Source: https://www.rehm-verlag.de/verwaltung/aktuelle-beitraege-zum-e-government/informationssicherheit-in-den-behoerden-was-sich-durch-die-eu-datenschutz-grundverordnung-aendert/
Timestamp: 2018-07-22 03:10:26
Document Index: 219345391

Matched Legal Cases: ['Art. 11', 'Art. 11', 'Art. 32', 'Art. 32', 'Art. 19', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 11', 'Art. 32', 'Art. 32', 'Art. 7', 'Art. 32', 'Art. 32', 'Art. 11', 'Art. 32', 'Art. 7', 'Art. 32', 'Art. 8']

Informationssicherheit in den Behörden – was sich durch die EU-Datenschutz-Grundverordnung ändert | rehm. Beste Antwort.
Der folgende Beitrag befasst sich mit den Auswirkungen der EU-Datenschutz-Grundverordnung (DSGVO) und des Gesetzes zum weiteren Nachvollzug der Datenschutz-Grundverordnung im Landesrecht vom 18.05.2018 (GVBl. S. 341) auf die Pflichten der bayerischen Behörden zur Gewährleistung von Informationssicherheit.
I. Veränderte gesetzliche Anforderungen an die behördliche Informationssicherheit
Die Gewährleistung von Informationssicherheit in den Behörden ist und bleibt eine Herausforderung. Aufgrund der unverändert bestehenden Gefährdungslage und weil die Sicherheit in der Informationstechnik eine unerlässliche Voraussetzung für gelingendes E-Government ist, enthält das Bayerische E-Government-Gesetz (BayEGovG) auch diesbezügliche Pflichten für die Behörden. Art. 11 Abs. 1 BayEGovG1 verpflichtet die Behörden (u.a. staatliche Behörden, Landratsämter und Kommunen) dazu, die Sicherheit ihrer informationstechnischen im Rahmen der Verhältnismäßigkeit sicherzustellen.
Das Gesetz zum weiteren Nachvollzug der Datenschutz-Grundverordnung im Landesrecht vom 18.5.2018 (GVBl. S. 341) nimmt in diesem Zusammenhang zwei praxisbedeutsame Änderungen vor:
Änderung von Art. 11 Abs. 1 Satz 2 BayEGovG:
Die von den Behörden für die Sicherheit ihrer informationstechnischen Systeme zu treffendenden technischen und organisatorischen Maßnahmen richten sich seit 25.5.2018 nach Art. 32 DSGVO und Art. 32 BayDSG.
Die Frist zum Erstellen der erforderlichen Informationssicherheitskonzepte wurde von 1.1.2019 auf 1.1.2020 verlängert (Art. 19 Abs. 2 Satz 2 Nr. 3 BayEGovG).
II. Maßnahmen nach Art. 32 DSGVO und Art. 32 BayDSG (seit 25.5.2018)
Die für die Sicherheit der behördlichen informationstechnischen Systeme zu treffenden Maßnahmen richten sich seit 25.05.2018 insbesondere nach Art. 32 DSGVO.
unter Berücksichtigung des Stands der Technik,
der unterschiedlichen Eintrittswahrscheinlichkeit und
technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 DSGVO).
Die weitgehend abstrakten Vorgaben aus Art. 32 DSGVO werden durch Art. 32 BayDSG konkretisiert, auf den Art. 11 Abs. 1 Satz 2 BayEGovG Bezug nimmt.
Hiernach sind im Fall einer automatisierten Verarbeitung auf Grundlage einer Risikobewertung Maßnahmen zu ergreifen, die geeignet sind, um
2. die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird (Organisationskontrolle).
3. zu verhindern, dass
a) Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können (Datenträgerkontrolle),
b) personenbezogene Daten unbefugt eingegeben werden sowie gespeicherte personenbezogene Daten unbefugt gelesen, verändert oder gelöscht werden (Speicherkontrolle),
d) bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle),
a) die zur Benutzung eines automatisierten Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können (Zugriffskontrolle),
b) überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),
c) nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem in automatisierte Datenverarbeitungssysteme eingegeben worden sind (Eingabekontrolle),
d) eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellung),
e) alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit),
f) gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können
(Datenintegrität),
g) personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Verantwortlichen verarbeitet werden können (Auftragskontrolle).
III. Wesentliche Änderungen für die Praxis
Die die Schutzziele aus Art. 32 DSGVO konkretisierenden Maßnahmen nach Art. 32 BayDSG entsprechen weitgehend den bis 24.5.2018 geltenden technischen und organisatorischen Maßnahmen nach Art. 7 Abs. 2 BayDSG a.F..
Bereits nach bisheriger Rechtslage mussten die zu treffenden technischen und organisatorischen Maßnahmen angemessen und je nach Art der zu schützenden Daten insbesondere geeignet sein, um
Unbefugten den Zugang zu Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, zu verwehren (Zugangskontrolle),
zu verhindern, dass bei der Übertragung von Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle),
die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen der Informationssicherheit und des Datenschutzes gerecht wird (Organisationskontrolle); hierzu ausführlich: Denkhaus/Geiger, Praxishandbuch zum Bayerischen E-Government-Gesetz, 2017, S. 152 ff.
Ergänzend zu diesen bereits bekannten Maßnahmen („Zehn Gebote der Informations-sicherheit“) müssen nach Art. 32 DSGVO und Art. 32 BayDSG seit 25.5.2018 Maßnahmen ergriffen werden, die geeignet sind, dass
gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).
Die von den Behörden für die Sicherheit ihrer informationstechnischen Systeme im Sinne von Art. 11 Abs. 1 BayEGovG zu treffenden technischen und organisatorischen Maßnahmen ändern sich durch die DSGVO nicht grundlegend, auch wenn hier teilweise andere Begrifflichkeiten und Schutzziele verwendet werden. Die konkretisierenden Maßnahmen nach Art. 32 BayDSG entsprechenden weitgehend den bereits bekannten technischen und organisatorischen Maßnahmen nach Art. 7 BayDSG a.F. (s.o. Abschnitt III.).
Die DSGVO fordert insbesondere ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 Buchst. d DSGVO). Ein bloßes Konzept, das die ergriffenen technischen und organisatorischen Maßnahmen lediglich checklistenartig auflistet und nicht „gelebt“ wird, reicht daher nicht aus.
Im Ergebnis führt die DSGVO damit im Bereich der Informationssicherheit nicht zu einer Revolution, sondern zu einer Evolution der bisherigen rechtlichen Anforderungen an die behördliche Informationssicherheit.
Dr. Wolfgang Denkhaus, Bayerische Staatskanzlei
1 Bis 30.11.2017 waren diese Pflichten in Art. 8 Abs. 1 BayEGovG geregelt.