Auf einen Blick (Key Takeaways)
- Anforderungen eines globalen OEMs: Prozesse an VGP-Standards ausgerichtet (Vertraulichkeit, TISAX-Leitlinien).
- Security-First-Kultur: Clean Desk, Clean Screen und Sperren der Arbeitsplätze (Win+L).
- Lückenloses Nachauftragnehmer-Modell: Verbot der Datenverarbeitung außerhalb der EU sowie verpflichtende AV-Verträge für jeden Übersetzer.
- Infrastruktur: Integration in die gesicherte Memsource-/Phrase-Umgebung und verschlüsselte FTP-/SFTP-Kanäle.
- Ergebnis: erfolgreiche Lieferantenprüfung und Beginn einer mehrjährigen Zusammenarbeit an kritischen Projekten.
Herausforderung: Eintrittskarte in die Automotive-Welt
Der Einstieg in die Zusammenarbeit mit der VGP-Gruppe ist für einen Sprachdienstleister vor allem eine operative Herausforderung. Globale Akteure der Automobilindustrie stellen Informationssicherheit auf eine Stufe mit der Dienstleistungsqualität. Meine Aufgabe war der Aufbau eines Systems, das Betriebsgeheimnisse schützt – von Investitionsplänen bis zur technischen Dokumentation von Prototypen.
Das Kernproblem lag in der Natur der Übersetzungsbranche: verteilte Ressourcen und externe Nachauftragnehmer. Ich musste ein Modell erarbeiten, in dem jede Person in der Lieferkette – vom Übersetzer bis zum Grafiker – in einem definierten Sicherheitsregime arbeitet, ohne die Produktivität zu verlieren.
Umsetzung: Dokumentation, die in den Prozessen „lebt“
Zentral war die volle Rechenschaftspflicht: systematische Verzeichnisse der Verarbeitungstätigkeiten und zyklische interne Audits, um Risiken in der IT-Infrastruktur früh zu erkennen und zu beseitigen.
Gemeinsam mit dem Rechtsteam legte ich die Fundamente: eine Informationssicherheitsrichtlinie sowie eine Datenschutzrichtlinie. Das waren keine Schubladentexte. Die Einführung brachte konkrete Änderungen in der Arbeitshygiene:
- Physische Regeln: Vernichtung von Notizen im Aktenvernichter (P-4), Verschluss von Rack-Schränken, Aufbewahrung vertraulicher Unterlagen in gesicherten Bereichen sowie Clean-Desk- und Clean-Screen-Richtlinie.
- Nachauftragnehmer: eigene AV-Verträge, die unter anderem die Verarbeitung außerhalb der EU (EWR-Regime) strikt untersagen.
- IT-Infrastruktur: Pflichtarbeit in Phrase (damals Memsource), welches die lokale Speicherung von Translation Memories einschränkt, sowie sichere Übertragungskanäle (VPN/SFTP).
- Awareness: Schulungen für Personal und Nachauftragnehmer mit namentlichen Bevollmächtigungen und Vertraulichkeitsverpflichtungen.
- NAS: neuer QNAP-Rack-NAS als Speicher, Fileserver und automatisiertes Backup mit Snapshots.
- VPN & Glasfaser: Wechsel des Providers; Büros in Poznań und Wrocław an 1000 Mbps-Glasfaser, verbunden per Site-to-Site-VPN.
- Elektroinstallation & USV: neues USV-System zum Schutz der HDD-Daten; vollständige Modernisierung der Elektroinstallation im Posener Büro.
- Projektteam: Marta (Rechtsanwältin) unterstützte die formale Konzeption unter DSGVO; Bartłomiej (IT) die technischen Lösungen; Karol (Elektriker) Verdrahtung und Abnahme; Magda und Anna Kommunikation und Unterzeichnung der AV-Verträge mit Nachauftragnehmern.
Ergebnis war nicht nur DSGVO-Konformität, sondern der Status eines vertrauenswürdigen Lieferanten für einen Kunden mit höchsten Anforderungen. Das System ist skalierbar – dieselben Verfahren schützen heute die Daten aller Berlineo-Kunden. TISAX erscheint hier als Anforderungs-/Leitlinienrahmen (Standards angelehnt an TISAX) – ohne Behauptung eines formellen TISAX-Zertifikats.
Verifizierte Referenzen
