Organisation

Unternehmens-Reiserichtlinie: jenseits des 40-Seiten-Dokuments

Eine Reiserichtlinie aufbauen, die tatsächlich genutzt wird, mit einem nach Reiseziel kalibrierten Schutzniveau.

Veröffentlicht am 29. Januar 2026 15 Min. Lesezeit Exponiert

Zuletzt überprüft: 10. März 2026

Moderner Konferenzraum eines Unternehmens

Ein Konzern reicht mir seine Reiserichtlinie. 47 Seiten. Abschnitt 12.3: „Mitarbeitende sollen die Nutzung unsicherer WLAN-Netze vermeiden.” Keine Definition von „unsicher”. Kein bereitgestelltes Werkzeug. Keine begleitende Schulung. Ich frage den CISO, was ein Vertriebler um 6 Uhr morgens tut, wenn ein Zöllner ihm sein Laptop abnimmt. Schweigen. Das Dokument existiert. Das Risiko ebenfalls.

Die übliche Falle

Eine Reiserichtlinie, die nicht operativ ist, ist Compliance-Theater. Sie existiert, um in einer Auditzeile mit „Ja” zu antworten, nicht um zu verändern, was vor Ort geschieht. Sie schützt das Unternehmen im juristisch trägsten Sinne — „wir hatten eine Richtlinie” — und schützt niemanden in dem Moment, in dem es darauf ankommt. Die nützliche Frage lautet nicht „Haben Sie eine Reiserichtlinie?”. Sie lautet „Wissen Ihre Mitarbeitenden, was zu tun ist, wenn ihr Gerät im Morgengrauen an der Grenze beschlagnahmt wird, in einem Land, dessen Sprache sie nicht sprechen?”. In neun von zehn Unternehmen lautet die Antwort nein. Auch in denen, die ihre 47 Seiten unterschrieben haben.

Der vorherrschende Diskurs behandelt die Richtlinie als Liefergegenstand. Man verfasst sie, lässt sie von der Rechtsabteilung freigeben, verteilt sie beim Eintritt des Mitarbeitenden, legt sie im Intranet ab und hakt das Kästchen ab. Niemand liest sie erneut. Niemand prüft, ob sie anwendbar ist. Niemand testet sie. Sie altert, ohne dass jemand sie anrührt, bis zum nächsten Audit, bei dem man sie öffnet, um das Datum zu ändern.

Diese Mechanik erzeugt ein Dokument, das eine ideale Welt beschreibt und die reale ignoriert. Der Mitarbeitende lebt in der realen Welt. Er muss ein Flugzeug erreichen, hat ein Kundentermin in zwölf Stunden, ein heißlaufendes Telefon, ein VPN des Unternehmens, das sich aus der Hotellobby nicht verbindet, und keine Ahnung, welche Nummer er anrufen soll, wenn etwas schiefgeht. Das Dokument nützt ihm nichts. Schlimmer noch: Es gibt ihm — und es gibt seiner Geschäftsführung — das Gefühl, dass ein Schutz existiert. Das ist das Schlechteste aus beiden Welten — die Kosten des Verfassens, plus das ungedeckte Risiko, plus die falsche Sicherheit.

Die theatralische Richtlinie hat auch versteckte Kosten, die niemand berechnet: Sie untergräbt die Glaubwürdigkeit der gesamten Sicherheitsfunktion. Ein Mitarbeitender, der einmal ein nicht anwendbares Dokument gelesen hat, lernt, dass Sicherheit in diesem Laden Papierkram ist. Er überträgt dieses Urteil auf die nächste Anweisung — die vielleicht diejenige ist, auf die es wirklich ankommt.

Reales Bedrohungsmodell

Die Reise verlagert den Mitarbeitenden aus Ihrem Kontrollbereich heraus und setzt ihn in eine Umgebung, in der andere Akteure den Heimvorteil haben. Das ist keine Abstraktion. Die Vektoren sind konkret, dokumentiert, und jeder entspricht einer präzisen Phase der Reise.

Die Grenze. Bei der Einreise in bestimmte Länder kann ein Beamter verlangen, ein Gerät zu inspizieren, zu kopieren oder einzubehalten. In den USA erfordert die Durchsuchung elektronischer Geräte an der Grenze keinen Durchsuchungsbeschluss — eine fest etablierte verfassungsrechtliche Ausnahme. In anderen Rechtsordnungen ist die Weigerung, ein Gerät zu entsperren, eine Straftat, die mit Haft geahndet werden kann. Das ist die Grenzdurchsuchung, und sie ist das erste Szenario, das eine ernsthafte Richtlinie abdecken muss, weil es legal, häufig ist und den Mitarbeitenden unvorbereitet trifft. Die erzwungene Offenlegung des Passworts stellt den Reisenden vor eine Wahl, auf die ihn kein 47-Seiten-Dokument vorbereitet hat.

Das lokale Netz. Das öffentliche WLAN eines Flughafens, eines Hotels, eines Konferenzzentrums ist standardmäßig feindliches Terrain. Abhören, gefälschte Zugangspunkte, Mitschnitt von Klartextverkehr. In Ländern, in denen der Telekommunikationsbetreiber unter staatlicher Kontrolle steht, ist die Infrastruktur selbst der Gegner. Ein IMSI-Catcher in der Halle einer Fachmesse ist kein Hirngespinst aus einem Spionagefilm — es ist ein Gerät von der Stange.

Die SIM und das Telefon. Eine lokale SIM in einem unbekannten Land zu kaufen heißt, seine Nummer und seinen Datenverkehr einem Betreiber anzuvertrauen, über den man nichts weiß. Der gezielte SIM-Swap gegen eine Führungskraft auf Reisen, der ihre Wiederherstellungs-SMS umleitet, ist eine Operation, die einem motivierten Angreifer ohne Weiteres möglich ist. Das Telefon, das während einer Besprechung im Hotelzimmer zurückgelassen wird, ist ein Telefon, das man bei der Rückkehr als potenziell kompromittiert betrachten muss.

Das Zimmer und der Safe. Das im Zimmer zurückgelassene Gerät ist nicht in Sicherheit, auch nicht im Safe. Das Personal hat einen Generalschlüssel. In bestimmten Kontexten auch die örtlichen Dienste. Der Evil-Maid-Angriff — die physische Manipulation eines Geräts während einer Abwesenheit — zielt genau auf Reisende, die glauben, das Laptop wegzuschließen reiche aus.

Die Rückkehr. Das Gerät, das aus einer sensiblen Zone zurückkommt, kann mitbringen, was es sich eingefangen hat. Ein Implantat, ein bösartiges Konfigurationsprofil, ein eingeschleustes Zertifikat. Ohne Rückkehrprozedur dringt diese Last ungehindert ins Unternehmensnetz ein, und der Vorfall im Feld wird zum Vorfall im Konzern.

Was diese Vektoren gefährlich macht, ist nicht ihre Raffinesse. Es ist, dass sie auf einen einzelnen, müden, unter Zeitdruck stehenden Mitarbeitenden zielen, der niemanden zum Anrufen hat. Die Bedrohung nutzt die operative Einsamkeit des Reisenden aus. Eine Richtlinie, die diese Einsamkeit nicht verringert, verringert kein Risiko.

Der richtige Ansatz

Der Umschwung passt in einen Satz: Eine Reiserichtlinie, die funktioniert, passt auf eine aushängbare A3-Seite und ist in die Werkzeuge integriert, nicht einmal im Jahr per E-Mail verschickt. Alles andere folgt aus diesen beiden Prinzipien — Knappheit und Integration.

Drei Länder-Tiers, kein vager Gradient

Die erste Entscheidung ist, die Reiseziele in drei Tiers einzuteilen, und nur in drei. Kein siebenstufiges System, das sich niemand merkt.

Tier 1 — Standard. Westeuropa, Nordamerika, Länder mit geringer Spannung und solidem Rechtsstaat. Normales Restrisiko. Basismaßnahmen: verschlüsseltes Gerät, Hardware-MFA auf den kritischen Konten, verfügbares Unternehmens-VPN, Passwort-Manager. Nichts Außergewöhnliches — das ist die Hygiene, die diese Mitarbeitenden ohnehin schon im Büro haben sollten.

Tier 2 — Verstärkt. Zonen mit moderater Spannung oder Standardziele mit einem exponierten Reisenden: Zugriff auf sensible Daten (HR, Finanzen, Kundendossiers), Medienpräsenz, gesuchte Funktion. Verstärkte Maßnahmen: dediziertes Reisegerät mit eingeschränktem Zugriff, eine Unternehmens-eSIM statt einer unbekannten lokalen SIM, systematisches Pre-Departure-Briefing, keine Verbindung zu sensiblen Systemen über das Hotel-WLAN.

Tier 3 — Maximal. Länder mit hoher Überwachung, aktive M&A-Missionen, laufende Rechtsstreitigkeiten, exponierte Führungskräfte. Jungfräuliches Reisegerät — nicht das übliche Laptop in abgespeckter Form, sondern ein Gerät, das nie sensible Daten enthalten hat. Ende-zu-Ende-verschlüsselte Kommunikation (E2EE). Kein direkter Zugriff auf Unternehmenssysteme; alles läuft über eine wegwerfbare Zwischenumgebung. Dokumentiertes und vor der Abreise eingeübtes Beschlagnahme-Protokoll. Verpflichtende Rückkehrprozedur mit Quarantäne des Geräts.

Die Einteilung der Länder ist keine Meinung. Sie stützt sich auf stabile Quellen — Empfehlungen des BSI, Reisehinweise des Auswärtigen Amts, Rückmeldungen Ihrer eigenen Reisenden — und wird zweimal jährlich überprüft. Ein Land kann nach einer Wahl, einer Krise oder einer Gesetzesänderung den Tier wechseln. Das Raster lebt.

Die aushängbare A3-Seite

Das Ergebnis all dieser Arbeit ist kein 47-Seiten-PDF. Es ist eine A3-Seite, die der Reisende aushängen, fotografieren oder als Merkblatt pro Reiseziel erhalten kann. Sie passt in vier Blöcke: der Tier des Reiseziels, die für diesen Tier erforderliche Ausrüstung, die Abreise-Checkliste und der Rückkehrprozess. Auf der Rückseite das Wesentliche der Notfallsituationen: Gerät beschlagnahmt, Gerät gestohlen, Verdacht auf Kompromittierung, und eine einzige Nummer zum Anrufen, rund um die Uhr erreichbar.

Ein Mitarbeitender, der mit einem einseitigen Merkblatt „Was Sie tun, wenn Ihr Laptop in Tier 3 beschlagnahmt wird” abreist, ist besser vorbereitet als einer, der bei seinem Eintritt ins Unternehmen 47 Seiten unterschrieben und nie wieder daran gedacht hat. Knappheit ist keine Vereinfachung des Inhalts. Sie ist die Bedingung dafür, dass er gelesen und behalten wird.

Integration in die Buchungswerkzeuge

Der Punkt, der eine lebendige Richtlinie von einer toten trennt: die Integration zum Buchungszeitpunkt. Wenn ein Mitarbeitender eine Reise zu einem Tier-2- oder Tier-3-Ziel bucht, löst das Buchungssystem automatisch den richtigen Prozess aus — Alarm an die Sicherheit, Erstellung des Ziel-Merkblatts, Anforderung des Reisegeräts bei der IT, Planung des Pre-Departure-Briefings. Niemand muss sich daran erinnern, die Prozedur zu starten. Das System startet sie.

Das ist das genaue Gegenteil der jährlichen E-Mail. Die E-Mail setzt voraus, dass sich der Mitarbeitende im richtigen Moment, Monate später, an eine Anweisung erinnert und sie von selbst anwendet. Die Integration setzt nichts voraus. Sie handelt im Moment des Auslösers — der Buchung — und legt das richtige Werkzeug in die Hände des richtigen Reisenden vor der Abreise.

Das bereitgestellte, nicht das beschriebene Kit

Eine Richtlinie, die ein verschlüsseltes Gerät verlangt, ohne es bereitzustellen, verlagert die Last auf den Mitarbeitenden, der weder das Budget noch das Mandat hat. Die Regel ist einfach: Wenn ein Werkzeug nötig ist, um die Richtlinie anzuwenden, stellt das Unternehmen es bereit. Reisegerät, Unternehmens-eSIM, Passwort-Manager, Ladekabel ohne Datenübertragung für unbekannte Ladestationen, und für Tier 3 ein vor der Abreise konfiguriertes Notfall-Kommunikationsgerät.

Eskalation und Rückkehr, die beiden vergessenen Glieder

Der Mitarbeitende muss zu jeder Stunde jemanden Kompetentes erreichen können. Ein Vorfall im Feld ereignet sich nie während der Bürozeiten der Zentrale. Eine Helpdesk-Nummer, die um 18 Uhr schließt, schützt niemanden in Singapur. Die Person am anderen Ende muss entscheiden können — einen Zugang widerrufen, eine Fernlöschung auslösen, den Krisenstab aktivieren. Wenn die IT diese Verfügbarkeit nicht intern hat, liefert sie ein rund um die Uhr erreichbarer Dienstleister für Incident Response.

Die Rückkehr ist für die Tiers 2 und 3 nicht optional. Das Gerät geht zur Überprüfung an die IT zurück — systematisch, nicht „falls Sie glauben, dass es ein Problem gibt”. Der Mitarbeitende meldet jeden Vorfallversuch, auch die, die ins Leere liefen. Für Tier 3 bleibt das Gerät während einer Untersuchung in Quarantäne, und der Reisende durchläuft ein Debriefing. Das ist das Glied, das einen potenziellen Vorfall im Feld in ein Nicht-Ereignis verwandelt, bevor er ins Netz eindringt.

Was das konkret bedeutet

Angle de lecture

Particulier RSSI / DSI CEO

Für Sie als Privatperson

Sie sind der Mitarbeitende, der die Reiserichtlinie erleidet. Sie wollen mit Ihrem privaten Laptop, Ihrem privaten Telefon losziehen und in Ruhe vom Marriott aus arbeiten. Die Richtlinie verlangt das Gegenteil, und Sie empfinden sie als Strafe. Schauen wir uns an, was sie wirklich von Ihnen verlangt, und warum das keine Schikane ist.

Sie verlangt von Ihnen, mit einem bereitgestellten Gerät statt mit Ihrem eigenen zu reisen. Nicht, um Sie zu überwachen. Sondern weil, wenn Ihr privates Laptop an der Grenze beschlagnahmt oder über das Hotel-WLAN kompromittiert wird, Ihr ganzes Leben mitgeht — Ihre Fotos, Ihre Bankkonten, Ihre privaten E-Mails, nicht nur das Kundendossier. Das Reisegerät schützt Sie, ebenso sehr wie es das Unternehmen schützt.

Sie verlangt von Ihnen, sich nicht über das Hotelnetz mit sensiblen Systemen zu verbinden. Weil dieses Netz nicht Ihres ist und Sie keine Möglichkeit haben zu wissen, wer mithört. Nutzen Sie die bereitgestellte Verbindung, die eSIM, den bereitgestellten Tunnel. Das ist manchmal langsamer. Es ist auch das, was dafür sorgt, dass niemand über Ihre Schulter mitliest.

Sie verlangt von Ihnen, jeden Vorfall bei der Rückkehr zu melden, auch den, der „ins Leere lief”. Nicht, um Sie zu beschuldigen. Sondern weil ein Gerät, das eine Woche in einer Risikozone verbracht hat, etwas mitbringen kann, ohne dass Sie es sehen, und eine Viertelstunde Kontrolle bewahrt Sie davor, unwissentlich das Einfallstor eines Vorfalls zu sein.

Die Richtlinie ist nicht da, um Ihnen die Reise zu erschweren. Sie ist da, damit die einzige Erinnerung, die Ihnen bei der Rückkehr bleibt, der Jetlag ist.

Für Sie als CISO / IT-Leitung / Geschäftsführung

Der Umschwung von einer theatralischen zu einer operativen Richtlinie verändert Ihre Sichtweise an fünf Punkten. Keiner ist ein Umsetzungsdetail — jeder verschiebt eine Governance-Entscheidung.

1. Die Richtlinie ist ein Produkt, kein Dokument. Sie messen den Erfolg nicht länger an der Qualität der Formulierung oder am Umfang des Liefergegenstands. Sie messen ihn an der Nutzung: Anteil der vor der Abreise durchgeführten Briefings, Anteil der bei der Rückkehr kontrollierten Geräte, Antwortzeit unter der Notfallnummer. Ein Produkt hat Nutzungsmetriken. Ein Dokument hat keine. Direkte Konsequenz: Diese Metriken in das vierteljährliche Sicherheitsreporting aufnehmen, ebenso wie offene Schwachstellen. Was nicht gemessen wird, wird nicht angewendet.

2. Die NIS-2-Konformität verlangt ein Risikomanagement, keinen Aktenordner. Die Richtlinie verpflichtet wesentliche und wichtige Einrichtungen zu einem Cybersicherheits-Risikomanagement, das die Betriebssicherheit abdeckt, zu der die Mobilität gehört. Eine nicht angewendete Reiserichtlinie ist ein unbehandeltes Risiko, und die Verantwortung des Leitungsorgans ist nunmehr ausdrücklich und persönlich. Direkte Konsequenz: Die Reiserichtlinie fällt in den Geltungsbereich des dokumentierten und prüfbaren Risikomanagements, nicht in ein vergessenes HR-Dossier. Die Geschäftsführung zeichnet das pro Tier akzeptierte Risikoniveau ab.

3. Die Integration in die Werkzeuge ist eine Architekturentscheidung, keine Komfortoption. Das Auslösen der Prozedur an das Buchungssystem zu koppeln, setzt eine Zusammenarbeit zwischen IT, Travel-Einkauf und Sicherheit voraus. Das ist der strukturierendste und am meisten vernachlässigte Punkt. Ohne ihn fallen Sie auf die jährliche E-Mail zurück. Direkte Konsequenz: Dieses Vorhaben als Integrationsprojekt behandeln, mit Budget und Verantwortlichem, nicht als Prozedur-Update. Der Return on Investment misst sich in nicht eingetretenen Vorfällen.

4. Die Fürsorgepflicht des Arbeitgebers ist berührt, zivil- und strafrechtlich. Einen Mitarbeitenden ohne Vorbereitung, ohne Werkzeuge, ohne Notfallprozedur in eine Tier-3-Zone zu schicken, setzt den Arbeitgeber aus. Im Falle eines Vorfalls — Beschlagnahme, Kompromittierung, körperliche Beeinträchtigung — wird die Frage des Richters oder des Versicherers nicht lauten „Hatten Sie eine Richtlinie?”, sondern „Hatten Ihre Mitarbeitenden die Mittel, sie anzuwenden?”. Ein nicht mit Werkzeugen ausgestattetes Dokument ist nicht durchsetzbar. Direkte Konsequenz: Die Nachverfolgbarkeit der Vorbereitung (datiertes Briefing, ausgehändigtes Kit, übermitteltes Merkblatt) wird zu einem juristischen Schutzbeleg, der aufzubewahren ist. Sie schützt das Unternehmen und die Geschäftsführung persönlich.

5. Die Governance sensibler Daten endet nicht am IT-Perimeter. DLP, CASB, SIEM schützen die Organisation innerhalb des Perimeters. Sie decken nicht den Justiziar ab, der allein in einem Hotelzimmer in Shanghai sitzt. Der Schutz exponierter Funktionen in der Mobilität ist ein eigener Bereich, mit eigenen Maßnahmen und eigenem Verantwortlichen. Direkte Konsequenz: Eine Position „Schutz sensibler Reisender” im Sicherheitsplan vorsehen, getrennt von der generischen IT-Sicherheit.

Für Sie als Geschäftsführung

Die Reiserichtlinie ist kein technisches Dokument, das man an den CISO delegiert und vergisst. Sie ist eine Abwägung, und eine Abwägung ist eine Entscheidung der Geschäftsführung. Auf der einen Seite die Reibung, die Sie Ihren Teams auferlegen: dedizierte Geräte, Briefings, Kontrollen bei der Rückkehr, Verzögerungen. Auf der anderen Seite das Risiko, das Sie im Gegenzug akzeptieren. Niemand außer Ihnen kann den Regler zwischen beiden setzen, weil niemand außer Ihnen für das Geschäft geradesteht.

Drei Fragen entscheiden diesen Fall, und sie gehören Ihnen.

Wie viele Länderstufen unterscheidet man? Eine einzige Stufe, und Sie überlasten den Vertriebler, der nach München fährt, während Sie den Juristen unterschützen, der zur Due Diligence nach Shenzhen reist. Zu viele Stufen, und niemand merkt sie sich. Die richtige Zahl ist in der Regel drei. Aber Sie sind es, der abzeichnet, wo die Grenze zwischen „Standard” und „verstärkt” verläuft.

Wer entscheidet, dass eine Reise riskant ist? Wenn es der Mitarbeitende selbst ist, im Moment der Buchung, haben Sie keine Richtlinie, Sie haben einen Wunsch. Die Entscheidung muss automatisch ausgelöst werden, am Reiseziel, ohne vom Gedächtnis oder vom guten Willen dessen abzuhängen, der reist.

Wer bezahlt das dedizierte Material? Wenn die Antwort lautet „der Mitarbeitende kommt allein zurecht”, ist Ihre Richtlinie tot, bevor sie existiert. Ein Reisegerät kostet ein paar hundert Euro. Ein Dossier, das während einer Verhandlung durchsickert, kostet die Verhandlung. Auch die Budget-Abwägung ist die Ihre.

Ihr CISO kann die Richtlinie verfassen, pflegen, messen. Er kann nicht an Ihrer Stelle über das für das Geschäft akzeptable Reibungsniveau entscheiden. Das ist der Teil, den Sie nicht delegieren.

Fehler, die man ständig sieht

Die einheitliche Richtlinie. Dieselbe Regel für den Vertriebler auf einer Messe in München und den Juristen bei der Due Diligence in Shenzhen. Sie überlastet den einen, unterschützt den anderen und wird von niemandem eingehalten, weil sie keiner Realität entspricht.
Das „Was” ohne das „Wie”. „Nutzen Sie ein VPN in öffentlichen Netzen.” Welches? Wie aktiviert man es? Was tun, wenn es blockiert ist, wie in den meisten Konfigurationen in China? Die Pflicht ohne das Mittel erzeugt Nichtbeachtung, keine Sicherheit.
Die jährliche E-Mail. Eine einmal im Jahr verschickte Anweisung ist keine Richtlinie, sie ist eine Erinnerung, die niemand in dem Moment erneut liest, in dem er sie bräuchte — Monate später, um 23 Uhr, auf einem ausländischen Flughafen.
Die Notfallnummer zu Bürozeiten. Ein Helpdesk, der um 18 Uhr Berliner Zeit schließt, während der Mitarbeitende in Tokio in der Krise steckt, ist keine Eskalation. Es ist eine fehlende Eskalation, als Prozedur getarnt.
Die ignorierte Rückkehr. Man briefet bei der Abreise, vergisst bei der Rückkehr. Das aus einer sensiblen Zone zurückkehrende Gerät kommt ohne Kontrolle ins Netz, und der Vorfall im Feld wird zum Konzern-Vorfall, manchmal Wochen später.
Das beschriebene, aber nicht bereitgestellte Kit. Ein verschlüsseltes Reisegerät zu verlangen, ohne es bereitzustellen, heißt, vom Mitarbeitenden zu verlangen, selbst ein Werkzeug zu kaufen und zu konfigurieren, das er nicht beherrscht. Das Ergebnis: Er reist mit seinem üblichen Laptop ab, unvorbereitet.
Das eingefrorene Tier-Raster. Eine einmal erstellte und nie überprüfte Länderklassifizierung wird bei der ersten geopolitischen Veränderung falsch. Ein Tier-1-Land kann nach einer Krise auf Tier 3 kippen.

Umsetzbare Checkliste

N1 Reiseziele in drei Tiers einteilen (Standard / verstärkt / maximal), nicht mehr
N1 Die Richtlinie auf eine aushängbare A3-Seite reduzieren: Tier, Ausrüstung, Abreise, Rückkehr
N1 Das Kit pro Tier bereitstellen (Reisegerät, eSIM, Passwort-Manager, Kabel ohne Daten)
N2 Eine rund um die Uhr durch eine entscheidungsbefugte Person erreichbare Notfallnummer einrichten
N2 Ein datiertes Pre-Departure-Briefing für jede Tier-2- und Tier-3-Reise vorschreiben
N2 Die Gerätekontrolle bei der Rückkehr für die Tiers 2 und 3 verpflichtend machen
N2 Das Beschlagnahme-Protokoll an der Grenze dokumentieren und vor Tier-3-Missionen einüben
N3 Das Auslösen der Prozedur in das Reisebuchungssystem integrieren
N3 Die Vorbereitungsquote Tier 2/3 messen und in das vierteljährliche Sicherheitsreporting aufnehmen
N3 Das pro Tier akzeptierte Risikoniveau vom Leitungsorgan abzeichnen lassen (NIS 2)
N3 Das Länderklassifizierungs-Raster zweimal jährlich überprüfen
N3 Einmal jährlich einen Vorfall im Feld als Trockenübung testen und die reale Antwortzeit messen

Zum Vertiefen

Die Empfehlungen des BSI zur IT-Sicherheit auf Reisen liefern die technische Grundlage des Kits pro Tier. Die Arbeiten der IATA zur Geschäftsreisesicherheit ergänzen den logistischen und geografischen Aspekt. Für die Verantwortung des Leitungsorgans und den Geltungsbereich des Risikomanagements ist die NIS-2-Richtlinie die Referenz, die man der Rechtsabteilung in die Hand geben sollte.

Vom Feld her gesehen verlängern drei Artikel des Handbuchs diesen direkt. Die Pre-Departure-Vorbereitung beschreibt den operativen Inhalt des Briefings und des Ziel-Merkblatts. Incident Response vor Ort deckt ab, was passiert, wenn die Eskalation wirklich ausgelöst wird. Und Exponierte Führungskraft behandelt das Tier-3-Profil schlechthin, das, dessen Reise für den, der zu beobachten weiß, ein vollständiges Dossier wert ist.

Quellen und weiterführende Literatur

BSI — Empfehlungen zur IT-Sicherheit auf Reisen [official]
IATA — Corporate Travel Security [official]