Railpool nutzt DataGuards zentrales System für alle Regularien – von ISO 27001 bis NIS2

Intro

Sven Dessel:

DataGuard ist eine enorme Arbeitserleichterung. Es entsteht dadurch ein zentrales Risikomanagement und ich kann es verknüpfen mit den bereits im Unternehmen bestehenden Managementsystemen, die spezialisiert sind auf verschiedene Aufgabenbereiche, zum Beispiel Fahrzeugbetrieb oder auch Qualitätsmanagement oder Nachhaltigkeit, Zertifizierung und Ähnliches, in denen wir uns auch bewegen.

Ich bin Koordinator für Datenschutz, Informationssicherheit und AI Regularien bei der Firma Railpool. Wir vermieten europaweit Lokomotiven und in dem Bereich koordiniere ich die Regularien mit unseren Unternehmensprozessen.  

Bei uns trifft NIS2 genauso zu wie der Cyber Resilience Act wie auch der EU AI Act. Wir haben mit dem Data Act zu tun, also eigentlich die komplette Regularienvielfalt. Und das stellte uns vor die Herausforderung, einen Partner zu finden, der entsprechend flexibel in diese unterschiedlichen Regularien mit uns reingeht, uns berät, aber auch eine Systemplattform zur Verfügung stellt, mit der wir das abbilden können, und zwar so abbilden, und das war die war die Herausforderung, dass wir die Regularieninhalte, die sich teilweise ergänzen oder auch überschneiden, so miteinander zu verknüpfen, dass wir nicht doppelte Regularien und Policies generieren.  

Welche Anforderungen hatten Sie an einen Partner und eine Plattform?

Die Anforderung in diesem Umfeld, die wir an DataGuard gestellt haben, war, einmal eine Systemplattform zu bekommen, in der wir die die ganzen Thematiken, die ganzen Regularien, Policies und Risikomanagement in einer zentralen Stelle haben. Das heißt, dass wir uns mit der Verwaltung des ganzen Frameworks oder der Frameworks und des Managementsystem keine Gedanken machen müssen.

Und der zweite entscheidende Faktor war, dass wir Berater am Start gehabt haben, auch für andere Themen, die wir noch nicht so im Fokus haben, gerade so als NIS2 auf den Plan kamen, dass wir diese Fragestellungen an die Consultants weitergeben konnten und dass sie dann ins Unternehmen rein getragen worden sind.

Und ich glaube, der dritte wichtiger Aspekt ist auch, dass DataGuard mit uns und seinem Produkt gewachsen ist.

Wie hat DataGuard Sie bei der Umsetzung von NIS2 unterstützt?

Also bei NIS2 war die Herausforderung, dass nicht nur Regularien umgesetzt werden müssen, sondern dass auch organisatorisch andere Herausforderungen herauskamen, dass das viel direktere Anforderungen waren, was Lieferantenkettenmanagement angeht, was die Verantwortlichkeit der Geschäftsleitung angeht. Und da haben wir den Vorteil in der DataGuard-Plattform gesehen, dass wir die Möglichkeit hatten, auf Basis der ISO 27001, die bei uns schon Bestand hat, die entsprechenden Risiken zum Beispiel einfach nur um NIS2 erweitern, zu ergänzen und zu klassifizieren, sodass wir die unterschiedlichen Regularien nach Klassen gestaffelt in einem System halten konnten. Ja, im Prinzip haben wir eine souveräne Basis bekommen, um auch zukünftige weitere Regularien, die danach kommen, um hier das Gefühl zu haben, dass wir in einem sicheren, kompakten System sind, mit dem wir das weiter unterstützt managen können.  

Welchen Mehrwert bietet Ihnen die DataGuard-Plattform im Alltag?

Also DataGuard hilft uns oder mir vor allen Dingen dabei, dass ich nicht stetig bei null anfange. Also eine Regularie, die neu reinkommt, die von uns betrachtet werden muss, da fange ich nicht bei null an, sondern ich kann auf die Plattform zurückgreifen und dort die neue Regularie mit einfügen.

Was ist für Sie das größte Highlight in der Zusammenarbeit mit DataGuard?

Das große Highlight ist mit Sicherheit, dass wir eine technologische Plattform haben, in der wir die bisherigen Aspekte gut ineinander integrieren können. Wir müssen uns keine neuen Gedanken machen, wo nehmen wir jetzt die Regularie auf? Sondern wir, wir bauen es auf. Und ich glaube, der große Aspekt ist auch, dass die Berater von Anfang an mitgeholfen haben, kein starres Regularien-System aufzubauen, was durch ein Audit kommt, sondern ein lebbares System zu machen. Also kurze, knappe Dokumentation, knappe Policies. Gerade im Bereich der Informationssicherheit. Mir war es wichtig, dass das wir unsere Prozesse dort beschreiben und nicht nur dort das, was von der Norm vorgegeben ist.
Und wir sind auch ein bisschen eigenen Weg gegangen. Natürlich normkonform. Aber ich glaube, das ist so das große Highlight gewesen, dass wir da unseren Weg gefunden haben.