Informationssicherheitspolitik

Einleitung

Dieses Dokument beschreibt die Informationssicherheitspolitik der NÖ BAWU Ges.m.b.H. sowie deren Umsetzung.

Die oberste Leitung (Präsident) sowie der Geschäftsführer stehen vollinhaltlich hinter dieser Politik und unterstützen die Mitarbeitenden bei der Umsetzung und Erfüllung der Vorgaben.

Weiters wird dieses Dokument auf der Homepage www.bawu.at veröffentlicht, um sowohl Mitarbeitende als auch externen Parteien den Rahmen der Informationssicherheitspolitik kenntlich zu machen.

Leitbild

Die NÖ BAWU Ges.m.b.H. steht für Vertrauen, Transparenz und verantwortungsvollen Umgang sowohl der Umwelt als auch mit Informationen. Durch die zunehmende Vernetzung und den damit verbundenen internen sowie externen Risiken ist es notwendig, Anforderungen an die Informationssicherheit zu regeln.

Der Schutz sensibler Daten, der zuverlässige Betrieb unserer IT-Systeme sowie die Einhaltung rechtlicher Anforderungen bilden die Grundlage für unsere tägliche Arbeit.

Die Informationssicherheit ist ein zentraler Bestandteil unserer Organisationskultur und Verantwortung jedes einzelnen Mitarbeitenden.

Diese Sicherheitspolitik dient zum Schutz von Daten, Informationen und daraus entstandenem Wissen vor unberechtigtem Zugriff, Verlust, Zerstörung und Veränderung.

Dadurch wird die Vertraulichkeit, Verfügbarkeit und Integrität der Daten, über die die NÖ BAWU Ges.m.b.h. verfügt, sichergestellt.

Geltungsbereich

Diese Informationssicherheitspolitik gilt:

• für alle Mitarbeitenden der NÖ BAWU Ges.m.b.H, NÖ BAWU Recycling Ges.m.b.H. sowie dem Verein „die NÖ Umweltverbände“
• für alle Prozesse, IT-Systeme, Netzwerke, Anwendungen und Datenbestände,
• sowohl für interne als auch externe Kommunikations- und Datenaustauschprozesse.
• ohne zeitliche und örtliche Einschränkung

Ziele

Die Informationssicherheitspolitik verfolgt folgende Hauptziele:

• Verfügbarkeit: Sicherstellung, dass Informationen und Systeme bei Bedarf verfügbar sind (Sicherheit gegen Verlust und Zerstörung von Informationen)
• Vertraulichkeit: Schutz sensibler Informationen vor unbefugtem Zugriff und Kenntnisnahme sowie Preisgabe von Informationen.
• Integrität: Schutz vor ungewollter sowie manipulativer Veränderung von Informationen und Daten.
• Rechtssicherheit: Einhaltung gesetzlicher und vertraglicher Anforderungen, wie DSGVO, IT-Sicherheitsgesetz etc.
• Sensibilisierung : Förderung des Sicherheitsbewusstseins bei allen Mitarbeitenden.

Ebenso sollen Informationssicherheitsmaßnahmen folgende für uns gleichwertige Ziele wirksam unterstützen:

• Sicherstellung der NÖ BAWU Ges.m.b.H. als zuverlässiger, vertrauensvoller Partner
• Sicherstellung des laufenden Betriebs
• Präventivmaßnahmen zur Schadensvermeidung- und Begrenzung
• Einhaltung gesetzlicher und vertraglicher Vorgaben/Vereinbarungen
• Schutz aller relevanten Daten (personen- als auch geschäftsbezogen)
• Sensibilisierung der Mitarbeitenden für Datensicherheit

Umsetzung

Zur Erreichung der genannten Ziele verpflichtet sich die NÖ BAWU Ges.m.b.H. zu folgenden Maßnahmen:

• Aufbau und Aufrechterhaltung eines Informationssicherheitsmanagementsystems (ISMS) entsprechend NISG 2024 unter Berücksichtigung von Vorgaben der ISO/IEC 27001 Norm.
• regelmäßige Risikobewertungen und Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOMs).
• Regelmäßige Schulungen und Sensibilisierungen aller Mitarbeitenden.
• Festlegung von Verantwortlichkeiten, insbesondere durch Bestellung eines/einer Informationssicherheitsbeauftragten (ISB).
• Durchführung von Audits, Penetrationstests und Notfallübungen.
• Integration der Informationssicherheit in alle Prozesse, Projekte und Änderungen der IT-Infrastruktur.

Verantwortung

Sämtliche Mitarbeitende haben die Verpflichtung, jegliche Maßnahmen zu unterlassen, welche die IT-Sicherheit gefährden. Weiters haben sie die Verpflichtung, Unregelmäßigkeiten zu melden sowie Risiken zu identifizieren sowie bei der Risikoabwehr mitzuwirken bzw. Verbesserungsvorschläge kundzutun.

Verbindlichkeitserklärung

Die Geschäftsführung der NÖ BAWU Ges.m.b.H. verpflichtet sich zur Umsetzung und kontinuierlichen Verbesserung der Informationssicherheit. Sie stellt die erforderlichen Ressourcen bereit und erwartet von allen Mitarbeitenden ein aktives Mitwirken.

Diese Informationssicherheitspolitik tritt mit sofortiger Wirkung in Kraft und wird regelmäßig überprüft und bei Bedarf angepasst.

Ort, Datum:
St. Pölten, 30.04.2025