2008: Informationssicherheit wird per Gesetz verordnet

EUROSOX ist die europäische Modifikation des amerikanischen Sarbanes-Oxley Acts. Dieses US-Gesetz wurde von Paul Sarbanes und Michael Oxley initiiert und als Folge der Bilanzskandale um Enron und Worldcom am 30. Juli 2002 in Kraft gesetzt. Es betrifft alle US-börsennotierte Unternehmen.

Dadurch soll erreicht werden, dass veröffentlichte Firmendaten und Bilanzen stimmen bzw. bei Modifikationen eindeutig Schuldige gefunden werden können ("Sicherung der Verlässlichkeit von Finanzinformationen"). Ein internes Kontrollsystem (IKS) muss vorhanden sein.

Es gibt aber noch keine Angaben, wie Wirtschaftsprüfer dieses überprüfen sollen. Die Dokumentation der IT- und TK-Infrastruktur eines Unternehmens wird auf alle Fälle ein wesentlicher Bestandteil einer Überprüfung sein. Ohne aktuelle Dokumentation besteht eine persönliche Haftung des Managements und wird als Organisationsverschulden sanktioniert werden.

In diesem Zusammenhang wurde auch der Begriff "IT-Governance" geprägt. ("IT-Governance liegt in der Verantwortung des Vorstands und des Managements und ist ein wesentlicher Bestandteil der Unternehmensführung. IT-Governance besteht aus Führung, Organisationsstrukturen und Prozessen, die sicherstellen, dass die IT die Unternehmensstrategie und -ziele unterstützt." Zitat: Wikipedia).

Die IT-Governance balanciert im Wesentlichen zwei Bereiche:

• Schaffen von Unternehmenswerten
• Minimieren von IT-Risiken.

Wen betrifft EUROSOX?

Gemäß EU-Richtlinie sind alle Unternehmen betroffen, die "von öffentlichem Interesse" sind, speziell genannt werden:

• Börsennotierte Unternehmen
• Banken
• Versicherungen

Zusätzlich kann jedes Land eigene Kriterien aufstellen, wie Größe eines Unternehmens (z.B. Beschäftigte), Umsatz usw. (Richtline 2006/43/EG - Artikel 2, Absatz 13)

Welche Werkzeuge soll EUROSOX verwenden ?

Diese Entscheidung obliegt dem Unternehmen - COBIT, ITIL, ISO27001 oder IT-Grundschutzhandbuch werden vermehrt im IT-Bereich zum Einsatz kommen, COSO im Finanzbereich und COSO-ERM (Enterprise Risk Management Framework) im Risikobereich. Unabhängig davon wird aber explizit auf die Pflicht hingewiesen, die Merkmale und die Wirksamkeit der internen Kontrollen und des Risikomanagements der Unternehmen klar und normenkonform dokumentiert darzulegen.

Bis 29. Juni 2008 muss die innerstaatliche Umsetzung der 8. EU-Richtlinie in Österreich vollzogen sein und betrifft eine Reihe von Gesetzen.

Abschließend ist festzuhalten, dass durch EUROSOX ein Regulativ für große Unternehmen geschaffen wurde, kritische (Finanz)Daten gesichert zu behandeln, KMUs und Unternehmen, die nicht im öffentlichen Interesse liegen oder mit einer Bilanzsumme unter 80 Millionen Euro davon nicht betroffen sind.

Sollten Sie Fragen zu diesem Thema oder anderen Securityfragen haben, senden Sie eine kurze E- Mail an die Redaktion.

www.eurosox.at

http://ec.europa.eu/internal_market/auditing/directives/index_de.htm

www.ris.bka.gv.at/bundesrecht/