ICT-Sicherheit und Datenschutz

Die Flughafen Zürich Gruppe arbeitet laufend an der Stärkung der Widerstandsfähigkeit ihrer ICT-Systeme. Sie stellt sicher, dass Daten und Informationen verfügbar, vertraulich sowie integer sind.

Relevanz

Die Flughafen Zürich AG nutzt an ihren verschiedenen Standorten unterschiedliche Systeme für Informatik und Kommunikation (ICT: Information and Communication Technology). In Zürich betreibt die Flughafen Zürich AG umfangreiche ICT-Systeme mit Rechenzentren, die für den Betrieb unabdingbar sind. Der Betrieb der gesamten Infrastruktur funktioniert nur, solange die Datenverarbeitung sichergestellt ist. Dies entspricht auch der Ausgangslage an den drei Standorten mit Mehrheitsbeteiligungen in Brasilien. In Chile hingegen beschränken sich die ICT-Systeme der Tochtergesellschaft und ihrer Standorte im Wesentlichen auf die kaufmännische und personalrelevante Administration des Unternehmens selbst, da insbesondere die flugbetriebsrelevanten Systeme durch die Behörden betrieben werden.

Neben Risiken physischer Art, wie beispielsweise Naturkatastrophen, sind Cyber-Angriffe heute eine grosse Bedrohung für ICT-Systeme. Dies stellt auch die Flughafen Zürich Gruppe vor die Herausforderung, Sicherheitsstrategien laufend weiterzuentwickeln. Die ICT-Systeme sowie Daten und Informationen müssen vor unbefugtem Zugriff geschützt werden und deren Verfügbarkeit, Vertraulichkeit und Integrität müssen jederzeit gewährleistet sein.

Als kritische Infrastruktur ist der Flughafen Zürich in die nationale Strategie zum Schutz kritischer Infrastrukturen eingebunden und damit aufgefordert, Massnahmen zur Erhöhung der Resilienz zu ergreifen. Gleichzeitig stellt das Bundesamt für Zivilluftfahrt (BAZL) im Rahmen des «National Aviation Security Program» (NASP) Anforderungen an die ICT-Sicherheit, die für den Flughafen Zürich verbindlich sind.

Personendaten, die in Zürich z.B. im Rahmen der Passagierabfertigung, der Videoüberwachung, bei Zutritten zu Gebäuden und Sicherheitszonen, beim Fahrzeugparking und bei der Zurverfügungstellung weiterer Dienstleistungen erhoben werden, unterstehen der schweizerischen und/oder europäischen Datenschutzgesetzgebung.

Ansatz

ICT-Sicherheit

Um Verfügbarkeit, Vertraulichkeit und Integrität der ICT-Systeme zu gewährleisten, hat die Flughafen Zürich AG für den Standort Zürich im Jahr 2022 ein Informationssicherheits-Management-System (ISMS) eingerichtet, das nach ISO 27001 zertifiziert ist. Es stellt sicher, dass die ICT-Sicherheit der grundlegenden Infrastruktur gewährleistet ist und sich laufend den sich ändernden Herausforderungen anpasst. Zudem erfüllt der Flughafen Zürich damit auch die Anforderungen des NASP. Im Berichtsjahr wurde das Aufrechterhaltungsaudit erfolgreich bestanden und es wurden Arbeiten gestartet, um den Geltungsbereich des Managementsystems in Richtung der Aviation-Systeme zu erweitern.

Die Weiterentwicklung von Massnahmen zur Erhöhung der ICT-Sicherheit am Standort Zürich erfolgt entlang der im Jahr 2023 überarbeitete Cyber-Security-Strategie. Diese orientiert sich an international anerkannten Regelwerken. Einmal jährlich wird der aktuelle Stand dem «Audit & Finance Committee» des Verwaltungsrats zur Kenntnis gebracht. Im Berichtsjahr hat die Flughafen Zürich AG weiter in die Erhöhung der Widerstandfähigkeit ihrer ICT-Systeme investiert. Das Identity- und Access-Management wurde mitsamt den personellen Ressourcen in die Sektion Cyber-Security integriert. Letztere wurde darüber hinaus mit zusätzlichen Ressourcen ausgestattet, um die «ICT Readiness for Business Continuity» und die «ICT Security Architecture» zu stärken. Zudem werden die Fähigkeiten des «Cyber-Defence Centre», welches die ICT-Systeme fortwährend überwacht, gemeinsam mit einem Partner laufend ausgebaut.

Durch die starke Vernetzung im Rahmen der nationalen Strategie zum Schutz kritischer Infrastrukturen und die enge Orientierung an Branchenstandards soll gewährleistet werden, dass das Unternehmen jederzeit in der Lage ist, Cyber-Angriffe von aussen oder anderweitige Datenpannen frühzeitig zu erkennen und deren Auswirkungen auf ein Minimum zu reduzieren. Die systemkritischen Infrastrukturen werden redundant vorgehalten, um auch Auswirkungen anderer Ereignisse, wie beispielsweise Erdbeben, auf die ICT-Systeme möglichst gering zu halten.

In der Cyber-Security-Strategie ist die Wichtigkeit der Awareness im Rahmen eines eigenen Projektes in einem zentralen Prozess definiert. Denn grundlegender Baustein einer erfolgreichen Abwehr von Cyber-Angriffen ist das Verhalten der Mitarbeitenden. Um das Bewusstsein aller ICT-Anwenderinnen und -Anwender zum rechtzeitigen Erkennen von potenziellen Bedrohungen zu erhöhen, werden regelmässig Informations-Kampagnen und Schulungen durchgeführt.

In Brasilien ist das im Jahr 2021 gestartete Projekt zur Zertifizierung nach ISO 27001 noch nicht abgeschlossen. Es gilt, den Flughafen Natal zu integrieren und weitere Arbeiten abzuschliessen, sodass die Zertifizierung im Jahr 2025 erfolgen kann.

Schutz von Personendaten

Die Rahmenbedingungen zum Umgang mit Personendaten ergeben sich für den Standort Zürich vor allem aus dem schweizerischen Datenschutzgesetz und der europäischen Datenschutzgrundverordnung.

Die Flughafen Zürich AG geht mit den Daten und schützenswerten Informationen ihrer Geschäftskunden und Leistungspartner, Konsumenten und weiterer Anspruchsgruppen sorgfältig um und beachtet die Geheimhaltungspflichten und die Datenschutzgesetze.

Hierzu hat die Flughafen Zürich AG eine Datenschutzberaterin ernannt, deren Aufgabe es ist, die Compliance hinsichtlich des Schutzes von Personendaten sicherzustellen. Die Datenschutzberaterin berät die Linienverantwortlichen zum korrekten Umgang mit Personendaten, sie führt ein Verzeichnis über die Datensammlungen des Unternehmens und gibt Auskunft gegenüber betroffenen Personen, externen Stellen und Behörden. Die Grundsätze im Umgang mit Personen- und Betriebsdaten hat die Flughafen Zürich AG in einer Datenethik festgehalten.

Der Umgang mit Betriebs- und Personendaten an den ausländischen Flughäfen richtet sich nach den dortigen Regularien. An den Flughäfen in Chile fallen bedingt durch die Systemgrenzen keine passagierbezogenen Daten an. Die an den brasilianischen Standorten erhobenen Passagierdaten lassen keine Schlüsse auf einzelne Personen zu.