Daten braucheneine Entscheidung.
Eine Klassifikation ist keine Etikette. Sie legt fest, wie Information genutzt, gespeichert, übertragen, aufbewahrt und gelöscht werden darf. Erst wenn diese Regeln einem Owner, einem Zweck und einer Leistung zugeordnet sind, können Architektur, Identitäten, Kryptografie und Sicherung nachvollziehbar handeln.
Information wird
führbar.
Der Prozess beginnt bei einer Information, nicht bei einem Speichermedium. Er verbindet Zweck, Schutzbedarf und Lebenszyklus zu einer Regel, die im Betrieb angewendet und später belegt werden kann.
Zuordnen
Zweck, Geschäftsleistung, Owner und relevante Rechts oder Vertragsanforderungen bestimmen.
verantwortete Information
Einordnen
Vertraulichkeit, Integrität, Verfügbarkeit und mögliche Folgen eines Verlusts bewerten.
begründeter Schutzbedarf
Festlegen
Nutzung, Weitergabe, Speicherung, Übertragung, Aufbewahrung und Löschung verbindlich beschreiben.
anwendbare Vorgaben
Übergeben
Schutzvorgaben an Identitäten, Kryptografie, Entwicklung, Sicherung und Betrieb übergeben.
beauftragte Kontrollen
Pflegen
Neue Nutzung, neue Empfänger oder veränderte Schutzanforderungen nachführen und bestätigen.
gültiger Entscheid
Regeln statt
Dateinamen.
Eine Datenklasse allein erklärt nicht, was im Alltag erlaubt ist. Der bindende Eintrag verknüpft die Information mit ihrem geschäftlichen Zweck und macht die daraus folgende Schutzentscheidung für andere Prozesse verwendbar.
Owner
Wer entscheidet über Zweck, Schutzbedarf und zulässige Nutzung.
Leistung
Welche Geschäftsleistung die Information unterstützt und welche Folgen ein Ausfall hätte.
Klassifikation
Begründete Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit.
Lebenszyklus
Regeln für Erhebung, Verwendung, Weitergabe, Aufbewahrung und Löschung.
Grenzen
Zulässige Empfänger, Speicherorte, Übertragungswege und Ausnahmen.
Gültigkeit
Freigabe, letzter Review, offene Abweichungen und Verweis auf umsetzende Kontrollen.
Was andere Prozesse
wissen müssen.
Eine Regel bleibt nur dann wirksam, wenn sie für die nachfolgenden Teams in eine konkrete Vorgabe übersetzt ist. Die Tabelle zeigt die Übergabe, nicht eine technische Implementierungsvorgabe.
| Übergabe | Der Datenprozess liefert | Der Empfänger entscheidet oder vollzieht |
|---|---|---|
| Identitäten | Datenklasse, zulässige Rollen und besondere Trennungspflichten. | Berechtigungsmodell, Zugriffserteilung und regelmässige Überprüfung. |
| Kryptografie | Schutzbedarf für Speicherung und Übertragung, Anforderungen an Schlüssel und Empfänger. | Geeignete Verschlüsselung, Schlüsselverwaltung und technische Durchsetzung. |
| Entwicklung | Schutzanforderungen für Verarbeitung, Testdaten, Schnittstellen und Protokollierung. | Architektur, sichere Implementierung und Testnachweise. |
| Sicherung und Wiederanlauf | Aufbewahrung, Wiederherstellungsrelevanz und zulässige Kopien. | Backup, Schutz der Sicherung und Wiederherstellungstest. |
| Compliance | Dokumentierte Nutzung, Empfänger und Abweichungen. | Rechts, Vertrags und Aufbewahrungsanforderungen konkretisieren. |
Die Regel muss
anwendbar sein.
Gezählt wird nicht die Zahl der Klassifikationen. Aussagekräftig sind die Informationen, bei denen Schutzvorgaben fehlen, überholt sind oder im Betrieb nicht zugeordnet werden können.
Schutzrelevante Informationen ohne eindeutig benannten Data Owner.
Wesentliche Informationsobjekte ohne aktuelle Klassifikation.
Informationen ohne dokumentierte Aufbewahrungs oder Löschregel.
Abweichende Speicherorte, Übertragungen oder Empfänger ohne Befristung.
Schutzvorgaben ohne referenzierte technische oder organisatorische Kontrolle.
Regeln, deren Gültigkeit nach einer Geschäfts oder Systemänderung nicht bestätigt wurde.
Entwicklungs oder Analysebestände ohne geklärten Umgang mit produktiven Informationen.
Abgelaufene Datenbestände ohne dokumentierten Vollzug oder begründete Ausnahme.
Entscheiden,
nicht zählen.
Das Statusbild zeigt den Arbeitsvorrat, der eine Schutzentscheidung blockiert. Jede Abweichung ist einem Owner zugeordnet und hat einen nächsten Schritt. So bleibt Datensteuerung ein Führungsinstrument statt eine Sammlung von Klassifikationen.
| Signal | Was es bedeutet | Entscheidung oder Auftrag |
|---|---|---|
| Owner fehlt | Für eine schutzrelevante Information ist keine Person oder Stelle entscheidungsfähig. | Data Owner bestimmen, bis dahin Nutzung und Weitergabe begrenzen, soweit erforderlich. |
| Schutzregel fehlt | Zweck oder Kritikalität sind bekannt, die Nutzung, Speicherung oder Übertragung bleibt jedoch offen. | Schutzbedarf klären und eine verbindliche Regel mit Umsetzungsempfängern freigeben. |
| Regel ist überholt | Geschäftsleistung, Empfänger, Speicherort oder Verarbeitung haben sich verändert. | Review auslösen und die betroffenen Kontrollen in IAM, Kryptografie, Entwicklung oder Sicherung nachführen. |
| Ausnahme läuft weiter | Eine abweichende Nutzung oder Aufbewahrung hat keine aktuelle Begründung oder kein Ablaufdatum. | Ausnahme erneuern, beenden oder als Risikoentscheidung mit Frist und Verantwortung dokumentieren. |
Regeln werden
anwendbar.
Die Datensteuerung entscheidet über den Umgang mit Information. Die Referenzen setzen den Rahmen, die nachfolgenden Prozesse setzen die Regel um und die Werkzeugklassen unterstützen einzelne Arbeitsschritte.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Klassifizierung, Kennzeichnung und Transfer von Information sowie Löschung und Schutz vor Datenabfluss. | Beschreibt Controls, nicht die konkrete Datenarchitektur oder ein bestimmtes Labeling-Werkzeug. |
| NIST CSF 2.0 | Ordnet Datenschutz und Datenintegrität als erwartetes Schutzergebnis ein. | Ersetzt keine Entscheidung über Datenowner, Aufbewahrung oder zulässige Empfänger. |
| DORA und FINMA | Für erfasste Finanzunternehmen relevant, wenn kritische Daten, IKT-Assets oder Resilienz betroffen sind. | Die Anwendbarkeit folgt dem Institut und dem konkreten Sachverhalt, nicht dem Namen des Prozesses. |
| Inhalt | Beitrag für Daten | Weiter |
|---|---|---|
| 05 Inventar | Verknüpft Informationsobjekte mit Owner, Leistung und technischem Bestand. | Prozess öffnen → |
| IAM | Übersetzt Datenklassen in Rollen, Berechtigungen und regelmässige Überprüfungen. | Prozess öffnen → |
| Kryptografie | Setzt Anforderungen für Speicherung, Übertragung und Schlüssel in technische Kontrollen um. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.