Source: https://webtexterin.com/it-sicherheit-und-die-dsgvo/
Timestamp: 2020-04-08 02:09:39
Document Index: 39946537

Matched Legal Cases: ['Art. 64', 'Art. 32', 'Art. 24', 'Art. 5', 'Art. 32', 'Art. 32']

IT-Sicherheit und die DSGVO - Webtexterin Ruby Ruth Lochbronner & E-Mail Marketingtexte & Strategien
IT-Sicherheit und die DSGVO
Das Thema IT-Sicherheit ist in der Datenschutz-Grundverordnung ein wichtiger Bestandteil zur Sicherstellung der Schutzziele. Dafür muss der Verantwortliche geeignete technische und organisatorische Massnahmen implementieren. Dieser Artikel gibt einen Überblick über die technischen Anforderungen.
Eine Übersicht der Anforderungen an die Datensicherheit liefert das Bundesdatenschutz-neu in Art. 64 BDSG-neu. Darin sind die Massnahmen aufgelistet, die zum Schutz von personenbezogenen Daten umgesetzt werden müssen. Diese Vorgaben sind für den Verantwortlichen der IT-Sicherheit eine gute Handlungshilfe, da diese deckungsgleich mit den Anforderungen an die Sicherheit der Datenverarbeitung der DSGVO sind.
Warum benötigt es technische und organisatorische Massnahmen unter der Datenschutz-Grundverordnung?
Technische und organisatorische Massnahmen sind die wesentlichen Kontrollmechanismen bei der praktischen Umsetzung des Datenschutzes. Die Datenschutz-Grundverordnung fordert geeignete technische und organisatorische Massnahmen zu implementieren, um die Risiken für die Rechte und Freiheiten natürlicher Personen ausreichend zu mindern. Damit soll sichergestellt werden, dass die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten. In den Artikeln 5, 12, 24, 25 und 32 DSGVO finden sich grundlegende Anforderungen an die Verarbeitung personenbezogener Daten.
Wie unterscheidet sich die Datensicherheit und die IT-Sicherheit?
Der Unterschied von Datensicherheit und IT Sicherheit liegt darin, dass die IT-Sicherheit vom Schadensrisiko für das Unternehmen oder die Gesundheitspraxis ausgeht, wohingegen die Datensicherheit (innerhalb des Datenschutzes) den Schutz für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten berücksichtigt.
Sicherheit der Verarbeitung, Art. 32 Abs. 2 lit a-d DSGVO:
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Massnahmen schliessen gegebenenfalls unter anderem Folgendes ein:
d) ein Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen zur Gewährleistung der Sicherheit der Verarbeitung.“
Wichtig ist, den Risiko-basierter Ansatz unter Berücksichtigung von Art, Umfang, den Umständen und den Zwecken der Verarbeitung bei der Umsetzung der technischen und organisatorischen Massnahmen zu befolgen. Das bedeutet, dass alle Verfahren und Systeme, die personenbezogene Daten verarbeiten, einer Risikoanalyse zu unterziehen.
Was bedeutet „Risiko basierter Ansatz“?
Konkretisiert bedeutet der Risiko-basierte Ansatz[footnote]Datenschutz-Compliance nach der DSGVO: Handlungshilfe für Verantwortliche inklusive Prüffragen für Aufsichtsbehörden Taschenbuch – 20. März 2017 von Thomas Kranig (Autor), Andreas Sachs (Autor), Markus Gierschmann (Autor)[/footnote] folgende Anforderungen zu befolgen:
Risikobeurteilung anhand objektiver Bewertung
Systematische Identifikation von Risiken, die mit einer Verarbeitung verbunden sind
Analyse der Risiken hinsichtlich Eintrittswahrscheinlichkeit und Schwere der Folgen
Qualitative Risikoklassifizierung (Feststellung, ob Risiko oder hohes Risiko)
Risikobehandlung durch geeignete (und wirksame) Massnahmen
Der Stand der Technik bedeutet dem aktuellen Technologieniveau entsprechend. Somit kann der Stand der Technik als die im Waren- und Dienstleistungsverkehr verfügbaren Verfahren, Einrichtungen oder Betriebsweisen, deren Anwendung die Erreichung der jeweiligen gesetzlichen Schutzziele am wirkungsvollsten gewährleisten kann, bezeichnet werden.[footnote]Quelle: IT-Sicherheitsgesetz und Datenschutz-Grundverordnung: Handreichung zum „Stand der Technik“, revidierte und erweiterte Ausgabe 2018, Bartels/Backer, Die Berücksichtigung des Stands der Technik in der DSGVO, DuD 4-2018, 214; Bartels/Backer/ Schramm, der „Stand der Technik“ im IT-Sicherheitsrecht, Tagungsband zum 15. Deutschen IT-Sicherheitskongress 2017, Bundesamt für Sicherheit in der Informationstechnik, 503.[/footnote].
Welchen Bezug haben der Stand der Technik und die geforderten Schutzziele
Das Spannungsfeld zwischen Informationssicherheit und Datenschutz schafft die DSGVO selbst, da sie direkten Bezug zu den aus der ISO 27001 bekannten Schutzkontrollen nimmt und wie oben schon erwähnt auch die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität erwähnt.
Für Geschäftsverantwortliche bedeutet dies, umgesetzte Massnahmen auf Ihre Wirksamkeit überprüfen zu lassen, geeignete Massnahmen für eine laufende Überwachung und Kontrolle einzuführen wie z.B. Honeypots, Protokollierungen und File Management Monitorring um nur einige zu nennen.
Ein sehr wichtiger Bestandteil zur Gewährleistung des Datenschutzes sind die technischen und organisatorischen Massnahmen. Diese sollen die Schutzziele Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme bei der Verarbeitung von personenbezogenen Daten sicherstellen Art. 24 DSGVO gewährleisten.
Technische und organisatorische Massnahmen, dienen dazu, die personenbezogenen Daten vor Verlust oder Zugriff durch unbefugte Personen zu schützen, und sind zu dokumentieren und zu beschreiben.
Bezogen auf die Datenschutzgrundsätze aus Art. 5 DSGVO, müssen Unternehmen zur Sicherstellung einer datenschutzkonformen und sicheren Datenverarbeitung geeignete technische und organisatorische Massnahmen einsetzen, um die Datensicherheit bei der Verarbeitung und Nutzung personenbezogener Daten zu gewährleisten. Konkrete wird die Anwendung folgender Sicherheitstechnologien angegeben, Art. 32 Abs. 1 DSGVO:
Sicherstellung der „klassischen“ Schutzziele der Informationssicherheit
Verfahren zur Wirksamkeitsprüfung
Welchen Schutzbedarf haben zu übertragende und transportierende Informationen und personenbezogene Daten?
Welche Schutzmassnahmen ein Betrieb umsetzt, um seine Informationen bzw. personenbezogene Daten zu schützen, hängt vom Schutzbedarf der verarbeitenden Informationen ab. Mittels einer Schutzbedarfsfeststellung oder einer Risikobewertung werden die Daten klassifiziert und
Die Sicherstellung der „klassischen“ Schutzziele der Informationssicherheit
Für die Sicherheit der Verarbeitung personenbezogener Daten gelten die klassischen Schutzziele wie sie aus der Informationssicherheit bekannt sind, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Die Anforderungen an die Datensicherheit gehen jedoch über die Sicherstellung der reinen IT-Sicherheit hinaus, weil sowohl die Verarbeitung digitaler wie auch analoger Daten (in Papierform) sichergestellt werden müssen.
Verfahren zur regelmässigen Überprüfung, Bewertung, Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen
Nach Art. 32 Abs. 1 lit. d DSGVO muss jeder Verantwortliche, welche der Datenschutz-Grundverordnung verpflichtet ist, ein geregeltes Verfahren aufstellen, durch Überprüfen, bewerten und evaluieren, ob die eingesetzten technischen und organisatorischen Datenschutzmassnahmen wirksam sind. Dies muss zyklisch durchgeführt werden.
Diese Überprüfung, Bewertung und Evaluation ist deshalb erforderlich,
weil Applikationen, Software und Programme kontinuierlich aktualisiert werden und dies zu Systemaktualisierungen und Softwareupdates führt
aufgrund der technologischen Weiterentwicklung von Systemen → Hardware und Software
aufgrund der steigenden Systemleistungen muss die Verschlüsselung laufend angepasst werden, um einer Entschlüsselung vorzubeugen
wenn in einem Verfahren, dass im Verzeichnis der Verarbeitungstätigkeiten aufgeführt ist, system-technische Änderungen vorgenommen werden
wenn funktionale Erweiterungen eines bestehenden Verfahrens implementiert werden
Laufende Überprüfung der Wirksamkeit der technischen und organisatorischen Massnahmen
In regelmässigen Zeitabständen muss die Gesundheitspraxis oder das Unternehmen als Verantwortlicher zur Gewährleistung der Sicherheit der Datenverarbeitung nebst der Umsetzung auch die Wirksamkeit der eingesetzten technischen und organisatorischen Massnahmen durch einen Prozess regelmässig zu überprüfen und wo notwendig anzupassen und zu verbessern. Dieser Prozess ist als dauerhafte Aufgabe zu verstehen analog dem PDCA Zyklus.
Kategorie: Informationsrisiko- & Sicherheit Stichworte: Datenschutz, DSGVO, Schutzziele, Wirksamkeits der technischen und organisatorischen Massnahmen