ISO 27001:2022 · A.6.4 · A.6 Personenbezogene Maßnahmen
Disziplinarverfahren
Es muss ein formales, kommuniziertes Disziplinarverfahren existieren, um gegen Beschäftigte vorzugehen, die gegen Informationssicherheitsvorgaben verstoßen haben.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Es muss ein formales, kommuniziertes Disziplinarverfahren existieren, um gegen Beschäftigte vorzugehen, die gegen Informationssicherheitsvorgaben verstoßen haben.
Warum ist das wichtig?
Ein bekanntes Sanktionsverfahren wirkt präventiv und stellt sicher, dass Verstöße einheitlich und rechtssicher behandelt werden. Ohne es bleiben Richtlinien zahnlos.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.3.3 | Sanktionierung | Direkt |
| BSI | ORP.4 | Identitäts- und Berechtigungsmanagement | Indirekt |
| NIS2 | § 30 Abs. 2 Nr. 9 BSIG | Zugriffskontrolle & Assets | Direkt |
Was der Auditor erwartet
- Dokumentiertes, abgestuftes Disziplinarverfahren
- Nachweis der Kommunikation an die Belegschaft
- Einbindung von HR und Mitbestimmung (Betriebsrat) wo erforderlich
Audit-Checkliste
Dokumente
Disziplinar- bzw. SanktionsrichtlinieAbstufung der Maßnahmen und Zuständigkeiten
Nachweise
KommunikationsnachweisDass das Verfahren der Belegschaft bekannt gemacht wurde
Anonymisierte FalldokumentationBehandelte Verstöße ohne Personenbezug als Nachweis der Anwendung
Abstimmungsnachweis HR/BetriebsratEinbindung der Mitbestimmung in das Verfahren
Interviews
HR / FührungskräfteWie ein Verstoß konkret behandelt würde
Praxis-Tipps zur Umsetzung
Abstufen statt eskalierenVom klärenden Gespräch bis zur Kündigung verhältnismäßige Stufen definieren.
Mitbestimmung früh einbindenBetriebsrat und Datenschutz vorab einbeziehen, um Verfahren rechtssicher zu machen.
Verfahren bekannt machenNur ein kommuniziertes Verfahren entfaltet präventive Wirkung.
Häufige Fehler
Nur auf dem PapierVerfahren existiert, ist aber niemandem bekannt.
UnverhältnismäßigFehlende Abstufung führt zu rechtlich angreifbaren Sanktionen.
Selbstmeldung bestraftWer einen eigenen Fehler wie einen Phishing-Klick meldet, darf nicht härter behandelt werden als wer schweigt.
Häufig gestellte Fragen
Muss der Betriebsrat zustimmen?
Bei Maßnahmen mit Mitbestimmungsbezug ja. Eine frühe Einbindung verhindert spätere Konflikte.
Reicht ein Verweis im Arbeitsvertrag?
Der Vertrag kann darauf verweisen, das eigentliche Verfahren sollte aber dokumentiert und kommuniziert sein.
Gilt das auch bei fahrlässigen Verstößen?
Ja, das Verfahren sollte vorsätzliche und fahrlässige Verstöße angemessen unterscheiden.
So hilft CompliantDesk bei A.6.4
Verstöße lassen sich als Vorfälle erfassen, mit Richtlinien verknüpfen und der gesamte Behandlungsverlauf revisionssicher im Audit-Log nachvollziehen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten