OrgEh - Organisationseinheiten

Ein Unternehmen besteht aus Organisationseinheiten, die sich an den einzelnen Verarbeitungsprozessen beteiligen. Diese Prozesse. wiederum finden in einer oder mehreren Organisationseinheiten statt. Das Erstellen und Verarbeiten von Daten erfolgt in diesen Organisationseinheiten überwiegend IT-gestützt und unter Verwendung von IT-Ressourcen. Je kritischer die Organisationseinheit, desto größer der potentielle Schaden und desto höher die Anforderung an die Schutzziele Verfügbarkeit, Vertraulichkeit und Integrität.

Eine Organisationseinheit ist in allen HITGuard Kernelementen ein Pflichtfeld. Jede Schutzbedarfs- und Schwachstellenanalyse, sowie alle Maßnahmen und Kontrollen müssen sich stets auf eine Organisationseinheit beziehen, die dafür verantwortlich ist.

Die Struktur der Organisationseinheiten ist hierarchisch.

Wichtig: Um OrgEhs in einem Managementsystem benutzen zu können, müssen sie für den Analysezeitraum durch ein Häkchen aktiviert sein. Das Häkchen der neuen OrgEh übernimmt dabei immer die Häkchensetzung ihrer übergeordneten OrgEh. Wenn Sie eine neue OrgEh erstellen, die keine übergeordnete OrgEH hat, so wird kein Häkchen automatisch gesetzt. Sie müssen es daher selbst unter Administration > Managementsystem > Aktiver Analysezeitraum aktivieren.

Darstellung aus der Strukturanalyse vom Risikomanagement

Arbeiten mit Organisationseinheiten

OrgEhs können von Administratoren und Experten über "Administration → OrgEhs" angelegt oder bearbeitet werden. Um eine neue OrgEh anzulegen, klicken Sie auf den "Plus" Button. Um eine bestehende OrgEh zu bearbeiten, öffnen Sie sie mittels Doppelklick in die entsprechende Zeile.

Übersicht über die Organisationsstruktur

Maske zum Bearbeiten/Erstellen einer Organisationseinheit

Für jede Organisationseinheit gibt es einige Felder, mit der Sie sie näher definieren können:

Kürzel und Bezeichnung:
Bei der Bezeichnung tragen Sie den zugewiesenen Namen der OrgEh ein, während sie beim Kürzel eintragen, wie die OrgEh abgekürzt werden soll. Achten sie darauf, dass HITGuard dieses Kürzel in der Strukturanalyse und beim Generieren von Kürzeln verwenden wird.

Sortierreihenfolge: Legt fest, in welcher Reihenfolge die OrgEhs zB in einem Bericht aufgelistet werden.

Übergeordnete OrgEh: Hier stellen sie die hierarchische Struktur der Organisationseinheiten her, indem Sie eintragen, wie sich die OrgEh in die Hierarchie fügt, zB zu welcher Gesellschaft eine Abteilung gehört.

Typ: Hier legen Sie fest, um welche Art von Organisationseinheit es sich handelt: Konzern, Gesellschaft, Abteilung, Entität, oder Niederlassung.

Sparte: Hier legen Sie fest, in welchen Sparten die OrgEh aktiv ist. Sparten werden vor allem im Add-on für die Auditplanung verwendet.

Verantwortlich: Die hier eingetragene Personen ist für die OrgEh verantwortlich. Es ist beispielsweise der Leiter einer Abteilung.

Beschreibung: Hier beschreiben Sie die OrgEh.

Geschlossen: Wird eine OrgEh geschlossen, wird sie nur mehr auf dieser Seite angezeigt. Sie kann für keine neuen Elemente mehr ausgewählt werden. Das Deaktivieren hat keine Auswirkung auf aktuelle Zuweisungen und die OrgEh kann auch bei Berichten weiterhin ausgewählt werden.

Aktiv von/bis: Hier legen Sie den Zeitraum fest, in dem die OrgEh in HITGuard aktiv sein soll. Ist die OrgEh nicht mehr aktiv, aber nicht geschlossen, kann sie weiterhin überall ausgewählt werden, wird aber kursiv dargestellt, um zu signalisieren, dass sie inaktiv ist.

ID in Drittsystem: HITGuard verwendet diese ID um einzelne OrgEs beim Import zu identifizieren. Es ist daher nicht möglich zwei OrgEhs mit derselben ID im Drittsystem in einer HITGuard-Instanz zu speichern.
Wird eine OrgEh importiert, deren ID mit der ID einer bereits existierenden Ressource übereinstimmt, dann wird keine neue OrgEh angelegt. Stattdessen trägt HITGuard die Daten des Imports in die bestehende OrgEh ein. Diese Funktion eignet sich für automatisierte Updates. Mehr dazu erfahren sie unter Datenimport.

Risiken: Hier werden alle der OrgEh zugewiesenen Risiken angezeigt. Es ist nicht möglich, hier Risiken zuzuweisen oder neu zu erstellen. Mehr zu Risiken finden Sie hier.

Anschrift: Hier können Sie die Anschrift der OrgEh eintragen und ein Häkchen setzen, wenn die Organisationseinheit außerhalb der EU liegt. Falls sie sich in einem Datenschutzmanagementsystem befinden, können sie danach die geeigneten Garantien erfassen (mehr dazu weiter unten).

OrgEh löschen: Zum Löschen klicken Sie in der Bearbeitungsmaske auf den roten Mülleimer. Eine OrgEh kann nur gelöscht werden, wenn nichts damit verknüpft ist. Das heißt, sie darf in keinem aktiven oder vergangenen Analysezeitraum aktiviert sein. Außerdem müssen alle zugeordneten Maßnahmen, Überprüfungen und andere Elemente einer anderen passenden OrgEh zugewiesen oder gelöscht werden. Falls dies nicht möglich ist, kann man die OrgEh als geschlossen kennzeichnen.

Datenschutzmanagementsystem

Handelt es sich beim aktiven Managementsystem um das Datenschutzmanagementsystem, können Sie geeignete Garantien sowie die Kontaktdaten des Datenschutzbeauftragten der OrgEh erfassen. Diese werden für die Auswertung im Datenschutzmanagement benötigt.

Findet HITGuard bei der Auswertung einer OrgEh keinen Datenschutzbeauftragten, so wird der Beauftragte der übergeordneten OrgEh herangezogen. Das heißt: Gibt es nur einen Beauftragten in der Organisationsstruktur, so muss dieser nur in der rangobersten OrgEh eingetragen werden.

Datenschutzbeauftragter

Abweichungen/Maßnahmen/Kontrollen

In den weiteren Tabs werden Abweichungen, Maßnahmen und Kontrollen gelistet, die mit der Entität über Prüfobjekte in Verbindung stehen. Es handelt sich bei diesen Reitern nur um Übersichtslisten. Das bedeutet hier können Sie keine Abweichungen, Maßnahmen oder Kontrollen zuweisen.

Auditinformation

Im Tab "Auditinformation" kann man zusätzliche Informationen festhalten, die im Kontext von Audits relevant sind:

• Mitarbeiteranzahl: Hier kann man die Anzahl der Mitarbeiter festhalten.
• Lokaler Managementbeauftragter: Der LMB ist der Auditkoordinator und Ansprechpartner, der für jede OrgEh vom Typ Gesellschaft festgelegt werden sollte.
• "Vorschlag, diese OrgEh in jedem Auditprogramm zu auditieren": Diese OrgEhs werden vorgeschlagen, wenn man bei der Planung im Auditkalender oder bei der Auditerstellung das entsprechende Häkchen bei der Filterung setzt.
• Zertifizierungen: Hier können Normen (aus Standards und Normen) ausgewählt und zugewiesen werden, nach denen die OrgEh zertifiziert ist. Zu diesen Normen kann dann jeweils eine Reg.-Nr. sowie eine Standortnummer erfasst werden.

Auditinformation

Sparten

OrgEhs können je nach Tätigkeitsbereich mehreren Sparten zugeordnet werden. Sie können diese Funktionen im Add-on für die Auditplanung verwenden.

Unter "Administration → Organisationseinheiten bearbeiten | Sparten" können Sie die Sparten verwalten.

Sparten

Sparte erstellen/bearbeiten

Durch Klick auf den "Plus" Button kann eine neue Sparte erstellt werden.

Durch Doppelklick auf eine Sparte kann diese bearbeitet werden.

Sparte bearbeiten

Themenverantwortung

Themenverantwortungen kommen bei der Mehrfachanlage von Maßnahmen in Akten zur Anwendung. Sie können damit die Verantwortung für bestimmte Themen nach Organisationseinheiten festlegen.

Um Themenverantwortungen nutzen zu können, muss zuerst unter "Maßnahmen → Einstellungen" die Checkbox "Themenverantwortung" selektiert werden. Dies blendet den Menüpunkt im Breadcrumb-Menü unter "Administration → OrgEhs" ein. Themenverantwortungen erlauben ihnen mehrere Maßnahmen auf einmal an viele OrgEhs verteilen. Hier können Sie die Verantwortlichen für die OrgEhs vorbereiten.

Sie können eine neue Themenverantwortung mit einem Klick auf den Plus-Button erstellen. Sie können eine bestehende Themenverantwortung mit einem Doppelklick auf die Liste öffnen.

Danach können Sie eine Bezeichnung und eine Beschreibung eintragen.

Themenverantwortung bearbeiten

Selektieren Sie für die Themenverantwortung die gewünschten Organisationseinheiten für das jeweilige Thema.

Hinweis: Ihnen stehen alle OrgEhs zur Verfügung, die für den aktuellen Analysezeitraum aktiviert sind. Die anderen sind nicht selektierbar.

Für jede selektierte Organisationseinheit müssen Sie dann eine verantwortliche Person oder ein verantwortliches Team eintragen, denen dann bei der Mehrfachanlage von Maßnahmen diese zur Umsetzung zugeteilt werden können.

Für jede selektierte Organisationseinheit ist standardmäßig ihr Verantwortlicher (/OrgEh_-_Organisationseinheiten#Organisationseinheit_erstellen/bearbeiten/löschen/siehe oben) vorbesetzt. Ist dort kein Verantwortlicher definiert, ist dieses Feld leer. Ist kein OrgEh-Verantwortlicher vorhanden, muss ein Themenverantwortlicher gesetzt werden, damit die Organisationseinheit ausgewählt werden kann.

Auch wenn ein OrgEh-Verantwortlicher vorbesetzt ist, kann der Verantwortliche hier manuell für das jeweilige Thema durch einen anderen Benutzer oder ein Team ersetzt werden (manuell gesetzte Themenverantwortliche sind fett dargestellt).

Hinweis: Dies ändert nicht die Verantwortlichkeit in der Organisationseinheit selbst. Eine Änderung in der Organisationseinheit überschreibt ebenfalls nicht die Themenverantwortlichen, die hier bereits manuell gesetzt wurden.

Die Themenverantwortungen kommen dann bei der Mehrfachanlage von Maßnahmen in Akten zur Anwendung.