Source: https://www.davits.eu/it-sicherheit/
Timestamp: 2019-03-18 14:04:44
Document Index: 98674147

Matched Legal Cases: ['§ 8', '§ 8', '§ 14', '§ 6', '§ 14', '§ 48', '§ 96']

IT-Sicherheit - Datenschutz Verein IT-Sicherheit
Start Technische Datensicherung IT-Sicherheit
Der folgende Artikel zum deutschen IT-SicherheitsG bildet eine Zusammenfassung der auf LemonPi.at erschienenen sechsteiligen Artikelserie zum Thema.
Thematisch wird im Artikel nicht nur die deutsche Gesetzgebung besprochen, sondern findet jeweils auch ein Vergleich beziehungsweise der Versuch einer Umlegung auf die österreichische Gesetzgebung statt. Abschließend wird zusätzlich die Frage erörtert, wie ein Entwurf des – vergleichbaren – geplanten Cybersicherheitsgesetz in Österreich aussehen könnte.
Bereits aus den genannten einzelnen Gesetzen ist gut ersichtlich, dass das IT-Sicherheitsgesetz dem Bereich des öffentlichen Rechtes zuzuordnen ist und hier den Schutz von Versorgungseinrichtungen im Auge hat.
Tatsächlich findet sich etwa im ersten Paragraphen der Änderungen des BSI-Gesetzes die Regelung, was unter den kritischen Infrastrukturen zu verstehen ist.
Es handelt sich dabei etwa um Einrichtungen, die der Versorgung der Bevölkerung mit Energie und Wasser dienen, für die Kommunikation notwendig sind oder auch eine hohe Bedeutung für das funktionierende Gemeinwesen haben.
Definition kritischer Infrastrukturen nach dem deutschen IT-SicherheitsG
Eine derartige Vorgehensweise ist auch dem österreichischen Recht nicht fremd und werden öfter Gesetze erst durch Verordnungen näher ausgeführt und bestimmt. Während dies auf den ersten Blick nachteilig erscheinen mag, hat eine nähere Regelung durch Verordnung den Vorteil, dass eine Verordnung leichter als ein Gesetz geändert werden kann, wodurch eine Verordnung nicht nur flexibler ist, sondern auch besser den aktuellen Umständen angepasst werden kann. Am Beispiel der kritischen Infrastrukturen etwa, wäre es dem Gesetzgeber möglich, diese anhand von Unternehmensgrößen oder Branchen zu definieren. Ergibt sich dann, dass eine solche Einteilung nicht ausreicht, um einen funktionierenden Schutz zu gewährleisten, kann die Verordnung mit anderem Inhalt neu erlassen werden.
Das Unterfallen eines Unternehmens unter den Begriff kritische Infrastruktur soll im Sinne dieser Verordnung nach einer dreistufigen Prüfung ermittelt werden:
Ermittlung von Sektoren, die als kritisch zu betrachten sind. Hierunter fallen etwa Energie, Wasser, Telekommunikation oder Ernährung
Festlegung der Anlagen bzw. Strukturen, die für die Erbringung der Leistungen der genannten Sektoren notwendig sind
Pflichten der Betreiber kritischer Infrastrukturen nach dem IT-SicherheitsG
Wie oben ausgeführt, handelt es sich bei dem IT-SicherheitsG nicht um einen einheitlichen Text, sondern um ein Bündel an Normen, die in bereits vorhandene Gesetze eingefügt wurden, allen voran in das Ausschreiben (BSIG). Aus dem BSIG ergibt sich primär, dass das Bundesamt für Sicherheit in der Informationstechnik jene Stelle ist, bei welcher sämtliche
Informationen zusammenlaufen. Nach § 8 BSIG erarbeitet das Bundesamt überdies Mindeststandards, welche nach § 8a BSIG von den Anbietern kritischer Infrastrukturen aufgrund einer zu erlassenden Verordnung über diese Standards nachzuweisen und einzuhalten sind. Erfolgt keine Erfüllung und/oder Nachweis dieser Standards, sind in § 14 BSIG Bußgelder zwischen € 10.000,- und € 50.000,- vorgesehen.
Derart liegt nach dem BSIG die Hauptpflicht der Betreiber kritischer Infrastrukturen darin, die vom Bundesamt erstellten und per Verordnung erlassenen Vorschriften einzuhalten. Die Informationen, welche Standards sinnvoll sind, werden dabei vom Bundesamt direkt ermittelt, wobei die Anbieter kritischer Infrastrukturen zusätzlich branchenspezifische Vorgehensweisen vorschlagen können.
Neben dem BSIG hat das IT-SicherheitsG überdies noch Änderungen in weiteren Gesetzen vorgenommen, etwa dem deutschen Atomgesetz oder dem deutschen Energiewirtschaftsgesetz. Diese Anpassungen bestehen in zusätzlichen Pflichten für die jeweiligen Branchen. Konkret geht es für die jeweiligen Branchen darum, ihre Systeme zur Abwehr von Beeinträchtigungen auf dem neuesten Stand zu halten, die Mindest-Standards des Bundesamtes einzuhalten sowie Cyber-Angriffe umgehend an das Bundesamt zu melden.
Der Aspekt des Datenschutzes im IT-SicherheitsG
Immer mehr Firmen, gleich ob potentielle kritische Infrastrukturen oder nicht, werden Opfer von Cyber-Angriffen. Dies könnte dem User an sich gleichgültig sein, wären da nicht die persönlichen Daten, von denen man mittlerweile wohl nicht mehr im Einzelnen weiß, welches Unternehmen welche und auch wie viele der eigenen Daten gerade gespeichert hat.
Anzumerken ist noch, dass das Folgende unter der Annahme dargestellt wird, dass das deutsche IT-SicherheitsG exakt gleich in Österreich umgesetzt werden würde.
Grundsätzlich steht das österreichische – wie auch das deutsche – Datenschutzrecht auf dem Standpunkt, dass jede Verarbeitung von Daten solange unzulässig ist, als nicht ein gesetzlicher Rechtfertigungsgrund gegeben ist. Das DSG bietet hierfür in den §§ 6 ff DSG Richtlinien, etwa, dass die Verwendung zu einem eindeutigen und rechtmäßigen Zweck (zB Verwendung von Kundendaten in der Buchhaltung) erfolgen muss. Das bloße Sammeln von Daten ohne konkreten Zweck und Einschränkung ist demgegenüber zumindest bedenklich und in der Regel nicht zulässig. Eingeschränkt wird dies unter anderem dadurch, dass Daten dann verarbeitet werden dürfen, wenn sie in anonymisierter Form zur Verfügung stehen oder sogar von der jeweiligen Person selbst öffentlich gemacht wurden.
Dier §§ 14 f DSG regeln in der Folge die Anforderungen an datenverarbeitende Unternehmen hinsichtlich der Datensicherheit. Zusammengefasst wird gesetzlich gefordert, dass ein Schutz vor unerlaubten Zugriffen, Löschung und/oder Veränderung auf dem aktuellen Stand der Technik besteht. Dieser Schutz kann durch Maßnahmen wie der Beschränkung und Protokollierung von Zugriffen und ähnlichen Vorkehrungen erreicht werden, weiters unterliegt das datenanwendende Unternehmen und dessen Mitarbeiter der Geheimhaltungspflicht.
Erwähnenswert im Zusammenhang mit dem IT-SicherheitsG ist nach § 48a DSG, der zumindest öffentlichen Stellen im Katastrophenfall einen gewissen Freiraum bei der Verarbeitung von an sich geschützten Daten ermöglich. Doch selbst diese sind nach der Erreichung des unmittelbaren Zwecks der Verarbeitung (zB zum Katastrophenschutz) umgehend wieder zu löschen.
Auch im Falle eines österreichischen IT-SicherheitsG wäre die Situation wohl eine Ähnliche. Das DSG bietet bereits – seiner Ausrichtung nach – einen umfassenden Schutz der persönlichen Daten und Vorschriften zur deren Sicherung sowie allfällige Strafen, wenn die Vorgaben nicht eingehalten werden. Ein IT-SicherheitsG würde hier in dem Bereich der Datensicherheit jedenfalls flankierend wirken, die Hauptausrichtung wäre aber klar eine Andere.
Der Entwurf eines Österreichischen IT-SicherheitsG
Wie weiter oben angesprochen, soll bereits mit Herbst 2016 ein Entwurf für ein Österreichisches IT-Sicherheitsgesetz präsentiert werden. Zumindest wenn man nach den derzeitigen Informationen – etwa diesem Artikel vom 13.06.2016 auf Futurezone – geht, erinnert der Entwurf sehr an das deutsche IT-SicherheitsG. Ebenfalls geht es darum, dass Cyberattacken auf Unternehmen meldepflichtig sein sollen, dies unter der entsprechenden Wahrung des Datenschutzes. Auch Strafen sind angedacht, wenn die Meldepflichten nicht erfüllt werden. Wie in Deutschland scheint aber auch der österreichische Gesetzgeber vor dem Definitionsproblem der kritischen Infrastrukturen zu stehen, kann hier aber jedenfalls von der Situation in Deutschland und den dortigen Lösungen profitieren.
Unbekannt ist derzeit, ob das Cybersicherheitsgesetz, also ein österreichisches IT-SicherheitsG, ganz nach dem deutschen Vorbild als ‚Bündel von Gesetzen‘ oder aber als separates (einzelnes) Gesetz geplant ist. Allerdings ist die Bündelvariante, welche in Deutschland gewählt wurde, durchaus von Vorteil zumal die entsprechenden Vorgaben und Pflichten direkt in jene Gesetze eingefügt werden, welche die potentiellen kritischen Infrastrukturen direkt betreffen.
So wäre es etwa denkbar, eine Definition in die Gewerbeordnung (GewO) einzufügen, was sicherlich der Transparenz dienlich wäre.
Jedenfalls sinnvoll ist es hinsichtlich den Standards für die kritischen Infrastrukturen den Weg des deutschen Gesetzgebers zu gehen. In Deutschland wurde im IT-SicherheitsG hinsichtlich der Standards auf eine separate Verordnung verwiesen, welche (leider) erst zu einem späteren Zeitpunkt erging. Eine – auch in Österreich gesetzliche Möglichkeit – würde ebenfalls ein gewisses Mehr an Flexibilität hinsichtlich der kritischen Infrastrukturen bieten, jedoch sollte sie zeitnah zum Cybersicherheitsgesetz ergehen.
Wo sich das österreichische Cybersicherheitsgesetz deutlich von dem deutschen IT-SicherheitsG abheben könnte, ist der Aspekt des Daten- und Konsumentenschutzes. Wie etwa heise.de meldete, gab es bereits sieben meldepflichtige Attacken in Deutschland, auf welche das IT-SicherheitsG Anwendung findet. Ob und wie hier Daten Privater ‚erbeutet‘ wurden ist fraglich und ist dies definitiv ein Problem, welches in Zukunft noch zunehmen wird.
Derart ist zu hoffen, dass das Cybersicherheitsgesetz in Österreich nicht nur für Betreiber kritischer Infrastrukturen Standards und Meldepflichten vorsieht, sondern darüber hinaus auch Informationspflichten anordnet. Bereits jetzt bestehen in Österreich, etwa nach dem FAGG oder dem E-CommerceG sowie dem TelekommunikationsG (Cookie-Hinweis nach § 96 Abs 3 TKG) Verpflichtungen dem User/Konsumenten bestimmte Informationen klar zur Verfügung zu stellen. Dies sollte dadurch erweitert werden, dass den Usern zumindest bekannt zu machen ist, ob es sich bei dem jeweiligen Unternehmen um einen Betreiber kritischer Infrastrukturen handelt und welche Meldepflichten vorgegeben sind.
Auch eine Information oder Hinweis auf die einzuhaltenden Standards könnte wesentlich der Transparenz dienen.
Zusammengefasst ist daher zu sagen, dass – wenn sich der Gesetzgeber in Österreich entscheidet, bei einem CybersicherheitsG das deutsche IT-SicherheitsG zum Vorbild zu nehmen – dies sicher ein richtiger Weg ist. Dennoch sollte auch der User-Schutz in den Entwurf Eingang finden, damit User in Zukunft darüber informiert werden, ob sie ihre Daten einer kritischen Infrastruktur anvertrauen oder nicht.
Autor: Mag. Michael Lanzinger
Vorheriger ArtikelCyberkriminalität
Nächster ArtikelVom Dasein unter der Info-Käseglocke