{"id":4051,"date":"2018-08-21T09:07:26","date_gmt":"2018-08-21T08:07:26","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=4051"},"modified":"2018-08-21T09:07:26","modified_gmt":"2018-08-21T08:07:26","slug":"it-sicherheitsrecht-datenschutzrechtliche-it-sicherheitsvorgaben","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2018\/08\/21\/it-sicherheitsrecht-datenschutzrechtliche-it-sicherheitsvorgaben\/","title":{"rendered":"IT-Sicherheitsrecht: Datenschutzrechtliche IT-Sicherheitsvorgaben"},"content":{"rendered":"

Pflichten und Haftung im Unternehmen (mit DSGVO & NIS-RL-UmsetzungsG). Der Praxisleitfaden liefert praxisorientierte Hinweise zur Einhaltung der anwendbaren IT-Sicherheitspflichten und zu den Haftungsrisiken bei Sicherheitsdefiziten. Hier im Blog werden einige zentrale Ausz\u00fcge ver\u00f6ffentlicht.<\/em><\/p>\n

Voigt, <\/em>IT-Sicherheitsrecht, 2018, 287 Seiten, 79,80 Euro<\/p>\n

Die Anforderungen an IT-Sicherheitsstandards<\/span> in Bezug auf den Umgang mit personenbezogenen Daten sind besonders hoch<\/span>. Das Datenschutzrecht gibt dabei nicht nur konkrete Schutzma\u00dfnahmen f\u00fcr die Datenverarbeitung vor, sondern sieht gegen\u00fcber Aufsichtsbeh\u00f6rden und betroffenen Personen insbesondere auch Meldepflichten f\u00fcr den Fall von Datenschutzverletzungen vor (hierzu Voigt<\/em>, IT-Sicherheitsrecht, 2018, Rz. 332 ff.).<\/p>\n

Um die Sicherheit personenbezogener Daten zu gew\u00e4hrleisten, m\u00fcssen Unternehmen technische und organisatorische Schutzma\u00dfnahmen<\/span> bei der Datenverarbeitung einsetzen. Der gesetzliche Pflichtenumfang folgt dabei einem risikobasierten Ansatz<\/span>:<\/p>\n

Je mehr Risiken die Verarbeitung f\u00fcr die betroffenen Personen und ihre Daten mit sich bringt, desto umfangreichere Schutzma\u00dfnahmen m\u00fcssen zum Einsatz kommen.<\/p>\n

Der Pflichtenumfang<\/span> f\u00fcr Unternehmen ist somit einzelfallabh\u00e4ngig<\/span>, was zu erheblicher Rechtsunsicherheit f\u00fchrt. Es f\u00e4llt schwer, ein generelles Programm an datenschutzrechtlichen IT-Sicherheitspflichten abzulesen, so dass die Umsetzung der Vorgaben der DSGVO Unternehmen vor einige Herausforderungen stellt.<\/p>\n

1. Technische und organisatorische Ma\u00dfnahmen<\/strong><\/p>\n

Verantwortliche und Auftragsverarbeiter sind zur Anwendung technischer und organisatorischer Ma\u00dfnahmen (TOM)\u00a0zum Schutz personenbezogener Daten verpflichtet, die dem Risiko der durchgef\u00fchrten Verarbeitungst\u00e4tigkeiten entsprechen, Art.\u00a024 Abs.\u00a01, 28 Abs.\u00a01, 32 DSGVO. Unternehmen obliegt es daher auch, den Einsatz entsprechender Ma\u00dfnahmen durch alle an der Verarbeitung beteiligten Mitarbeiter sicherzustellen, Art.\u00a032 Abs.\u00a04 DSGVO. Die Ma\u00dfnahmen dienen vorrangig der Datensicherheit<\/span>, also dem umfassenden Schutz der zur Verarbeitung eingesetzten IT und Systeme (Mantz<\/em> in Sydow, DSGVO, 2017, Art.\u00a032 Rz.\u00a01).<\/p>\n

a) Ma\u00dfgebliche Gesichtspunkte:<\/strong><\/p>\n

Welche TOM im konkreten Fall angemessen sind, muss das Unternehmen im Wege einer umfassenden objektiven Risikoabw\u00e4gung<\/span> ermitteln (Voigt\/von dem Bussche<\/em>, DSGVO, 2018, Teil\u00a03.3.3 m.w.N.). Das Gesetz nennt dar\u00fcber hinaus in Art.\u00a032 Abs.\u00a01 DSGVO weitere Gesichtspunkte zur Ermittlung angemessener Schutzma\u00dfnahmen:<\/p>\n