teamsJour fixe für Datenschutz und IT-Sicherheit: Agenda, Entscheidungen, Protokoll
Ein Jour fixe ist eine feste, regelmäßige Besprechung von Datenschutz, Informationssicherheit und IT, oft mit Beteiligung der Geschäftsleitung. Er sorgt dafür, dass Themen nicht liegen bleiben, Entscheidungen getroffen und dokumentiert werden und Aufgaben mit Verantwortlichen und Terminen daraus hervorgehen. ISO/IEC 27001 verlangt festgelegte interne Kommunikation (Kapitel 7.4); der Jour fixe ist eine einfache Form, das umzusetzen.
Was gehört auf die Agenda?
- Offene Aufgaben aus dem letzten Termin: Stand, Hindernisse, neue Termine
- Vorfälle und Datenpannen seit dem letzten Termin, Bewertung und Lehren
- Neue Verarbeitungen, Systeme, Cloud-Dienste und Dienstleister
- Änderungen bei Gesetzen, Normen, Verträgen und Aufsichtshinweisen
- Kennzahlen: überfällige Aufgaben, Schulungsquote, Sicherungs- und Testergebnisse
- Entscheidungen, die die Leitung treffen muss
Was macht ein gutes Protokoll aus?
| Element | Inhalt |
|---|---|
| Rahmen | Datum, Teilnehmende, Abwesende |
| Entscheidungen | Was wurde entschieden, von wem, mit welcher Begründung |
| Aufgaben | Was, wer, bis wann; als Aufgabe ins zentrale System übernommen |
| Risiken | Neue oder veränderte Risiken, Verweis auf die Risikobewertung |
| Verteilung | Wer das Protokoll erhält, wo es abgelegt wird |
Wichtig ist der Übergang vom Protokoll in die Aufgabensteuerung. Eine Aufgabe, die nur im Protokoll steht, wird erfahrungsgemäß erst im nächsten Termin wieder gesehen.
Wie oft sollte der Jour fixe stattfinden?
Das hängt von Größe und Risiko ab. Viele Organisationen beginnen monatlich und passen den Takt an. Zusätzlich gehören die Ergebnisse in die jährliche Managementbewertung nach ISO/IEC 27001 Kapitel 9.3.