IT Security Governance in den VAE

Die Always-Applicable-Controls sind die Management-Controls aus Annex A der UAE Information Assurance Regulation. Sie müssen unabhängig vom Ergebnis der Risikobewertung umgesetzt werden, und die Regulierung stellt fest, dass das Weglassen eines einzelnen eine Nichtkonformität darstellt. Sie verteilen sich auf fünf Familien:

• M1, Strategie und Planung. Kontext der Organisation, Bekenntnis der Leitung, definierte Rollen, Informationssicherheitsrichtlinie samt unterstützender Richtlinien, Ressourcen, Kommunikation und Dokumentation.
• M2, Risikomanagement der Informationssicherheit. Der vollständige Zyklus: Identifikation, Analyse, Bewertung, Behandlungsoptionen, Risikobehandlungsplan, Statement of Applicability, Ziele, Überwachung und Konsultation.
• M3, Awareness und Schulung. Ein dokumentiertes Programm, ermittelter Schulungsbedarf, ein Umsetzungsplan und Nachweise der Durchführung.
• M4, Personalsicherheit. Der gesamte Beschäftigungszyklus: Bewerberprüfung, Vertragsbedingungen, Managementverantwortung, Disziplinarverfahren, Austrittspflichten, Rückgabe von Werten und Entzug von Zugriffsrechten.
• M6, Leistungsbewertung und Verbesserung. Überwachung und Messung, interne Audits, Korrekturmaßnahmen und kontinuierliche Verbesserung.

Achtung vor der häufigen Verwechslung: Always Applicable ist nicht dieselbe Menge wie die P1-Stufe. P1 umfasst 39 Controls und regelt die Umsetzungsreihenfolge, nicht die Anwendbarkeit. Die Regulierung führt beide in getrennten Anhängen. Die vollständige Liste mit Control-IDs steht auf unserer UAE-IA-(NESA)-Referenzseite, und was jede Familie verlangt, erklärt unser Artikel zu den Always-Applicable-Controls.

Die Zuständigkeit ist geteilt. Das nationale Information-Assurance-Rahmenwerk liegt bei den föderalen Behörden für Aufklärung und Cybersicherheit, ursprünglich unter NESA herausgegeben und heute von den Nachfolgeorganisationen gepflegt. Dubai ergänzt das Dubai Electronic Security Center mit seiner Information Security Regulation. Das Gesundheitswesen in Abu Dhabi fällt unter ADHICS. Finanzfreizonen wie DIFC und ADGM betreiben zusätzlich eigene Datenschutzregime.

Das Bundesdekret-Gesetz Nr. 45 von 2021 gilt für die Verarbeitung personenbezogener Daten von Personen in den VAE, auch durch Verantwortliche und Auftragsverarbeiter außerhalb des Landes. Finanzfreizonen mit eigenem Datenschutzrecht, namentlich DIFC und ADGM, sind ausgenommen und wenden ihr eigenes Regime an, was zählt, wenn Ihre Gesellschaft dort sitzt. Unsere UAE-PDPL-Referenzseite behandelt Anwendungsbereich, Übermittlungen und Meldefristen.

Auf ein einziges Control-Set mappen und darüber rahmenwerkspezifische Sichten pflegen. Die meisten Anforderungen in den VAE und der EU überschneiden sich stark bei Zugriffskontrolle, Logging, Incident Response und Lieferantenmanagement und unterscheiden sich vor allem bei Meldefristen, Datenresidenz und Adressaten der Meldung. Ein Register mit mehreren Mappings erspart zwei widersprüchliche Richtlinienbibliotheken.

Mindestens jährlich, dazu anlassbezogen, sobald sich Architektur, regulatorischer Geltungsbereich oder Lieferantenlandschaft wesentlich ändern. Prüfer suchen den Nachweis, dass eine Überprüfung tatsächlich stattgefunden hat und von jemandem mit Befugnis freigegeben wurde, nicht nur ein Revisionsdatum in der Kopfzeile.

Die Rechenschaftspflicht liegt beim Aufsichtsgremium oder einem Vorstandsausschuss, die operative Verantwortung bei einer benannten Sicherheitsleitung mit einer Berichtslinie, die nicht durch das geprüfte Team verläuft. Die UAE Information Assurance Standards machen das in M1.1.3 zu definierten Rollen und Verantwortlichkeiten sowie in M1.1.2 zum nachweisbaren Bekenntnis der Leitung ausdrücklich. Ein Organigramm, in dem Security an dieselbe Führungskraft berichtet, die Liefertermine verantwortet, ist in den meisten Prüfungen ein Befund.

Kleiner, als viele Anbieter nahelegen, sofern die Nachweis-Pipeline automatisiert ist. Ein mittelgroßes Unternehmen in den VAE fährt typischerweise mit einer Vollzeit-Sicherheitsleitung, einem Teil einer Risiko- oder Compliance-Rolle und benannten Control-Verantwortlichen in den Teams, die die Systeme ohnehin betreiben. Personalbedarf entsteht durch manuelle Nachweissammlung, weshalb die wichtigste Reihenfolgeentscheidung lautet: erst Nachweise automatisieren, dann einstellen.

Vier Dinge: was sich an Bedrohungs- und Regulierungslage geändert hat, welche Risiken sich bewegt haben und warum, was das Remediation-Programm gekostet und geliefert hat, und welches Restrisiko das Gremium akzeptieren soll. Control-Zahlen und Heatmaps ohne Entscheidung sind Rauschen. Das Berichtspaket sollte aus demselben Register stammen, mit dem die operativen Teams arbeiten, damit Gremiensicht und Arbeitssicht nicht auseinanderlaufen können.

Jedes Risiko bekommt einen namentlichen Verantwortlichen statt einer Abteilung, ein Überprüfungsdatum, das eine Aufgabe auslöst statt einer Erinnerung, und Behandlungspläne, die an Arbeit hängen, die ohnehin im normalen Lieferprozess verfolgt wird. Ein Register außerhalb der Systeme, in denen Menschen arbeiten, wird in der Woche vor dem Audit gepflegt und sonst nie, und Prüfer erkennen dieses Muster sofort.