Ein Sicherheitsvorfall bleibt selten auf die Sicherheitsteams beschränkt. Sobald eine Person, ein Geldbetrag, ein Gerät oder eine Aufsichtsbehörde davon betroffen ist, wird er auch zum Problem anderer. Wer diese anderen sind und wie schnell sie davon erfahren müssen, hängt davon ab, was Ihr Unternehmen tut und wo es tätig ist.

Das ist der Grundgedanke hinter unserem neuen Planungstool, dem „Cross-Functional Incident Workbook“, das Sicherheitsverantwortliche durch sechs Abteilungen (Personalwesen, IT, Rechtsabteilung, Risikomanagement, Gebäudemanagement sowie Arbeitssicherheit und Gesundheitsschutz) führt und aufzeigt, wer in welchen Fällen die Verantwortung trägt, wenn ein Vorfall abteilungsübergreifend ist. Die Arbeitsblätter sind so konzipiert, dass sie sich flexibel an Ihre Organisation anpassen lassen, doch je nach Branche sieht die Problemstellung unterschiedlich aus. Hier sehen Sie, wie das in einigen Branchen aussieht.

Finanzen: Wenn ein Vorfall gleichzeitig ein Compliance-Ereignis ist

Im Finanzdienstleistungssektor kann ein Vorfall im Bereich der physischen Sicherheit bereits lange bevor der erste Bericht fertiggestellt ist, eine ganze Reihe von Dokumentationspflichten auslösen. Eine Unregelmäßigkeit beim Zugang mit dem Ausweis in einer Filiale, ein verlorenes Gerät einer Person mit Kontozugriff oder die Untersuchung eines Diebstahls im Pausenraum, die Auswirkungen auf die Personalakte eines Mitarbeiters hat – all dies sind Fälle, für die Dokumentationspflichten gelten, die zwar nicht in den Zuständigkeitsbereich der Sicherheitsteams fallen, von diesen aber dennoch ausgelöst werden.

Kartendaten und Zahlungsumgebungen erhöhen das Risiko noch weiter. Wenn ein physischer Vorfall einen Bereich betrifft, in dem Karteninhaberdaten verarbeitet oder gespeichert werden, sollte die Anwendbarkeit des PCI DSS auf ihre Richtigkeit überprüft werden, bevor Ihr Team davon ausgeht, dass es sich um einen rein physischen Vorfall handelt. Gleiches gilt für jeden Vorfall, bei dem Zugangsdaten im Zusammenhang mit Finanzsystemen betroffen sind: Die IT- und Compliance-Abteilungen müssen innerhalb einer Stunde informiert werden, nicht erst im wöchentlichen Bericht.

Fertigung: Wenn der Vorfall die Produktion zum Erliegen bringt

In einer Produktionsstätte steht die Reaktion auf Zwischenfälle im Wettbewerb mit dem Produktionsplan, und jede Stunde, in der ein Zwischenfall ungelöst bleibt, kann Kosten verursachen, die sich eher in der Produktionsleistung als in einem Polizeibericht niederschlagen. Ein Auftragnehmer, dessen Zugangsberechtigung eigentlich mit dem Ende seines Arbeitsauftrags hätte erlöschen sollen, ein Sicherheitsvorfall in der Produktionshalle, ein Diebstahl von Materialien oder Fertigprodukten: Für jeden dieser Vorfälle ist ein anderer Verantwortlicher zuständig, je nachdem, ob er sich auf die Personalstärke, den Durchsatz oder die Lieferkette auswirkt.

Hersteller, die Waren grenzüberschreitend transportieren, unterliegen zudem Verpflichtungen zur Einhaltung von Handelsvorschriften. Wenn ein Vorfall die Sicherheit der Lieferkette oder Ein- und Ausfuhrkontrollen betrifft, sollte die Anwendbarkeit von C-TPAT zur Sicherheit überprüft und nicht einfach vorausgesetzt werden. Dies ist einer der eindeutigeren Fälle, in denen die Rechts- und Compliance-Abteilungen von Beginn der Reaktion an mit am Tisch sitzen müssen – und nicht erst im Nachhinein.

Einzelhandel: Wenn der Vorfall auch ein Imageproblem für die Marke darstellt

Bei der Krisenbewältigung im Einzelhandel müssen zwei Zielgruppen berücksichtigt werden, mit denen die meisten anderen Branchen nicht in gleichem Umfang zu tun haben: die Öffentlichkeit und die Medien. Eine Untersuchung von Warenverlusten, ein Vorfall von Gewalt am Arbeitsplatz im Verkaufsraum oder eine Verletzung eines Kunden erfordern jeweils interne Abläufe, doch im Einzelhandel kommt noch eine weitere Ebene hinzu: Die Kommunikations- und PR-Abteilungen müssen schnell genug informiert werden, um einer Geschichte zuvorzukommen, anstatt nur darauf zu reagieren.

Einzelhandelsketten mit mehreren Standorten sehen sich zudem mit einer Variante der Frage nach der gemeinsamen Arbeitgeberhaftung konfrontiert, die sich je nach Standort unterschiedlich darstellt: an einem Standort sind es vertraglich gebundene Sicherheitskräfte, an einem anderen festangestellte Mitarbeiter und überall Saisonkräfte. Die RACI-Übung im Arbeitsbuch ist genau auf diese Art von Variationen ausgelegt, bei denen dieselbe Vorfallart je nach Standort, an dem sie sich ereignet hat, einen anderen Verantwortlichen haben kann.

Immobilienverwaltung: Wenn ein Vorfall mehrere Beteiligte gleichzeitig betrifft

Ein einzelner Vorfall in einer verwalteten Immobilie – ein Feueralarm, ein unbefugtes Betreten oder eine Verletzung in einem Gemeinschaftsbereich – kann gleichzeitig den Eigentümer, den Mieter, einen Dienstleister und die Verwaltungsgesellschaft selbst in die Haftung ziehen. Die Facility- und Risikomanagement-Teams in diesem Bereich benötigen Vorfalldaten, die detailliert genug sind, um ein geringfügiges Wartungsproblem von einem Vorfall zu unterscheiden, der zu einem Schadensfall führen könnte.

Der Zugang von Dienstleistern und Auftragnehmern ist ein immer wiederkehrendes Thema bei der Reaktion auf Vorfälle in der Immobilienverwaltung. Der Ausweis eines Wartungsmitarbeiters, der Einsatzort eines Sicherheitsmitarbeiters, der Gebäudezugang eines Reinigungsteams: Für jeden gilt ein anderer Weg zur Entziehung der Zugangsberechtigung, und für jeden muss bereits vor dem Vorfall – und nicht erst währenddessen – ein Verantwortlicher benannt worden sein.

Öffentlicher Sektor: Wenn der Vorfall öffentlich bekannt wird

Behörden und Organisationen des öffentlichen Sektors sehen sich mit jeder der oben genannten Herausforderungen konfrontiert – hinzu kommen Anforderungen an die Aktenführung und Transparenz, denen die meisten privaten Organisationen nicht in gleicher Weise ausgesetzt sind. Ein Vorfallbericht kann Gegenstand eines Antrags auf Zugang zu öffentlichen Unterlagen werden, was Auswirkungen darauf hat, was und wie dokumentiert wird. Die Einbeziehung von Rechts- und Compliance-Abteilungen ist hier unverzichtbar, und die Weitergabe muss oft früher erfolgen als in anderen Branchen, da die Fristen für die Meldung und die öffentliche Bekanntgabe parallel laufen können.

Die behördenübergreifende Koordination stellt eine weitere Ebene dar. Ein Sicherheitsvorfall auf öffentlichem Gelände muss möglicherweise gleichzeitig an die Gebäudeverwaltung, die Risikomanagementstelle und eine externe Behörde weitergeleitet werden. Die im Arbeitsbuch betonte Notwendigkeit, eine konkrete Rolle (und nicht nur eine Abteilung) zu benennen, ist hier besonders hilfreich, da es in Organisationen des öffentlichen Sektors oft mehrere Ebenen zwischen dem Moment, in dem „die Sicherheitskräfte den Vorfall bemerken“, und dem Moment, in dem „die zuständige Person davon erfährt“, gibt.

Das Muster, das sich überall zeigt

In jeder Branche taucht immer wieder dieselbe Lücke auf: Vorfälle, an denen Auftragnehmer und Lieferanten beteiligt sind, verlaufen anders als dieselben Vorfälle, an denen Mitarbeiter beteiligt sind, und die meisten Unternehmen haben diesen Ablauf nicht schriftlich festgehalten. Die Deaktivierung von Ausweisen, der Status der Hintergrundüberprüfung und die Vertragsbedingungen beeinflussen, wer für die Reaktion verantwortlich ist – selbst wenn der Vorfall auf dem Papier identisch erscheint. Das gilt unabhängig davon, ob Sie eine Bankfiliale, ein Distributionszentrum, ein Einzelhandelsgeschäft, ein verwaltetes Gebäude oder eine öffentliche Einrichtung betreiben.

Eine weitere Tatsache ist: Die Lücke lässt sich auf dem Papier leichter erkennen als mitten in einem tatsächlichen Vorfall. Genau aus diesem Grund gibt es das Arbeitsbuch.

Laden Sie das „Cross-Functional Incident Workbook“ herunter und arbeiten Sie es gemeinsam mit den Leitern Ihrer Abteilungen durch. Wenn Ihr Unternehmen bereits TrackTik einsetzt, können die von Ihnen ausgefüllten RACI-Tabellen als Weiterleitungsregeln für Ihre Plattform dienen, sodass der Plan nicht nur ein Dokument bleibt, sondern tatsächlich bestimmt, wie Vorfälle weitergeleitet werden.