Natuvion betreibt ein ISMS nach ISO 27001 für alle Prozesse, Systeme und Standorte. Sicherheitsziele (Vertraulichkeit, Integrität, Verfügbarkeit) werden risikobasiert abgeleitet und in regelmäßig überprüften Policies festgehalten. Die Geschäftsführung bewertet die Wirksamkeit laufend.

Natuvion identifiziert, bewertet und behandelt Informationssicherheitsrisiken in einem strukturierten Prozess, der mindestens jährlich sowie anlassbezogen durchlaufen wird. Risiken sind verantwortlichen Personen zugeordnet, Behandlungsmaßnahmen werden bis zur Umsetzung nachverfolgt.

Natuvion steuert Zugriffe auf Systeme und Informationen über ein rollenbasiertes Berechtigungskonzept nach dem Prinzip minimaler Rechte. Zugriffe werden über den gesamten Beschäftigungszeitraum hinweg kontrolliert vergeben, angepasst und entzogen sowie regelmäßig überprüft. Für Authentisierung und privilegierte Zugriffe gelten erhöhte Schutzanforderungen.

Natuvion bewertet technische Risiken im Rahmen der jährlichen Risikoanalyse sowie anlassbezogen. Schwachstellen werden identifiziert, nach Kritikalität priorisiert und in angemessener Zeit behoben. Änderungen an Systemen erfolgen in einem kontrollierten Prozess mit Prüfung und Freigabe.

Sicherheitsrelevante Ereignisse werden überwacht und je nach Kritikalität bearbeitet. Vorfälle werden nachbetrachtet, um Verbesserungen abzuleiten, Kunden werden gemäß rechtlichen und vertraglichen Pflichten informiert.

Natuvion führt regelmäßig Business-Impact-Analysen durch und definiert darauf basierend Wiederanlaufpläne und Notfallprozesse. Für relevante Systeme sind Backups eingerichtet. Die Wirksamkeit der Maßnahmen wird durch regelmäßige Notfallübungen und technische Tests überprüft.

Informationssicherheit ist Bestandteil des Arbeitsvertrags und wird im Onboarding vermittelt. Mitarbeitende nehmen regelmäßig an Awareness-Schulungen und Phishing-Simulationen teil und melden Auffälligkeiten den Verantwortlichen.

Datenschutzanforderungen werden bei neuen Prozessen und Systemen frühzeitig berücksichtigt und durch technische und organisatorische Maßnahmen umgesetzt. Mitarbeitende werden regelmäßig sensibilisiert. Dienstleister werden vor der Beauftragung geprüft und vertraglich verpflichtet. Wo Natuvion Daten im Auftrag verarbeitet, geschieht dies auf Grundlage entsprechender Vereinbarungen.

Natuvion verfügt über ein dediziertes Legal-Team, das relevante gesetzliche Anforderungen (u. a. DSGVO, NIS2) identifiziert, bewertet, dokumentiert und an zuständige Stellen kommuniziert.

Natuvion bewertet Lieferanten und Dienstleister im Rahmen des Lieferantenmanagements vor der Beauftragung hinsichtlich Informationssicherheit und Datenschutz. Die Anforderungen werden vertraglich vereinbart und die Zusammenarbeit wird regelmäßig überprüft.