Source: https://www.compliance-net.de/content/risikomanagement-leicht-gemacht-teil-1
Timestamp: 2020-08-14 08:43:41+00:00

Document:
compliance-net | Risikomanagement "leicht gemacht"? (Teil 1/2)
StartseiteRisikomanagement "leicht gemacht"? (Teil 1/2)
Der begriff Risikomanagement wird im Zusammenhang mit vielen unterschiedlichen Anwendungsbereichen, mal mehr und mal weniger Sinnvoll, verwendet. Die geläufigsten Anwendungsbereiche sind hiervon Umwelt, Projekte, Versicherungs- und Kreditwirtschaft, IT/TK Betrieb, Softwareentwicklung, Pharmazie, Energiegewinnung sowie Bahn-, Luft- und Seefahrt.
Risikomanagement kann als ein systematisches Verfahren zur Erfassung und Bewer­tung von Risiken, unter Ermittlung von möglichen Handlungen und Reaktionen in Bezug auf Vermeidung (Handlungen) und Minderung (Reaktionen) von Schadens­potentialen, in Bezug auf ein bestimmtes Vorhaben, verstanden werden.
- Definition von Vorhaben und, damit verbunden, Zielsetzungen
- Definition von high value items und Erfolgsfaktoren der Vorhaben
- Identifikation von Risiken in Bezug auf die high value items / Erfolgsfaktoren
- Bewertung der ermittelten Risiken
- Strategie zur Entgegnung festlegen
- Festlegung von Handlungen und Reaktionen
- Festlegung von Messgrößen (KPI) und Monitoringverfahren (Früherkennung)
- Reporting und Dokumentation definieren und etablieren
- PDCA-Cycle einführen
- Risikomanagementsystem etablieren
- Reifegradmodell entwickeln
Abbildung 1: Projektierungshilfe (Quelle: Autor)
Die im Nachfolgenden benannten Hilfsmittel sind in ihrer Aufstellung mit Sicherheit nicht als vollständig zu betrachten. Die Wege zur Informationsgewinnung (legale und weniger legale) stellen bereits rein summarisch mehr dar als hier abbildbar wäre, was sich durch individuelle Ausprägungen noch exponential steigern ließe. Dennoch sollte diese kurze, aber prägnante Aufstellung einen Hinweis auf Hilfsmittel zur „Risikogewinnung“ vermitteln können:
- Nutzung von Risikokatalogen
- Szenario-Techniken
- Post-Mortem-Analyse (PMA)
- Befragung von Experten
- AHP-Methode
- Medien (Internet/Tageszeitungen/Fernsehen/…)
- Einsatz des gesunden Menschenverstandes
Das Bewerten und Messen von Risiken
Um Risiken priorisieren zu können, ist es sinnvoll, diese zu bewerten. Dabei stellen sich immer die Fragen „Wie wahrscheinlich ist der Eintritt?“ und „Welche Auswirkung ist damit verbunden?“. Hierzu können die RIA (Risk Impact Analysis) und BIA (Business Impact Analysis) genutzt werden. Ferner ist die „Value at Risk“-Methode eine sehr geeignete.
Grundsätzlich sollte jedoch bei der Bewertung und Messung von Risken darauf geachtet werden, dass nicht nur der materielle Wert Berücksichtigung findet, sondern über den Tellerrand hinaus auch der Wert des analysierten Sachverhaltes im Verbund mit weiteren Sachverhalten. Soll heißen, dass z.B. ein Server mit einem materiellen Wert von rd. 2.000,- Euro ein geringes Risiko darstellt, jedoch die über diesen abgewickelten Transaktionen oder gespeicherten Daten einen Wert von mehreren 100 Millionen Euro haben können.
Strategien zur Risikosteuerung
Die jeweils passende Strategie der Risikosteuerung richtet sich grundsätzlich nach dem zu erreichenden Ziel – unter Beachtung der jeweiligen Umweltparameter.
Jedes Vorhaben ist grundsätzlich mit Risiken behaftet. Risiken vermeiden kann man nur, indem man Vorhaben unterlässt. Es wurden aber Methoden entwickelt, welche die Vermeidung von Risiken ermöglichen, zum Beispiel die „Planabsicherung (PAS)“ nach GFMe. Hierbei werden Maßnahmen im Vorfeld erörtert, welche bestimmte Risiken vermeiden oder ausschließen. Beim Autofahren zählen hierzu z. B. Bremsassistenten (die ohne menschliches Eingreifen agieren), Abstandswarngeräte, Spurassistenten.
Die Minderung hat nicht wie die Vermeidung zum Ziel, Risiken zu vermeiden, sondern vielmehr Risiken auf ein akzeptables Maß zu reduzieren. Beim Autofahren sind dies z. B. Sicherheitsgurt, Airbag, Crash-Sensoren, Sollbruchstellen, sichere Fahrgastzelle.
Die Begrenzung kann in zwei Subkategorien unterteilt werden, zum einen durch eine Streuung und zum anderen durch eine Limitierung. Banken und Versicherungen bedienen sich dieser Strategie: Streuung durch die Bewirtschaftung verschiedener Portfolios und Limitierung durch Investitionsbegrenzungen in der Höhe (Obergrenze) der zu investierenden Summe.
Verlagerung (Überwälzung)
Die Überwälzung von Risken (teilweise, vollständig) wird klassisch durch entsprechende Formulierungen in Verträgen als auch die Nutzung von Versicherungsdienstleistungen erzielt. Hierbei findet keine Risikobeseitigung, sondern eine Übertragung der Risiken auf Dritte, in einem vereinbarten Umfang, statt.
Die vorgenannten Vorgehensweisen heben Risiken nie vollumfänglich auf, sodass bei jedem Vorhaben ein sogenanntes Restrisiko bestehen bleibt. Dieses Restrisiko wird, so ein bestimmtes Vorhaben zur Umsetzung kommt, akzeptiert. Hierzu sollte ein entsprechendes Risikodeckungspotential vorhanden sein, um gegebenenfalls eintretende Schäden aus eigener Kraft zu regulieren. Grundsätzlich sollte die Akzeptanz von Risiken schriftlich fest­gehalten und nur als „letzter Ausweg“ gewählt werden. Dies ist selbstver­ständlich immer unter einem Kosten-Nutzen-Aspekt zu betrachten.
Die nachfolgende Grafik zeigt die Einordnung der zuvor beschriebenen Vorgehensweisen in Bezug auf Eintrittswahrscheinlichkeit / Schadenpotential.
Abbildung 2: Phasenzuordnung der Risikominderung (Quelle: Autor)
... wird forgesetzt in Risikomanagement "leicht gemacht"? Teil 2/2
Immer mehr Unternehmen wollen auch ihren Gästen den Zugang zum Internet ermöglichen. Häufig wird dabei auf ein öffentliches WLAN Netzwerk oder Gastzugänge zurückgegriffen.Generell besteht ein Interessenkonflikt in Bezug auf die öffentliche Nutzung von WLAN. Einerseits gibt es ein großes öffentliches Interesse an verbreitetem Internetzugang, das sich auch in der im Grundgesetz verankerten Meinungs- und Informationsfreiheit gemäß Art. 5 GG wiederspiegelt. Andererseits können durch die Nutzung eines solches Netzes Urheberrechts- und Persönlichkeitsrechtsverstöße nach Abs. 14 GG und Art. 2 Abs. 1 GG begangen werden. Auch Marken- oder Namensrechtsverletzungen sind denkbar.[1]Doch welche Auswirkungen hat die Bereitstellung eines solchen Netzwerks für den Betreiber?Begeht eine Person in einem öffentlichen WLAN beispielsweise eine Urheberrechtsverletzung durch das Hoch- oder Herunterladen von geschützten Inhalten, so besteht ein Problem darin, dass diese Rechtsverletzung durch die Nutzung dieses öffentlichen WLANs ermöglicht wurde. Die Person, die diese Rechtsverletzung herbeigeführt hat, lässt sich jedoch oftmals nicht feststellen, da keine Identifizierung bei der Anmeldung an ein öffentliches WLAN notwendig ist [2]. Störerhaftung: Aktuelle Lage auf Basis von BGH UrteilenAktuell greift an dieser Stelle die sogenannte Störerhaftung. Diese ist sowohl im Verwaltungsrecht als auch im Zivilrecht (z. B. § 1004 BGB) anerkannt und findet insbesondere im Internetrecht Anwendung [3]. Im Jahre 2004 wurde diese vom BGH wie folgt definiert:„Störer ist derjenige, der ohne Täter oder Teilnehmer zu sein, in irgendeiner Weise willentlich und adäquat zur Verletzung eines geschützten Rechtsgutes beiträgt und kann daher als Störer für eine Schutzrechtsverletzung auf Unterlassung in Anspruch genommen werden“ [4].Das heißt im konkreten Fall der Bereitstellung eines öffentlichen WLAN Netzes, dass unter Umständen derjenige haften muss, der das Netzwerk bereitstellt, mit dessen Hilfe eine Rechtsverletzung verübt wurde. Dies gilt auch, wenn z.B. eine Urheberrechtsverletzung in seinem Unwissen begangen wurde.Die Definition wird jedoch vom BGH dahingehend eingeschränkt, dass eine Haftung nur dann vorliegt, wenn Prüfpflichten verletzt werden:„Weil die Störerhaftung aber nicht über Gebühr auf Dritte erstreckt werden darf, die nicht selbst die rechtswidrige Beeinträchtigung vorgenommen haben, setzt die Haftung des Störers die Verletzung von Prüfungspflichten voraus. Deren Umfang bestimmt sich danach, ob und inwieweit dem als Störer in Anspruch Genommenen nach den Umständen eine Prüfung zuzumuten ist“ [5].Der Inhaber des Anschlusses muss also Prüfpflichten einhalten, um im Falle einer Urheberrechtsverletzung oder ähnlichen Rechtsverstößen durch Dritte mithilfe des von ihm bereitgestellten WLAN nicht haften zu müssen. Prüfpflichten und MaßnahmenDoch welche Prüfpflichten hat der Betreiber eines öffentliches WLAN oder Gast-WLAN?Eine wegweisende Entscheidung gab es am Landesgericht Frankfurt am Main im Jahr 2010 im Fall eines Hotelbetreibers, der seinen Gästen drahtlosen Internetzugriff angeboten hat. Gemäß einer Abmahnung an den Hotelbetreiber wurde über dieses drahtlose Netzwerk eine Urheberrechtsverletzung verübt. Der Hotelbetreiber hat dies als Kläger vor das Landesgericht gebracht.Das Landesgericht Frankfurt a.M. entschied folgendermaßen:„Auch eine Haftung des Klägers als Störer kommt vorliegend nicht in Betracht:Hinsichtlich seiner Gäste, denen er den Zugang zu dem verschlüsselten Funknetzwerk vermittelt hat, ergibt sich dies daraus, dass er diese zuvor auf die Einhaltung der gesetzlichen Vorgaben hingewiesen hat. Eine weitergehende Prüfungspflicht vor einer ersten Rechtsverletzung besteht für den Kläger -unabhängig von der Frage, ob sein Geschäftsmodell durch die Auferlegung präventiver Prüfungspflichten nicht ohnehin gefährdet wäre (vgl. BGHZ 158, 236, 251 f.) - auf Grund der Verschlüsselung nicht (BGH, GRUR 2010, 633, 635; OLG Frankfurt am Main, GRUR-RR 2008, 279 ff.).Hinsichtlich Dritter ergibt sich dies ebenfalls auf Grund der unstreitig erfolgten marktüblichen Verschlüsselung des Funk-Netzwerkes, mit dem dieses ausreichend (BGH, GRUR 2010, 633, 635) gegen Urheberrechtsverletzungen durch Dritte gesichert war [6]".Demzufolge wurde eine Störerhaftung dadurch ausgeschlossen, dass der Anbieter des drahtlosen Netzwerkes dieses verschlüsselte und die Kunden auf die Einhaltung der gesetzlichen Vorschriften explizit hinwies.Im Folgenden sind die genannten Maßnahmen sowie Beispiele weiterer denkbarer Maßnahmen erläutert:Maßnahme Erläuterung VerschlüsselungDie Verschlüsselung eines drahtlosen Netzwerkes sichert den Zugriffsschutz mittels eines Netzwerkschlüssels. Zur Verfügung stehen unterschiedliche Verschlüsselungsarten, wobei WPA2 allgemein als bester Schutz empfohlen wird.Erklärung zur NutzungBei Zugriff auf das drahtlose Netzwerk sollte ein Nutzer darauf hingewiesen werden, dass er sich verpflichtet keine Rechtsverletzungen wie Verstöße gegen das Urheberrecht zu begehen.Registrierung mit Namen/ Eindeutige Zuordnung zu VerursacherUm eine Zuordnung einer möglichen Rechtsverletzung auf einen konkreten Nutzer zurückführen zu können, besteht die Möglichkeit vor Nutzung des Netzwerkes eine Registrierung vorauszusetzen. Diese kann in Form einer Webauthentifizierung erfolgen, bei der ein Benutzer seine Zugangsdaten wie IP-Adresse, Benutzername, Passwort etc. über eine Webschnittstelle eingibt. Diese sollte über SSL/TSL verschlüsselt sein. Im Anschluss wird der Zugang freigegeben. [7]Sperrung von InhaltenNatürlich ist es nie möglich, alle Inhalte zu sperren, mit denen z.B. Urheberrechtsverletzungen begangen werden können, jedoch ist es denkbar, diesen über die Sperrung bestimmter Webseiten entgegen zu wirken. Geplante Änderungen – Abschaffung der StörerhaftungGemäß Koalitionsvertrag haben sich CDU, CSU und SPD darauf verständigt, Voraussetzungen für mehr WLAN-Angebote in deutschen Städten zu schaffen. Im am 11.03.2015 bekanntgegebenen Referentenentwurf „Entwurf eines Zweiten Gesetzes zur Änderung des Telemediengesetzes (Zweites Telemedienänderungsgesetz – 2. TMGÄndG)“ soll die bis dato unklare Rechtslage bezüglich der Störerhaftung von WLAN Anbietern ändern. Um eine tatsächliche Abschaffung der Störerhaftung handelt sich es im vorliegenden Entwurf jedoch nicht.Im Wesentlichen werden dem Anbieter eines drahtlosen Netzwerkes Sorgfaltpflichten auferlegt, durch deren Einhaltung eine Haftung als Störer entfällt.Die geplante Änderung an §8 TMG fordert im neuen Abs. 4 „zumutbare Maßnahmen“ zu ergreifen, um Rechtsverletzungen durch Dritte zu verhindern. Dabei werden zwei Maßnahmen, die bereits im zuvor genannten Urteil des OLG Frankfurt zu Tragen kamen, genannt:1. VerschlüsselungsverfahrenIm Entwurf wird gefordert, dass der Dienstanbieter „angemessene Sicherungsmaßnahmen durch anerkannte Verschlüsselungsverfahren oder vergleichbare Maßnahmen gegen den unberechtigten Zugriff auf das drahtlose lokale Funknetz durch außenstehende Dritte“ [8] ergreift.2. Erklärung des NutzersZudem soll der Zugang zum Internet nur dem Nutzer gewährt werden, der erklärt hat, im Rahmen seiner Nutzung keine Rechtsverletzung zu begehen.Zusätzlich soll der §10 TMG nach Zusammenführung der bisherigen Absätze 1 und 2 durch einen neuen Absatz 2 ergänzt werden, nach dessen Vorgaben eine mögliche Rechtsverletzung als dem Dienstanbieter bekannt vorausgesetzt wird. Dies ist der Fall, wenn ein besonders gefahrengeneigter Dienst vorliegt. Gemäß Entwurf liegt ein gefahrengeneigter Dienst dann vor, wenn:„die Speicherung oder Verwendung der weit überwiegenden Zahl der gespeicherten Informationen rechtswidrig erfolgt“„der Diensteanbieter durch eigene Maßnahmen gezielt die Gefahr einer rechtsverletzenden Nutzung fördert“wenn der Dienstanbieter mit der „Nichtverfolgbarkeit bei Rechtsverstößen” wirbt oder„keine Möglichkeit besteht, rechtswidrige Inhalte durch den Berechtigten entfernen zu lassen” [9]Im Juni 2015 wurde dieser Entwurf erneut überarbeitet, für Anbieter eines öffentlichen WLANs hat diese gegenüber der vorigen Version jedoch keine wesentlichen Änderungen hervor gebracht [10].Die aktuellste Version liegt seit dem 09.09.2015 vor.Die durch die geplante Änderung an §8 TMG in Abs. 4 genannten „zumutbaren Maßnahmen“ umfassen weiterhin angemessene Sicherungsmaßnahmen vor unberechtigtem Zugriff sowie eine Erklärung des Benutzers.[11] Die Notwendigkeit von Verschlüsselung wurde jedoch aus dem Gesetzesentwurf gestrichen und findet sich nun lediglich in den Begründung wieder. Alternativ zur Verschlüsselung wird eine freiwillige Registrierung des Benutzers genannt [12].Auch in diesem Entwurf wird explizit darauf hingewiesen, dass nach §8 Abs. 3 TMG der Betreiber eines drahtlosen lokalen Netzwerks nicht zugleich von seiner Haftung als sogenannter Störer befreit wird [13].Der Entwurf eines Zweiten Gesetzes zur Änderung des Telemediengesetzes wird derzeit regelmäßig Änderungen unterzogen. Die Lage der Störerhaftung für Anbieter öffentlichen WLANs sowie der Umfang der gegebenenfalls notwendigen Sicherungsmaßnahmen sind derzeit weiterhin unklar. Vorlage des LG München beim EuGHZusätzlich zu den geplanten Änderungen der deutschen Rechtsprechung im TMG hat das LG München am 18.9.2014 eine Vorlage an den Europäischen Gerichtshof (EuGH) gerichtet. Darin werden insgesamt neun Fragen zum Anwendungsbereich und Umfang der Haftungsprivilegien gemäß §§ 8 – 10 TMG, bzw. Art. 12 ff. E-Commerce-RL (RL 2000/31/EG) in Bezug auf den Betrieb von offenen WLAN-Netzen an den EuGH adressiert.Die Fragen umfassen u.a.:ob auch unentgeldlich angebotene Dienste von Haftungsprivilegien (§ 8 TMG bzw. Art. 12 Abs. 1 Hs. 1 E-Commerce-RL) umfasst sindob diese Haftungsprivilegien direkt oder analog auch auf Unterlassungsansprüche anzuwenden sind undwelche Prüfungs- und Überwachungspflichten ein Betreiber eines offenen WLAN-Netzes konkret hat [14].Eine Entscheidung des EuGH zu dieser Vorlage des LG München könnte die nationalen Bemühungen zur Klarstellung Verantwortlichkeit des Betreibers eines öffentlichen WLAN hinfällig werden lassen. Es ist jedoch zu erwarten, dass Anbieter trotz Privilegierung nicht gänzlich vor Unterlassungsansprüchen geschützt sein werden. Meldepflicht nach § 6 TKG für öffentliche TelekommunikationsnetzeIn Bezug auf öffentliche WLAN-Netze ist zudem §6 des Telekommunikationsgesetzes (TKG) zu beachten. §6 TKG Abs. 1 besagt Folgendes:„Wer gewerblich öffentliche Telekommunikationsnetze betreibt oder gewerblich öffentlich zugängliche Telekommunikationsdienste erbringt, muss die Aufnahme, Änderung und Beendigung seiner Tätigkeit sowie Änderungen seiner Firma bei der Bundesnetzagentur unverzüglich melden. Die Erklärung bedarf der Schriftform.“Gemäß §6 TKG Abs. 2 muss diese Meldung anhand eines von der Bundesnetzagentur vorgegebenen und veröffentlichten Formular erfolgen und insbesondere Handelsregisternummer, Anschrift des Unternehmen, eine Kurzbeschreibung des Netzes sowie einen Termin zur voraussichtlichen Inbetriebnahme enthalten.Am 04.03.2015 veröffentlichte die Bundesnetzagentur die Mitteilung Nr. 149/2015 zur Meldepflicht nach §6 TKG. An dieser Stelle ist relevant, dass laut Bundesnetzagentur Betreiber von Callshops, Internetcafés, Hotels/Restaurants mit WLAN-Angebot, Hotspots und vergleichbaren Angeboten, die ihren Kunden die Nutzung eines bestehenden Telekommunikationsanschlusses ermöglichen, nicht „Betreiber“ sondern lediglich „Mitwirkende“ an einem Telekommunikationsdienst sind und somit von der Meldepflicht nicht betroffen sind [15]. Auswirkungen der VorratsdatenspeicherungAm 16.10.2015 wurde der heftig kritisierte Gesetzesentwurf zur sogenannten Vorratsdatenspeicherung (Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten) im Bundestag verabschiedet [16].Dieser Gesetzesentwurf sieht die Speicherung von Verkehrsdaten durch den Anbieter eines öffentlichen Telekommunikationsdienstes vor. Erbringer öffentlich zugänglicher Internetdienste sollen zur Speicherung der folgenden Informationen für vier Wochen verpflichtet werden:Zugewiesene IP-Adresse eines TeilnehmersKennung des Anschlusses, über den die Nutzung erfolgt sowie eine eindeutige BenutzerkennungZeitpunkt von Beginn und Ende der InternetnutzungEine Einschränkung wird mit Referenz auf die zuvor genannte Mitteilung Nr. 149/2015 zur Meldepflicht nach §6 TKG, jedoch für Anbieter, die Ihren Kunden nur eine kurzzeitige Nutzung des Telekommunikationsanschlusses ermöglichen, vorgenommen. So sind laut Bundesnetzagentur Betreiber von Hotels, Restaurants oder Cafés, die Ihren Kunden den Zugang zur Verfügung stehen von dieser Verpflichtung ausgenommen. Fazit: Kein öffentliches WLAN ohne SchutzmaßnahmenZusammenfassend ist es also weder nach aktueller als auch dem bisherigen Stand der möglichen zukünftigen Rechtslage ratsam, ein öffentliches WLAN zu betreiben, ohne sich Gedanken darüber zu machen, wie das Netzwerk gegen den Missbrauch für Rechtsverletzungen geschützt werden kann. Es sollten mindestens Schutzmaßnahmen gegen den unbefugten Zugriff auf das Netzwerk und eine Bestätigung des Nutzers, in der sich dieser verpflichtet, keine Rechtsverletzungen zu begehen, in Betracht gezogen werden. Quellen:[1] http://anwaltverein.de/de/newsroom/sn-13-14?file=files/anwaltverein.de/downloads/newsroom/stellungnahmen/2014/DAV-SN13-14.pdf[2] http://anwaltverein.de/de/newsroom/sn-13-14?file=files/anwaltverein.de/downloads/newsroom/stellungnahmen/2014/DAV-SN13-14.pdf[3] http://www.kanzlei-heidicker.de/rechtsgebiete/filesharing/97-ratgeber-2-wann-hafte-ich-ueberhaupt-die-stoererhaftung-des-bgh[4] http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&sid=6001c95def897c850d5a171abbf1b3a8&nr=30359&pos=0&anz=1, S.18[5] http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&sid=6001c95def897c850d5a171abbf1b3a8&nr=30359&pos=0&anz=1 S.19[6] http://medien-internet-und-recht.de/pdf/VT-MIR-2011-Dok-011.pdf S.2[7] https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m04/m04176.html[8] http://www.bmwi.de/BMWi/Redaktion/PDF/S-T/telemedienaenderungsgesetz,property=pdf,bereich=bmwi2012,sprache=de,rwb=true.pdf[9] http://www.bmwi.de/BMWi/Redaktion/PDF/S-T/telemedienaenderungsgesetz,property=pdf,bereich=bmwi2012,sprache=de,rwb=true.pdf[10] http://www.offenenetze.de/2015/06/22/der-geaenderte-wlan-gesetzesentwurf-zur-aenderung-des-tmg-keine-verbesserungen-fuer-oeffentliche-wlans/[11] http://www.bmwi.de/BMWi/Redaktion/PDF/S-T/telemedienaenderungsgesetz-aenderung,property=pdf,bereich=bmwi2012,sprache=de,rwb=true.pdf, S.6[12] http://www.bmwi.de/BMWi/Redaktion/PDF/S-T/telemedienaenderungsgesetz-aenderung,property=pdf,bereich=bmwi2012,sprache=de,rwb=true.pdf, S.13[13] http://www.bmwi.de/BMWi/Redaktion/PDF/S-T/telemedienaenderungsgesetz-aenderung,property=pdf,bereich=bmwi2012,sprache=de,rwb=true.pdf, S.12[14] http://www.offenenetze.de/2014/10/08/lg-muenchen-i-legt-frage-der-haftung-bei-offenen-wlans-dem-eugh-vor-volltext/[15] https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Anbieterpflichten/Meldepflicht/Amtsblattmitteilung_Nr149_2015.pdf?__blob=publicationFile&v=1[16] http://www.spiegel.de/netzwelt/netzpolitik/bundestag-beschliesst-umstrittene-vorratsdatenspeicherung-a-1058086.html
Elemente eines Governance-SystemsDie Anforderungen an ein Governance-System in Versicherungsunternehmen sind ein wesentlicher Bestandteil von Solvency II. Konkretisiert werden diese Anforderungen in den Artikeln 41 bis 50 der EU-Richtlinie 2009/138/EG vom 25.11.2009, welche auch in die nationale Gesetzgebung einfließen werden. Angelehnt an die Richtlinie sollte ein wirksames Governance-System folgende Elemente umfassen: Beurteilung und Weiterentwicklung des Governance-Systems im eigenen UnternehmenDie Elemente sind bei den meisten Versicherungsunternehmen bereits vorhanden, wahrscheinlich aber noch nicht in dem Umfang, um den zukünftigen Anforderungen gerecht zu werden. Z.B. existiert eine Compliance-Abteilung, die jedoch nicht die Anforderungen einer Compliance-Funktion erfüllt, oder Kontrollen liegen unternehmensweit vor, jedoch fehlt der Kontrollrahmen, der ein Kontrollsystem erst wirksam macht. Eine Überprüfung der Wirksamkeit des Governance-Systems, um darauf aufbauend die notwendigen Maßnahmen zu ergreifen, damit geltende und zukünftige Anforderungen erfüllt sind, ist zeitaufwendig und stellt für viele Unternehmen eine Herausforderung dar. In einem ersten Schritt sollte im Rahmen einer Bestandsaufnahme festgestellt werden, welche Elemente vorhanden und wie diese ausgeprägt sind. Im Anschluss sollten die Ergebnisse mit den Anforderungen abgeglichen und entsprechende Maßnahmen abgeleitet werden.Erfahrungsgemäß ist der entscheidende Schritt jedoch, die Prozesse und Kommunikationswege zu implementieren, die mehrere Elemente verknüpfen. Die Führungs- und Überwachungssysteme im Rahmen des Governance-Konzeptes sind keine unabhängigen Bausteine. Schnittstellen und Abhängigkeiten der ElementeDie Wirksamkeit des Governance-Systems hängt zu einem großen Teil davon ab, inwieweit Schnittstellen und Abhängigkeiten der einzelnen Elemente berücksichtigt und darauf aufbauend Kommunikationswege geschaffen werden. Eine isolierte Betrachtung der Elemente verringert die Effektivität des Governance-Systems. Zudem besteht das Risiko, dass Aufgaben bei der Umsetzung der Anforderungen doppelt ausgeführt werden und zu unterschiedlichen Informationsständen im Unternehmen führen. Das zentrale Element wird dabei das Risikomanagementsystem sein.Drei Beispiele zur Verdeutlichung (die Beispiele sind vereinfacht dargestellt und beschreiben lediglich einen fokussierten Teil der Aufgaben in einem entsprechenden Projekt):1) Abhängigkeit zwischen Risikomanagement und IKSEin Unternehmen erkennt Verbesserungspotentiale bei den Themen "Risikomanagement" und "IKS" und entschließt sich, in Projektarbeit diese Themen gemäß den aufsichtsrechtlichen Anforderungen weiterzuentwickeln. Ein effektiver Ansatz wäre, das Kontrollsystem auf Basis der Risikoerfassung aufzusetzen und das nicht getrennt voneinander durchzuführen. Es wäre nicht ratsam, im gleichen Fachbereich einerseits Risiken zu erfassen (Projekt Risikomanagement) und andererseits zu einem anderen Zeitpunkt Kontrollziele zu benennen (IKS-Projekt), die nicht mit den wesentlichen Risiken zusammenhängen bzw. denen nicht zugeordnet werden können. Die Basis sollte hier die gleiche sein. Das vereinfacht den Prozess für die Verantwortlichen, die Projekt- und laufenden Kosten sind geringer und das Berichtswesen für IKS und Risikomanagement basiert auf einheitlichen Informationen.2) Schnittstelle Notfallplanung und RisikomanagementEin Unternehmen verbessert seine Notfallplanung und orientiert sich dabei u.a.an anerkannten Standards (bspw. BS 25999 oder zukünftig ISO 22301). Im Rahmen dieses Vorhabens werden auch Risiken identifiziert und Maßnahmen auf Basis möglicher Notfälle, Krisen und Katastrophen festgelegt und getestet. Die Festlegung dieser Risiken und Maßnahmen der Notfallplanung sollten zumindest im Risikokatalog des Unternehmens zu finden sein und mit den Risikomeldungen der Fachbereiche übereinstimmen. Hierfür müssen geeignete Kommunikationswege zwischen Risikomanagement und den Verantwortlichen der Notfallplanung implementiert werden.3) Outsourcing, Revision, Risikomanagement und IKS (Ausschnitt des Prozesses)Die Auslagerung von Prozessen entbindet das Unternehmen nicht von der Verantwortung, die Ordnungsmäßigkeit der Prozesse zu überprüfen. Daher sollten die Vertragswerke immer dem auslagernden Unternehmen ein Prüfungsrecht für die eigene Revision oder Externe einräumen. Die Ergebnisse dieser Prüfungen, welche primär die Gestaltung und Wirksamkeit der Kontrollen beurteilen, sollten dem Risikomanagement kommuniziert werden, damit Risiken durch Auslagerung nicht aus der Betrachtung fallen. In der Praxis werden die Prüfungsergebnisse nicht immer in das Risikomanagement integriert. Meist verbleibt es bei einer Abstimmung zwischen Revision und geprüftem Bereich, der die aus der Prüfung identifizierten Risiken und Kontrollen (evtl. auch ergänzenden Kontrollen im eigenen Unternehmen) dem Risikomanagement nicht meldet. Die Folgen sind z.B., dass eventuelle wesentliche (operationelle) Risiken nicht in die Bewertung einfließen, die Maßnahmen und Kontrollen nicht zentral erfasst oder wichtige Themen nicht berücksichtigt werden. MaRisk VA vs. zukünftige AnforderungenDie obigen Ausführungen verdeutlichen, dass Information und Kommunikation einen wesentlichen Bestandteil der zu beachtenden Aspekte in einem Governance-System darstellen.Die MaRisk VA als „Abbild“ der Säule 2 beinhaltete bereits Punkte wie Outsourcing oder Notfallplanung, der Schwerpunkt lag aber bei der Ausgestaltung der eigentlichen Risikomanagementbestandteile. Die neue nationale Gesetzgebung, welche auf der EU-Richtlinie 2009/138/EG vom 25.11.2009 aufbaut, und die Durchführungsbestimmungen der europäischen Kommission werden auch die Anforderungen an die anderen Elemente des Governance-Systems konkretisieren.Das Thema "Governance-System" in Versicherungsunternehmen ist ein sehr umfangreiches Gebiet, über welches wir Sie mit der Veröffentlichung weiterer Artikel in Zukunft näher informieren möchten. Sollten Sie Interesse an bestimmten Themen haben oder einen reinen unverbindlichen Gesprächstermin wünschen, lassen Sie uns dies bitte wissen. Sie können hierfür das Kontaktformular nutzen oder dem Autor eine E-Mail schreiben: ioannis.karamitros@compliance-net.com.
KRITIS – Ist mein Unternehmen betroffen und was heißt das?Früher konnte jeder Betreiber selber festlegen, ob er eine kritische Dienstleistung erbringt oder nicht. Mit der KRITIS-Verordnung (PDF) und dem IT-Sicherheitsgesetz wird versucht, eine einheitliche Basis zu schaffen, umeinen Überblick über die aktuelle Lage von kritischen Infrastrukturen zu bekommen,schnell auf Probleme reagieren zu können,die Cyber-Sicherheitsstrategie des Bundes zu unterstützen unddie NIS-Richtlinie zu erfüllen.Was eine kritische Infrastruktur ist, wird vom BMI (Bundesministerium des Inneren) festgelegt und über Kriterien mit dem KRITIS-V-Gesetz geregelt. Die IT in diesem Fall wird über das IT-Sicherheitsgesetz unter der Schirmherrschaft des BSI abgedeckt.Ist mein Unternehmen betroffen?Das ist oft nicht leicht zu beantworten. So ergeben sich zum Beispiel Fragen wie:Welcher Sektor und welche Branche ist relevant?SektorenBranchenEnergieElektrizitätMineralölGasGesundheitmedizinische VersorgungArzneimittel und ImpfstoffeLaboreStaat und VerwaltungRegierung und VerwaltungParlamentJustizeinrichtungenNotfall-/Rettungswesen einschließlich KatastrophenschutzErnährungErnährungswirtschaftLebensmittelhandelTransport und VerkehrLuftfahrtSeeschifffahrtBinnenschifffahrtSchienenverkehrStraßenverkehrLogistikFinanz- und VersicherungswesenBankenBörsenVersicherungenFinanzdienstleisterInformationstechnik und TelekommunikationTelekommunikationInformationstechnikMedien und KulturRundfunk (Fernsehen und Radio)gedruckte und elektronische PresseKulturgutsymbolträchtige BauwerkeWasseröffentliche Wasserversorgungöffentliche Abwasserbeseitigung Werden die definierten Schwellwerte (z.B. 500.000 Einwohner, die beliefert werden) überschritten?Wird eine kritische Infrastruktur als Dienstleister beliefert?…Wenn man betroffen ist – was heißt das jetzt konkret?Sollte man betroffen oder unschlüssig sein, muss man sich beim BSI als Betreiber einer kritischen Infrastruktur registrieren. Dort wird nochmals überprüft, ob das zutrifft. Falls dem so ist, unterliegt man der Meldepflicht, sprich es müssen alle schwerwiegenden sicherheitsrelevanten Vorfälle (z.B. Systemausfälle), die die kritische Infrastruktur betreffen, umgehend über ein spezielles Meldeformular gemeldet werden. Die Meldepflicht gilt seit dem Inkrafttreten der BSI-KRITIS-Verordnung am 3. Mai 2016. Die Schwachstelle ist dann nach dem Stand der Technik zu beheben.Ebenfalls zu implementieren ist eine Kontrollstelle, die als Ansprechpartner für das BSI fungieren soll (24/7).Die Nachweispflicht besteht alle zwei Jahre, d.h. alle zwei Jahre muss eine Überprüfung durch eine geeignete Prüfungsstelle (§8) stattfinden, erstmalig im Mai 2018 (zwei Jahre nach Inkrafttreten des Gesetzes). Das Ergebnis muss gemeldet werden und bei Auffälligkeiten kann das BSI einen Bericht verlangen.Die Prüfung kann auf Basis mehrerer Standards bzw. Leitfäden (z.B. B3S, OH B3S, …) erfolgen, die je nach Sektor oder Branche unterschiedlich ausgeprägt sein können.Kurzübersicht BSI:Quelle: BSIHinführung des BSI: https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/KRITIS/IT-SiG/Was_tun/was_tun_node.html Wo finde ich weitere Informationen?Sehen Sie immer mal wieder auf unserer Seite vorbei. Bzgl. KRITIS ist noch alles im Aufbau und wir versuchen, immer die aktuellen Gegebenheiten zu veröffentlichen. Für weitere Rückfragen stehen wir Ihnen gerne zur Verfügung.Unser Experte: Dr. Klaus-Dieter Krause, Klaus.D.Krause@compliance-net.com

References: Art. 5
 Art. 2
 BGH 
 § 1004
 BGH 
 BGH 
 §8
 §10
 §8
 §8
 Art. 12
 EuGH 
 Art. 12
 EuGH 
 § 6
 §6
 §6
 §6
 §6
 §6