Informationssicherheitsrichtlinie

Die Exactflow Prosta Spółka Akcyjna (das „Unternehmen“) betreibt die ExactFlow-Plattform, ein Software-as-a-Service-System, das Auftragsverwaltung, Customer-Relationship-Management und Lagerverwaltung für Geschäftskunden bereitstellt, sowie den ExactFlow Marketplace (Exact Solution), auf dem gewerbliche und private Verkäufer Waren an Käufer anbieten. Im Rahmen des Betriebs dieser Systeme verarbeitet das Unternehmen Informationen seiner Mitarbeiter, Kunden sowie der Verkäufer und Käufer, die auf dem Marktplatz bertreiben, und stützt sich dabei auf externe Parteien, darunter Hosting-Anbieter, Zahlungspartner, Lieferpartner und Marktplatz-Kanäle.

Diese Richtlinie bildet das oberste Instrument des Informationssicherheits-Managementsystems des Unternehmens und regelt die Auslegung und Anwendung jeder vom Unternehmen verabschiedeten untergeordneten Richtlinie im Bereich der Informationssicherheit.

Der Zweck dieser Richtlinie besteht darin, das Engagement des Unternehmens zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der von ihm verarbeiteten Informationen zu etablieren und den Verpflichtungen des Unternehmens gemäß der Datenschutz-Grundverordnung (DSGVO), den geltenden polnischen Ausführungsgesetzen sowie den vertraglichen Verpflichtungen gegenüber seinen Geschäftspartnern Nachdruck zu verleihen. Diese Richtlinie dient ferner als Grundlage für das Streben des Unternehmens nach einer Zertifizierung nach ISO/IEC 27001:2022.

Diese Richtlinie gilt für alle Mitarbeiter, Auftragnehmer und temporären Arbeitskräfte des Unternehmens, unabhängig von ihrem Arbeitsort; für alle Informationswerte (Information Assets), die vom Unternehmen erstellt, empfangen, gespeichert oder anderweitig verarbeitet werden; für jede Umgebung, in der die Systeme des Unternehmens betrieben werden, einschließlich Produktions-, Staging-, Entwicklungs- und Unternehmensumgebungen; sowie für jeden Dritten, der vom Unternehmen im Zusammenhang mit der Plattform oder dem Marktplatz beauftragt wird, einschließlich Hosting-Anbieter, Zahlungspartner, Lieferpartner und Marktplatz-Kanäle. Die spezifischen Anforderungen für jede Kategorie von Dritten sind in der Richtlinie zum Risikomanagement für Dritte & Partner festgelegt.

Das Unternehmen legt mindestens jährlich sowie bei wesentlichen Änderungen des Geschäftsbetriebs, seiner Technologie oder des regulatorischen Umfelds messbare Informationssicherheitsziele fest, stellt Ressourcen bereit und überprüft diese. Die Informationssicherheitsziele des Unternehmens umfassen unter anderem:

Schutz der personenbezogenen Daten von Verkäufern, Käufern und Mitarbeitern in einer Weise, die ihrer Sensibilität angemessen ist und den Artikeln 5 und 32 der DSGVO entspricht.

Aufrechterhaltung der Verfügbarkeit kundenorientierter Dienste im Einklang mit den im Business Continuity & Disaster Recovery Plan festgelegten Wiederherstellungszielen.

Erkennung von, Reaktion auf und gegebenenfalls Meldung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten innerhalb der im Incident Response & Breach Notification Policy vorgeschriebenen Fristen, einschließlich der in Artikel 33 der DSGVO vorgeschriebenen 72-Stunden-Frist.

Kontinuierliche Weiterentwicklung eines an ISO/IEC 27001:2022 ausgerichteten Informationssicherheits-Managementsystems mit dem Ziel einer Zertifizierung.

Das Unternehmen handelt als Verantwortlicher in Bezug auf die personenbezogenen Daten seiner Mitarbeiter sowie der Verkäufer und Käufer, mit denen es direkt auf dem Marktplatz interagiert, und handelt als Auftragsverarbeiter in Bezug auf personenbezogene Daten, die im Auftrag eines Plattformkunden verarbeitet werden. Die federführende Aufsichtsbehörde des Unternehmens für die Zwecke der DSGVO ist die polnische Datenschutzbehörde (Urząd Ochrony Danych Osobowych), da sich die Hauptniederlassung des Unternehmens in der Europäischen Union in Polen befindet.

Das Unternehmen hält, soweit anwendbar, die Risikomanagement- und Vorfallmeldeanforderungen der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) sowie die Pflichten der Verordnung (EU) 2024/2847 (Cyber Resilience Act) in Bezug auf Produkte mit digitalen Elementen ein. Wenn das Unternehmen ein System künstlicher Intelligenz einsetzt, einschließlich eines Systems, das direkt mit einer natürlichen Person interagiert, hält das Unternehmen die geltenden Transparenz- und Risikomanagementpflichten der Verordnung (EU) 2024/1689 (KI-Gesetz) ein.

Eine Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums unterliegt einer geeigneten Garantie gemäß Kapitel V der DSGVO, und eine solche Übermittlung findet erst statt, wenn diese Garantie bestätigt wurde. Das Unternehmen führt ein Register der rechtlichen und regulatorischen Anforderungen, in dem die anwendbaren Verpflichtungen und die für den Nachweis der Einhaltung verantwortliche Funktion erfasst sind.

Zugriff auf Informationswerte wird auf der Grundlage des Prinzips der geringsten Rechte (Least Privilege) und des Kenntnisbedarfs (Need-to-know) gewährt und entzogen, sobald er nicht mehr erforderlich ist.

Sicherheitskontrollen werden gestaffelt (in Schichten) angewendet, sodass der Ausfall einer einzelnen Kontrolle nicht zum vollständigen Verlust des Schutzes eines Informationswerts führt.

Datenschutz- und Sicherheitsanforderungen werden von Beginn an in das Design eines neuen Systems oder einer neuen Funktion integriert, gemäß Artikel 25 der DSGVO.

Jeder Informationswert, jedes identifizierte Risiko und jede Kontrolle muss einen benannten, verantwortlichen Eigentümer haben.

Wenn das Unternehmen Produktionsinfrastrukturen über mehr als eine Hosting-Umgebung hinweg betreibt, gelten für jede ausnahmslos gleichwertige Kontrollen; eine Kontrolle, die nur in einer solchen Umgebung implementiert ist, gilt nicht als implementiert.

Die oberste Leitung ist für das Informationssicherheits-Managementsystem verantwortlich und demonstriert diese Verantwortung durch die Genehmigung dieser Richtlinie und die Sicherstellung einer angemessenen Ressourcenausstattung.

Der Chief Information Security Officer (CISO) ist für den täglichen Betrieb des Informationssicherheits-Managementsystems verantwortlich, einschließlich der Pflege dieser Richtlinie und ihrer untergeordneten Richtlinien, des Betriebs des Risikomanagementprozesses, der Leitung der Reaktion auf erhebliche Vorfälle und der Berichterstattung an die oberste Leitung über die Sicherheitslage des Unternehmens.

Bis zur Ernennung eines Datenschutzbeauftragten gemäß Artikel 37 der DSGVO fungiert der Chief Information Security Officer als vorläufiger Ansprechpartner des Unternehmens in Datenschutzfragen.

Die oberste Leitung führt zusammen mit dem Chief Information Security Officer mindestens einmal jährlich sowie nach jedem als kritisch eingestuften Vorfall eine formelle Überprüfung des Informationssicherheits-Managementsystems durch.

Diese Richtlinie wird durch die folgenden untergeordneten Richtlinien umgesetzt: die Richtlinie zur akzeptablen Nutzung, die Zugriffskontrollrichtlinie, die Kryptografie- und Schlüsselverwaltungsrichtlinie, die Risikomanagementrichtlinie, die Netzwerksicherheits- und Firewall-Richtlinie, die Antiviren- und Endpunktschutzrichtlinie, die Vorfallsreaktions- und Benachrichtigungsrichtlinie, den Business Continuity & Disaster Recovery Plan, die Backup-Richtlinie, die Datenaufbewahrungs- und Löschrichtlinie, die Datenklassifizierungsrichtlinie, die Datenschutzrichtlinie für personenbezogene Daten, die Drittanbieter- & Partner-Risikomanagementrichtlinie, die Richtlinie für sichere Entwicklung, die Schwachstellenmanagement- und Offenlegungsrichtlinie, die Change-Management-Richtlinie, die Protokollierungs- und Überwachungsrichtlinie, die physische und umweltbezogene Sicherheitsrichtlinie, die HR-Sicherheits- und Vertraulichkeitsrichtlinie sowie die Sicherheitsbewusstseins- und Schulungsrichtlinie.

Die Einhaltung dieser Richtlinie ist für jede Person und Partei in ihrem Geltungsbereich verbindlich. Ein Verstoß gegen diese Richtlinie durch einen Mitarbeiter oder Auftragnehmer kann zu Disziplinarmaßnahmen bis hin zur Beendigung des Arbeits- oder Vertragsverhältnisses und, sofern der Verstoß rechtswidriges Verhalten beinhaltet, zur Weiterleitung an die zuständigen Behörden führen.

Ein Verstoß gegen diese Richtlinie durch einen Dritten kann zur Aussetzung oder Beendigung der Geschäftsbeziehung führen, unbeschadet aller anderen dem Unternehmen zur Verfügung stehenden Rechtsmittel.

Der Chief Information Security Officer misst die Einhaltung dieser Richtlinie durch interne Audits, die jährliche Managementbewertung und die im Rahmen jeder untergeordneten Richtlinie berichteten Kennzahlen.

Jede Ausnahme von einer spezifischen Anforderung dieser Richtlinie muss dokumentiert, zeitlich begrenzt und vorab vom Chief Information Security Officer genehmigt werden. Eine Person, die ohne eine solche Genehmigung handelt, wird unabhängig von der zugrunde liegenden Rechtfertigung als nicht richtlinienkonform behandelt.

Diese Richtlinie ist zusammen mit den in Abschnitt 4.5 genannten untergeordneten Richtlinien, der Anwendbarkeitserklärung (Statement of Applicability), dem Risikoregister und dem Register der rechtlichen und regulatorischen Anforderungen zu lesen.

„Unternehmen“ bezeichnet die Exact Flow Prosta Spółka Akcyjna.

„Plattform“ bezeichnet das ExactFlow Software-as-a-Service-System, das Auftragsverwaltung, Customer-Relationship-Management und Lagerverwaltung für Geschäftskunden umfasst.

„Marktplatz“ bezeichnet den ExactFlow Marketplace, auf dem gewerbliche und private Verkäufer Waren an Käufer anbieten.

„Informationswert“ (Information Asset) bezeichnet alle Daten, Systeme, Anwendungen, Geräte oder Dokumente, die für das Unternehmen von Wert sind und dementsprechend Schutz benötigen.

„Informationssicherheits-Managementsystem“ bezeichnet das System aus Richtlinien, Risikobeurteilungen, Kontrollen und kontinuierlicher Verbesserung, mit dem das Unternehmen Informationssicherheitsrisiken verwaltet, etabliert unter Bezugnahme auf ISO/IEC 27001:2022.

„Verantwortlicher“ bezeichnet einen Verantwortlichen im Sinne von Artikel 4 Absatz 7 der DSGVO.

„Auftragsverarbeiter“ bezeichnet einen Auftragsverarbeiter im Sinne von Artikel 4 Absatz 8 der DSGVO.

„Dritter“ bezeichnet jede natürliche oder juristische Person außer einem Mitarbeiter, Auftragnehmer oder temporären Mitarbeiter des Unternehmens, die im Zusammenhang mit der Plattform oder dem Marktplatz auf Unternehmens- oder Kundeninformationen zugreift, diese speichert oder verarbeitet.

„Hosting-Anbieter“ bezeichnet einen Dritten, der Cloud-Infrastruktur bereitstellt, auf der das Unternehmen Produktionssysteme betreibt.

„Zahlungspartner“ bezeichnet einen Dritten, der Zahlungstransaktionen im Namen des Unternehmens verarbeitet.

„Lieferpartner“ bezeichnet einen Dritten, der Liefer- oder Logistikdienstleistungen im Zusammenhang mit der Erfüllung von über die Plattform oder den Marktplatz aufgegebenen Bestellungen erbringt.

„Marktplatz-Kanal“ bezeichnet einen externen Vertriebs- oder Marktplatzkanal, mit dem der Marktplatz integriert ist.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr.

„Oberste Leitung“ bezeichnet die Person oder Gruppe, die das Unternehmen auf höchster Ebene leitet und steuert.

Version 1.0 — Juli 2026