26.07.2023 – Die DSW21 aus Dortmund hat die QSEC-Software der WMC GmbH zum Schutz von Kund:inneninformationen in die eigenen Prozesse eingeführt.
Die Dortmunder Stadtwerke AG (DSW21) ist für Infrastrukturleistungen und die Versorgung in Dortmund zuständig. Der Konzern, zu dem Tochterfirmen, Beteiligungen und Anteile an weiteren Unternehmen gehören, gliedert sich dafür in die vier Bereiche Mobilität & Logistik, Energie & Wasser, Lebensräume und Datennetze. Für alle diese Ressorts gilt: der Schutz der Verbraucher:innendaten ist ein wesentliches Asset. Vor diesem Hintergrund hat die DSW21 beschlossen, ein neues integriertes Datenschutz- und Informationssicherheitssystem auf Basis der QSEC-Software der WMC GmbH einzuführen.
Die DSW21 hat die Datenschutz- und Informationssicherheitssoftware QSEC der WMC GmbH eingeführt. Foto: www.pixabay.com / ChristophMeinersmann
Die Ausgangssituation
Vor der Implementierung des Tools arbeitete die DSW21 in Bezug zu den KRITIS-Anforderungen überwiegend mit Word- und Excel-Templates. Im Bereich Organisation wurden außerdem Organigramme in der Lösung Visio gepflegt und Prozesse primär in Verfahrensrichtlinien und Funktionsbeschreibungen hinterlegt.
Die Zielsetzung der QSEC-Einführung war daher schnell klar: mit der Softwarelösung sollten einerseits alle Anforderungen an das Datenschutz- und Informationssicherheitsmanagement abgedeckt werden können und andererseits die Option bestehen, auch die Organisation und gegebenenfalls weitere Managementsysteme bis hin zum Business Continuity Management abzubilden. Wesentliche Grundanforderungen dafür waren dabei die Abdeckung der regulatorischen Anforderungen, die Sicherstellung einer prüfgerechten Dokumentation (Revisionssicherheit) und die ganzheitliche softwarebasierte Abbildung der Managementsysteme.
Der Auswahlprozess
Mit diesem detaillierten Anforderungsprofil im Gepäck suchte die DSW21 schließlich nach einer passenden Lösung. Insgesamt wurden im Prozess zehn verschiedene Softwarelösungen begutachtet, die in unterschiedlichen Workshops und Terminen gesichtet und bewertet wurden. Bei der finalen Auswahl der zu etablierenden Lösung wurde insbesondere auf einen hohen Erfüllungsgrad des Anforderungskatalogs und eine gute Benutzerfreundlichkeit Wert gelegt.
„QSEC konnte über den gesamten Zyklus des Auswahlprozesses überzeugen und hat letztlich den Zuschlag erhalten“, berichtet Dr. Paul-Martin Steffen, Leitung Datenschutz und Informationssicherheit bei der DSW21. „Hervorzuhebende Punkte waren im Bewertungsprozess auch die in QSEC implementierte Methodik, der umfassende in QSEC enthaltene Content und die unterschiedlichen Anwendermodi für Expert:innen und Anwender:innen aus den Fachabteilungen.“
Die Einführung
Die Implementierung von QSEC und der Rollout der Lösung bei der DSW21 wurden schließlich in mehrere Phasen unterteilt. So wurde in Phase 1 zunächst in Zusammenarbeit mit QSEC-Entwickler WMC die Grundkonfigurationen des Systems umgesetzt und unter anderem Werteskalen, Methodiken, Logos, Reports und Geschäftseinheiten eingerichtet. Zudem wurden in dieser Phase bereits unternehmensspezifische Vorgaben in QSEC umgesetzt.
In Phase 2 wurde die Inbetriebnahme beim IT-Dienstleister vorbereitet. Auch wurde das System durch WMC bei der DSW21 installiert, die Zugänge und die AD-Anbindung eingerichtet und die Schulungsmaterialien für Führungskräfte und Mitarbeiter:innen vorbereitet. Zusätzlich wurde in Phase 2 auch ein internes Handbuch zur Festlegung einheitlicher Namenskonventionen und Hinweise zur Datenpflege umgesetzt.
Die Basis-Befüllung für DSW21 erfolgte in Phase 3. Hierzu gehörte unter anderem die Aufbereitung der bestehenden Informationen zu Prozessen, Informationen, Assets und Dienstleistern. Die Übertragung und der Import der aufbereiteten Daten, weitere Detailkonfiguration des Systems und die Anpassung von Einstellungen sowie die Festlegung der Nomenklatur (z. B. für interne IDs, Assets). Im Ergebnis waren in QSEC die Geschäftsprozesse, die zugehörigen Informationen, die Assetgruppen und die Dienstleistenden befüllt.
In Phase 4 (ongoing) erfolgt/erfolgte der Rollout bei DSW21. Wichtige Aspekte hierbei sind/waren die Durchführung von Auftaktgesprächen mit den Fachbereichen zur Darstellung der Vorgehensweise, die Vorstellung des „Interview Wizards“ und die gemeinsame Pflege eines Prozesses. Ab dieser Phase erfolgt/erfolgte auch die eigenverantwortliche weitere Pflege des Systems durch die Koordinierenden in den Fachbereichen und die Übernahme der aktualisierten Prozesse wurde vom Datenschutzbeauftragten und Informationssicherheitsbeauftragten mittels des „Interview Übernahme Wizards“ geprüft.
In der Phase 5 (ongoing) wird/wurde der Rollout in die 21GRUPPE umgesetzt. Wichtige Aspekte hierbei ist/war die „Abholung“ der Koordinierenden aus den verschiedenen Gesellschaften, die Übertragung von Basis-/Standardprozessen in die Gesellschaften und die Durchführung der Interviews analog zu DSW21 mit anschließender Übernahme.
In Phase 6 (ongoing) wird/wurde das System in den Regelbetrieb überführt und ein kontinuierlicher Verbesserungsprozess etabliert.
Fazit
„Wir sind mit der Leistungsfähigkeit von QSEC zusammenfassend betrachtet sehr zufrieden und werden die Software zukünftig weiter ausprägen und intensiv nutzen. Der Hersteller der Software, WMC, ist dabei für uns ein verlässlicher Partner, der uns mit jahrzehntelanger Erfahrung aus der Umsetzung weltweiter GRC und ISMS-Projekte stets bestmöglich unterstützt“, resümiert Dr. Paul-Martin Steffen.