Organisatorische Rollen und Verantwortlichkeiten sind definiert und dokumentiert; es gibt einen verantwortlichen Führungskräfte-Beauftragten, der sicherstellt, dass angemessene Ressourcen zugewiesen werden, um die strategische Ausrichtung der Gruppe umzusetzen. Das ISMS wird zentral von einem engagierten Team aus Fachleuten für Compliance, interne Revision, Informationssicherheit und Cybersicherheit verwaltet.
Risiken im Bereich der Informationssicherheit werden im Rahmen eines Risikomanagement-Konzepts erfasst, das auf dem definierten Geltungsbereich und den Kriterien des ISMS basiert. Interne Ziele werden festgelegt und regelmäßig gemeinsam mit den leitenden Entscheidungsträgern überwacht.
Es gibt eine übergreifende Richtlinie zur Informationssicherheit mit einer Erklärung der Geschäftsleitung. Die primären Richtlinien sind für alle Mitarbeiter verbindlich, während eine Reihe sekundärer Richtlinien je nach Relevanz für bestimmte Geschäftsbereiche, z. B. die IT-Softwareentwicklung, kategorisiert ist. Alle Mitarbeiter können über unser internes Intranet auf diese Richtlinien zugreifen, und es werden jährlich Schulungen über unser Lernmanagementsystem angeboten.
Alle Informationen werden gemäß den Richtlinien zur Datenklassifizierung der Gruppe verarbeitet, wobei für vertrauliche, private und öffentliche Daten entsprechende Kontrollmaßnahmen festgelegt sind. Es besteht ein Bestandsverzeichnis der Vermögenswerte und Systeme, wobei die Zuständigkeit den jeweiligen Führungskräften zugewiesen ist.
Zudem gibt es eine Richtlinie und ein Verfahren zur Meldung von Vorfällen mit einem benutzerfreundlichen Mechanismus, über den Mitarbeiter Ereignisse oder Vorfälle melden können. Vorfälle werden von den internen Teams für Informationssicherheit und Cybersicherheit protokolliert und bearbeitet. Ein Verfahren zur Meldung von Datenschutzverletzungen ist dokumentiert und als Teil der Geschäftskontinuitätsplanung der
Organisation festgehalten. Die Pläne werden regelmäßig (mindestens einmal jährlich) überprüft und getestet. Die gewonnenen Erkenntnisse werden dokumentiert und an die entsprechenden Ebenen weitergeleitet.
Für Lieferanten werden Sicherheitsrisikobewertungen auf der Grundlage ihrer Interaktion mit den Systemen und Daten von Radius durchgeführt. Verträge, Vereinbarungen und Geheimhaltungsvereinbarungen (NDAs) werden im Einklang mit einer formellen Richtlinie zum Lieferantenmanagement umgesetzt.
Alle relevanten gesetzlichen und regulatorischen Anforderungen wurden identifiziert und überprüft, wobei eine kontinuierliche Umfeldanalyse stattfindet. Es wurde ein Datenschutzbeauftragter ernannt, um die Einhaltung der Datenschutzgesetze in den Rechtsordnungen sicherzustellen, in denen Radius tätig ist. Bei wesentlichen Änderungen der Verarbeitungsvorgänge werden Folgenabschätzungen durchgeführt, um die fortlaufende Einhaltung der Vorschriften zu gewährleisten.
