Tüv-geprüfte Informationssicherheit

Als einer von bisher wenigen HR-Softwareanbietern hat die Unternehmensgruppe Rexx – bestehend aus Rexx Systems und die beiden Schwestergesellschaften Rexxact und HRexcellent – am 1. März das Gütesiegel gemäß DIN ISO/IEC-270001:2013 für höchste IT-Sicherheit für sein „Information Security Management System“ (ISMS) erhalten. Viele der B2B-Kunden, die meisten davon aus dem gehobenen Mittelstand in der DACH-Region, wissen zu schätzen, dass im Einklang mit der Datenschutzgrundverordnung (DSGVO) ihre Daten ausschließlich in einem deutschen oder Schweizer Rechenzentrum gehostet werden.

„Die ISO-Zertifizierung kam bei uns im positiven Sinne einem richtigen Paukenschlag gleich. Wir sind sehr stolz darauf, dass wir als einer der ganz wenigen Hersteller von HR-Software die Zertifizierung gemäß ISO 27001 erlangt haben. Wir wollen dabei aber auch nicht stehen bleiben, sondern zum Wohle der Kunden sowie der User unserer Produkte und Services weiter daran arbeiten, in puncto Sicherheit und Datenschutz immer ganz vorn in der Liga mitzuspielen. Schließlich wollen wir das drei Jahre gültige ISO-Zertifikat über 2025 hinaus auch verteidigen“, so Florian Walzer, Head of Sales & Marketing bei der Rexx Systems GmbH. Wie es das Bundesamt für Informationssicherheit (BSI) in Deutschland vorschreibe, sei der ISO-Zertifizierung ein umfangreiches Auditing durch eine selbst ISO-zertifizierte Zertifizierungsstelle vorausgegangen. Für das Hamburger Unternehmen sei in dem Fall naheliegend gewesen, die Tüv Nord Cert GmbH als Prüf- und Zertifizierungsstelle zu beauftragen.

Laut dem vom Tüv Nord ausgestellten ISO-27001-Zertifikat für Rexx Systems schließt die Zertifizierung auch die Bewertung und Zertifizierungsentscheidung gemäß ISO/IEC 17021-1-2015 ein, sowie als Geltungsbereich „Vertrieb, Beratung, Entwicklung und Betrieb von Softwarelösungen in den Bereichen Bewerbungsmanagement, Talent Management, CRM und Human Resources“. Die Auslandsniederlassungen in Österreich und der Schweiz wurden nicht zertifiziert, sind aber gemäß ihrer Leitlinien zur Einhaltung der Regeln der Hamburger Muttergesellschaft gemäß ISO verpflichtet.

Ein großer Meilenstein

Der Auditbericht des Tüv Nord mit der Nummer 3531 1171 umfasst zudem die neueste Version 1.1 von März 2022 der Zertifizierung gemäß ISO 27001 und ist somit laut den ISO-Statuten drei Jahre lang bis März 2025 gültig. „Die ISO-27001-Zertifizierung ist ein großer Meilenstein in unserer mehr als 20-jährigen Unternehmensgeschichte“, sagt Norbert Rautenberg, der rexx systems 2001 gegründet und seitdem als General Manager zu einem der am schnellsten wachsenden HR-Softwareanbietern in Deutschland weiterentwickelt hat. Höchste IT-Sicherheitsstandards seien „praktisch Teil unserer DNA“ – und auch der Belegschaft. Um die Wachsamkeit hochzuhalten, seien bereits im Mai 2021 neue Informationssicherheitsrichtlinien aufgesetzt worden. „IT-Sicherheit beginnt bei uns auf C-Level-Ebene“, sagt Rautenberg und nimmt sich auch selbst in die Pflicht. „Wir müssen da mit gutem Beispiel vorangehen!“

Das ISO-27001-Zertifikat bestätigt laut Walzer für die ganze Unternehmensgruppe eine gelungene ISMS-Umsetzung mit den folgenden Zielen:

• Erhalt und Schutz des Images

• Erfüllung aller gesetzlichen Vorgaben

• Minimierung von Schäden bei Vorfällen, welche die IT-Sicherheit gefährden

• Erhöhung der Widerstandsfähigkeit des Unternehmens und seiner Prozesse

• Einhaltung der Schutzziele hinsichtlich Verfügbarkeit, Integrität und Vertraulichkeit

• Informationssicherheit als Aufgabe und Pflicht aller Mitarbeitenden.

Tools für die Fort- und Weiterbildung sind auch Bausteine des eigenen Software-Portfolios in den Bereichen Recruiting, Talent-Management und Human-Resources. In der Corona-Krise wurden sie im Unternehmensverbund inklusive der Video-Chats intensiv genutzt, um mit den eigenen Mitarbeitern im Homeoffice den Kontakt aufrechtzuerhalten und sie weiter zu schulen sowie für mögliche IT-Sicherheitsrisiken zu sensibilisieren. So wissen heute alle Beschäftigten im Unternehmen um die Gefahren durch Phishing und andere Cyber-Attacken – und sie wissen auch, wie sie damit umgehen müssen. Die neue Informationssicherheitspolitik war daher auch ein wichtiger Meilenstein auf dem Weg zu der zehn Monate später erlangten ISO-27001-Zertifizierung. Rautenberg sieht die ISO-27001-Zertifizierung aber auch als Verpflichtung, die Realisierung, Aufrechterhaltung und kontinuierliche Verbesserung des eigenen ISMS mit allen geeigneten Ressourcen und Maßnahmen zu unterstützen und voranzutreiben.

Compliance-Standards im Vergleich

Die beiden Compliance-Standards DSGVO und ISO 27001 haben viel gemeinsam. Beide zielen darauf ab, die Datensicherheit zu verbessern und das Risiko von Datenschutzverletzungen zu mindern. Und beide erlegen Unternehmen auf, die Vertraulichkeit, Integrität und Verfügbarkeit sensibler Daten zu gewährleisten.

Die internationale Norm ISO 27001 basiert auf „Best Practices“ und spezifiziert die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung des Kontexts einer Organisation. In Artikel 24 der DSGVO ist geregelt, dass die Einhaltung von Verhaltensregeln und genehmigten Zertifizierungsverfahren wie ISO 27001 als Gesichtspunkt herangezogen werden kann, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.

Um die Anforderungen der DSGVO zu erfüllen reicht es aber nicht aus, nach ISO 27001 zertifiziert zu sein, denn die DSGVO hat einen wesentlich größeren Geltungsbereich und ein grundlegenderes Verständnis von Datensicherheit und Datenschutz. Die Datenschutz-Grundverordnung bildet die seit dem 25. Mai 2018 den gemeinsamen Schutzrahmen für personenbezogene Daten in der Europäischen Union. Sie ist darüber hinaus seit dem 20. Juli 2018 auch in den Nicht-EU-Staaten Island, Liechtenstein und Norwegen geltendes Recht und soll einerseits der Schutz personenbezogener Daten innerhalb der EU sicherstellen, andererseits aber auch den freien Datenverkehr innerhalb des Binnenmarktes gewährleisten.

Bildquelle: Rexx Systems