßgaben steht hierbei im Vordergrund. Um Richtlinien und entsprechende Dokumentationen zu managen, bietet es sich daher an, neben den üblicherweise genutzten Plattformen wie Microsoft SharePoint, entsprechende Produkte, wie z.B. PolicyHub der Firma Mitratech, einzusetzen, da hierdurch unternehmensweit ein sicheres und einfaches Verwalten der geltenden Richtlinien und Arbeitsanweisungen gewährleistet werden kann. Mittels dieses Produktes kann z.B. nachweisbar ein vollständiger Policy-Life-Cycle abgebildet und spezielle Personen oder Gruppen können dediziert angesprochen werden. Ein integriertes Erinnerungs- und Workflowmanagement unterstützt bei der Umsetzung und Einführung von neuen oder veränderten Richtlinien und Arbeitsanweisungen. Quellen:[1] IT-Sicherheitskatalog gemäß § 11 Abs. 1 a Energiewirtschaftsgesetz; Bundesnetzagentur; August 2015[2] Whitepaper – Anforderungen an sichere Steuerungs- und Telekommunikationssysteme; BDEW Bundesverband der Energie- und Wasserwirtschaft e.V.; Berlin; 25.02.2015[3] TransmissonCode 2007 - Netz- und Systemregeln der deutschen Übertragungsnetzbetreiber; Verband der Netzbetreiber-VN-e.V. beim VDEW, Berlin; Version1.1.; August 2007[4] ISO/IEC 27001:2013 - Information technology – Security techniques – Information security management systems – Requirements; International Organization for Standardization; Schweiz; 2013[5] ISO/IEC 27002:2013 - Information technology -- Security techniques -- Code of practice for information security controls; International Organization for Standardization; Schweiz; 2013[6] ISO/IEC 27005:2011 - Information technology -- Security techniques -- Information security risk management; International Organization for Standardization; Schweiz; 2011[7] ISO/IEC 27019:2013 - Information technology -- Security techniques -- Information security management guidelines based on ISO/IEC 27002 for process control systems specific to the energy utility industry; International Organization for Standardization; Schweiz; 2013[8] Leitfäden zur Überprüfung eines technischen Sicherheitsmanagements (TSM) für Versorgungswirtschaft und Industrie; DWA Deutsche Vereinigung für Wasserwirtschaft, Abwasser und Abfall e.V.; Hennef; 2014[9] ISO 27001:2013 - Alter Wein in neuen Schläuchen?; Krause, Klaus-Dieter; compliance-net.de; ISSN 2129-3515; März 2014[10] Praxisleitfaden IT-Sicherheitskatalog - Anforderungen an die IT für den sicheren Betrieb von Energieversorgungsnetzen; Bitkom - Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V., Berlin und VKU, Berlin; September 2015[11] IT Sicherheitsgesetz (ITSIG); Drucksache 18/4096 vom 25.02.2015; in Kraft getreten am 24.07.2015