Informationssicherheitspolitik

1. Zweck

Diese Informationssicherheitspolitik beschreibt die strategische Ausrichtung, Ziele und Verantwortlichkeiten der nyxory GmbH für den Schutz ihrer Informationen, Geschäftsprozesse, Produkte und Dienstleistungen. Sie bildet den Rahmen für das Informationssicherheitsmanagementsystem (ISMS) und die daraus abgeleiteten Richtlinien.

Unser Anspruch ist ein angemessenes, nachvollziehbares und dauerhaft wirksames Sicherheitsniveau. Informationssicherheit unterstützt damit Qualität, Kundenvertrauen und nachhaltigen Geschäftserfolg. Konkrete Anforderungen und Verfahren werden in nachgelagerten Richtlinien und operativen Dokumenten ausgestaltet.

2. Begriffsklärung

• Datensouveränität: Selbstbestimmte Kontrolle über die Verwendung von Daten und die Bedingungen ihrer Verarbeitung.

Die Prinzipien Security by Design und Security by Default sind in Kapitel 5 erläutert.

3. Geltungsbereich

Die Politik gilt für die Geschäftsführung, alle Mitarbeitenden und relevante externe Dienstleister und Auftragnehmer. Sie umfasst sämtliche Informationswerte, Geschäftsprozesse, IT-Systeme und Infrastrukturen sowie die Entwicklung, Bereitstellung und den Betrieb der Produkte und Dienstleistungen von nyxory.

Einbezogen sind insbesondere KI-basierte Lösungen, die hierfür eingesetzten Cloud- und Plattformdienste sowie KI-Agenten, die im Auftrag von nyxory Systeme betreiben, Software erstellen oder Informationen verarbeiten. Die Zuordnung der menschlichen Verantwortung beschreibt Kapitel 6.

4. Strategische Ausrichtung und Schutzziele

nyxory entwickelt und betreibt KI-basierte Lösungen für Organisationen mit hohen Anforderungen an Sicherheit, Verlässlichkeit und Compliance. Wir verbinden Innovation mit einem professionellen Betrieb. Sicherheit, Transparenz und Datensouveränität sind grundlegende Bestandteile unseres Leistungsversprechens.

Unser ISMS orientiert sich an ISO/IEC 27001. Wir verfolgen dessen Zertifizierung und die anschließende Aufrechterhaltung der Zertifizierung. Die besonderen Sicherheitsbedürfnisse regulierter Kundenbranchen fließen entsprechend unseren Leistungen und Rollen in die Weiterentwicklung ein.

Die nyxory GmbH verpflichtet sich zur Erfüllung der anwendbaren gesetzlichen, regulatorischen, vertraglichen und internen Anforderungen an die Informationssicherheit. Die Bestimmung dieser Anforderungen berücksichtigt unsere Rolle gegenüber Kunden und Partnern sowie die jeweiligen Produkte und Dienstleistungen.

Drei Schutzziele bestimmen unsere Entscheidungen:

• Vertraulichkeit: Informationen sind ausschließlich dem berechtigten Personenkreis sowie autorisierten Systemen und Organisationen zugänglich.
• Integrität: Informationen und ihre Verarbeitung sind vollständig, korrekt, vertrauenswürdig und vor unbefugter Veränderung geschützt.
• Verfügbarkeit: Informationen, Systeme und Leistungen stehen entsprechend den geschäftlichen und verbindlichen Anforderungen zur Verfügung.

Diese Schutzziele bilden den Rahmen für konkrete Informationssicherheitsziele. Die Geschäftsführung verantwortet deren Festlegung und Bewertung. Die nachgelagerte Planung konkretisiert Messbarkeit, Verantwortlichkeiten, Ressourcen und Termine; ihre Ergebnisse fließen in die Managementbewertung ein.

5. Leitprinzipien

Risiken bewusst steuern

Wir richten Sicherheitsentscheidungen am Schutzbedarf und an den Risiken für Kunden, Unternehmen und betroffene Personen aus. Systematische Risikobewertungen bilden die Grundlage für angemessene und wirtschaftlich tragfähige Maßnahmen. Risikoorientierung schafft nachvollziehbare Prioritäten und unterstützt die sichere Weiterentwicklung des Geschäfts.

Sicherheit von Anfang an und bevorzugt automatisiert

Security by Design bedeutet, Sicherheit von der Planung über die Entwicklung bis zum Betrieb und zur Außerbetriebnahme mitzudenken. Security by Default steht für sichere Standardeinstellungen.

Wir setzen bevorzugt auf automatisierte Sicherheitsmaßnahmen, Prüfungen und Nachweise, soweit dies geeignet und wirtschaftlich angemessen ist. Systemgestützte Nachweise stärken Aktualität und Nachvollziehbarkeit. Automatisierung und KI-Agenten unterstützen die Sicherheitsorganisation unter menschlicher Kontrolle.

Datensouveränität und vertrauenswürdige Zusammenarbeit

Wir streben selbstbestimmte Kontrolle über unsere Informationen und Leistungen an. Europäische Anbieter und Verarbeitungsstandorte im Europäischen Wirtschaftsraum haben Vorrang. Drittstaatenlösungen kommen nachrangig in Betracht, sofern die für unsere Leistungen und Kunden anwendbaren gesetzlichen, regulatorischen und vertraglichen Anforderungen nachweisbar erfüllt werden können. Neben dem Verarbeitungsort zählen rechtliche Bindungen und mögliche Zugriffe aus anderen Rechtsräumen. Über den Einsatz entscheidet die Geschäftsführung auf Grundlage bewerteter Risiken.

Unser Zielbild sind möglichst souveräne Kundenleistungen ohne direkte oder mittelbare Abhängigkeiten von US-Dienstanbietern. Bestehende Abhängigkeiten sind Teil unserer Risikobewertung; ihr Abbau hat bei Kundenleistungen Vorrang. Für interne Anwendungen kommen bei fehlenden geeigneten europäischen Alternativen auch US-Dienste in Betracht. Maßgeblich bleiben die Auswirkungen auf Kundendaten und Leistungserbringung sowie die jeweils geltenden Anforderungen.

Vor Vertragsschluss machen wir relevante Anbieter, Verarbeitungsorte und Abhängigkeiten gegenüber Kunden transparent. Sicherheitszusagen orientieren sich am nachweisbaren Stand der konkreten Leistung. Bei Dienstleistern und Technologiepartnern bilden Sicherheitsleistung, nachvollziehbare Zusagen und eine fortlaufende Bewertung die Grundlage vertrauenswürdiger Zusammenarbeit.

Verlässlicher Betrieb und geteilte Verantwortung

Wir streben einen sicheren, überwachten und widerstandsfähigen Betrieb über den gesamten Lebenszyklus unserer Leistungen an. Der Umgang mit Sicherheitsvorfällen, die Wiederherstellung und die Fortführung kritischer Geschäftsprozesse sind Bestandteile dieses Anspruchs. Erkenntnisse aus Störungen und Übungen verbessern unsere Vorsorge.

nyxory steht für den Schutz der von ihr verantworteten Leistungen und Informationen ein. Die Aufgaben von nyxory, Kunden und Dienstleistern sind entsprechend dem Leistungsumfang vertraglich und nachvollziehbar abgegrenzt. Die Auslagerung von Aufgaben hebt unsere Verantwortung gegenüber Kunden nicht auf.

Sicherheitskultur, Transparenz und Lernen

Informationssicherheit lebt von Aufmerksamkeit, Kompetenz und offener Zusammenarbeit. Wir fördern das Sicherheitsbewusstsein durch regelmäßige Schulung und Sensibilisierung. Frühzeitige Hinweise auf Risiken, Schwachstellen und Verbesserungsmöglichkeiten sind ausdrücklich erwünscht und unterstützen gemeinsames Lernen.

Wir unterstützen berechtigte Prüf- und Nachweisanforderungen unserer Kunden durch geeignete Wirksamkeitsnachweise und vereinbarte Auditrechte. Transparenz und Nachvollziehbarkeit bilden die Grundlage für Vertrauen in unsere Sicherheitsleistung.

6. Organisation und Verantwortlichkeiten

Geschäftsführung

Die Geschäftsführung trägt die Gesamtverantwortung für Informationssicherheit und bekennt sich zur Einführung, Aufrechterhaltung und Weiterentwicklung des ISMS. Sie bestimmt die strategische Ausrichtung, genehmigt die Politik und übergeordnete Sicherheitsvorgaben und stellt die erforderlichen personellen, organisatorischen, technischen und finanziellen Ressourcen bereit. Sie bewertet die Wirksamkeit des ISMS und die Zielerreichung und entscheidet über wesentliche Restrisiken.

CISO und Prozessverantwortliche

Der CISO steuert und koordiniert das ISMS, das Informationssicherheitsrisikomanagement und die Weiterentwicklung der Sicherheitsvorgaben. Er überwacht die Normkonformität und Sicherheitsleistung, berät die Geschäftsführung und berichtet unmittelbar an sie. Die Umsetzung der Maßnahmen und die Bereitstellung der Nachweise liegen bei den zuständigen Prozessverantwortlichen.

Zu seiner Rolle gehören die Koordination des Sicherheitsvorfallmanagements, die Abstimmung mit angrenzenden Managementsystemen, die Begleitung von Audits und Zertifizierungen sowie die Förderung von Sicherheitsbewusstsein. Er ist berechtigt, sicherheitsrelevante Informationen anzufordern, Prüfungen zu initiieren und Risiken zu eskalieren.

Der CISO verfügt über ein begründetes Vetorecht bei der Einführung neuer Produkte, Dienste und Lieferanten aus Gründen der Informationssicherheit. Ein Veto setzt die Einführung bis zur Klärung aus. Die Geschäftsführung kann es durch eine dokumentierte Entscheidung mit ausdrücklicher Risikoakzeptanz überstimmen. Gesetzliche und vertragliche Pflichten bleiben davon unberührt.

Mitarbeitende und Verantwortliche für KI-Agenten

Alle Mitarbeitenden tragen durch einen verantwortungsvollen Umgang mit Informationen, die Beachtung der Sicherheitsvorgaben, die Meldung von Sicherheitsbedenken und ihre Teilnahme an Schulungen zur Informationssicherheit bei. Für jeden eingesetzten KI-Agenten liegt die Verantwortung für Aufgaben, Berechtigungen und nachvollziehbares Handeln bei einem zugeordneten Menschen. Agenten ersetzen keine menschlichen Freigabeentscheidungen.

7. Kontinuierliche Verbesserung

Die nyxory GmbH verpflichtet sich zur fortlaufenden Verbesserung des Informationssicherheitsmanagementsystems. Erkenntnisse aus Risikobewertungen, Audits, Managementbewertungen, Sicherheitsvorfällen und Wiederherstellungsübungen bilden dafür eine gemeinsame Grundlage. Verbesserungen orientieren sich an ihrem Beitrag zur Sicherheitsleistung; Umsetzung und Wirksamkeit sind Gegenstand der Steuerung des ISMS.

Die Politik unterliegt einer Überprüfung spätestens alle fünf Jahre sowie bei wesentlichen Änderungen, Sicherheitsvorfällen oder relevanten Auditfeststellungen. Der CISO koordiniert diese Bewertung; die Geschäftsführung verantwortet die Freigabe inhaltlicher Änderungen. Die kürzeren Planungs- und Bewertungszyklen der Sicherheitsziele bleiben davon unabhängig.

8. Verbindliche Einhaltung

Diese Informationssicherheitspolitik bildet mit ihrer Freigabe durch die Geschäftsführung den verbindlichen strategischen Rahmen für ihren Geltungsbereich. Die Geschäftsführung steht für ihre Bekanntmachung und Verankerung im Unternehmen ein. Ihre Konkretisierung erfolgt durch nachgelagerte Richtlinien, Verfahren und Vereinbarungen.

Der Umgang mit Abweichungen und Ausnahmen folgt den dafür festgelegten Verfahren. Der CISO bewertet sicherheitsrelevante Abweichungen; wesentliche Entscheidungen und Restrisiken liegen bei der Geschäftsführung. Die Verantwortung für anwendbare gesetzliche und vertragliche Pflichten bleibt bestehen.