Unternehmensführung

Der Vorstand von ams OSRAM hat eine globale Informationssicherheitsstrategie definiert, die auf das Risikomanagement und die Geschäftsstrategie des Unternehmens abgestimmt ist. Das Informationssicherheits-Managementsystem (ISMS) wurde global nach der Norm ISO27001 zertifiziert.

Governance zu Informationssicherheit

Als Teil der allgemeinen Informationssicherheitsstrategie hat ams OSRAM eine globale Informationssicherheitsorganisation etabliert, die von einem Corporate Information Security Officer (CISO) koordiniert wird. Der CISO ist direkt dem Chief Information Officer unterstellt und berichtet mindestens vierteljährlich an die Vorstandsmitglieder im „IT Board“, das als „Informationssicherheitsausschuss“ des Unternehmens definiert ist. Die Verantwortung für die Cyber- und Informationssicherheit innerhalb des Vorstands liegt beim Chief Financial Officer (CFO), zusätzlich befasst sich der Prüfungsausschuss mit diesbezüglichen Risiken. Identifizierte Cybersicherheitsrisiken werden außerdem im Rahmen des Enterprise Risk Managements bearbeitet und vom Prüfungsausschuss überwacht.

Policy zu Informationssicherheit

Der Vorstand von ams OSRAM hat konzernweit gültige Richtlinien für Informationssicherheit und den Datenschutz erlassen. Der CISO leitet und überwacht die Umsetzung des Informations- und Cybersicherheitsmanagementsystems (ISMS), inklusive dieser Richtlinie weltweit. Verpflichtende Schulungen zur Informationssicherheit und zum Datenschutz sollen sicherstellen, dass die Mitarbeiter mit den relevanten Sicherheitsrichtlinien und -verfahren vertraut sind. Diese Schulungen finden mindestens einmal pro Jahr statt. In regelmäßigen Abständen werden globale Sensibilisierungstests durchgeführt. Alle Mitarbeiter sind an diese jeweils geltenden Gesetze gebunden, um das Persönlichkeitsrecht anderer zu schützen und durch ein verantwortungsvolles Verhalten entlang der Schulungen, das Unternehmen vor Schaden zu schützen. Die wirksame Vorsorge gegen Informations- und Datenschutzrisiken ist ein wichtiger Bestandteil des unseres Managementansatzes, der Führungsaufgabe und auch des Verhaltens jedes Einzelnen.

Um unsere Anforderungen zu Datenschutz und Informationssicherheit auf unsere Lieferanten auszuweiten, haben wir diese in unserem Code of Conduct für Lieferanten festgeschrieben: Wir verpflichten unsere Lieferanten, personenbezogene Daten von deren Mitarbeitern und Geschäftspartnern zu schützen und nur für legitime Zwecke zu verwenden. Auch müssen bei der Erfassung, Speicherung, Verarbeitung, Übermittlung und Weitergabe von personenbezogenen Daten, die Gesetze zu Datenschutz und Informationssicherheit und die behördlichen Vorschriften beachtet werden. Unser ISMS umfasst alle relevanten Elemente wie Governance, Risikomanagement, Informations- und Systemmanagement, Threat- und Incident-Management und Business Continuity Management. Dies umfasst nicht nur das Monitoring und das Reagieren mit Anpassungen auf Sicherheitsrisiken (threats). Vielmehr ist das Threat- und Incident-Management Teil des globalen Incident- und Krisenmanagements von ams OSRAM. Darüber hinaus wurde ein Notfalldienstleister für den Fall eines schwerwiegenden Cyberangriffs unter Vertrag genommen.

Unser ISMS wird regelmäßig extern validiert. Die ISO 27001 Zertifizierung deckt den globalen ISMS-Prozess von ams OSRAM ab, die einzelnen Produktionsstandorte sind über ISO27001 bzw. TISAX im Hinblick auf die lokalen (physischen) Sicherheitsanforderungen zertifiziert. Außerdem wird das ISMS kontinuierlich verbessert und seine Wirksamkeit durch interne Audits und Vulnerabilitätsanalysen überwacht. Neben der jährlichen externen Re-Zertifizierung im Rahmen der ISO27001 und TISAX-Zertifizierungen wird durch das Corporate Audit jährlich mindestens ein externes Verifizierungsaudit von Informationssicherheitsrelevanten Prozessen und Abläufen angestoßen, z. B. sogenannte Table Top Exercises oder simulierte Hackerangriffe. Alle Automobilproduktionsstandorte weltweit werden außerdem mindestens mit TISAX Level 2 und mindestens einer mit Level 3 zertifiziert. Dadurch werden unsere globalen Prozesse validiert.

Im Bereich Datenschutz ist ein umfassendes Datenschutz-Managementsystem implementiert und eine weltweit gültige Konzernrichtlinie gewährleistet firmenweite Standards für die Handhabung von personenbezogenen Daten. Eine Weiterentwicklung des Datenschutzes wird u.a. durch Schulungen für alle Mitarbeiter und der Durchsetzung einheitlicher technisch-organisatorischer Maßnahmen, insbesondere auch bei der Verarbeitung von Daten durch externe Dienstleister vorangetrieben.

Für Mitarbeiter bestehen verschiedene Kanäle, um Fälle zu melden, darunter über das Hinweisgebersystem „Tell ams OSRAM“. Dieses ist auch für externe über unsere Website zugänglich.

Weitere Informationen und Dokumente finden Sie im Bereich "Downloads".