Durch das Zusammenspiel von ISMS und IKS nutzen Unternehmen Synergien, verbessern Sicherheit und Qualität und können den operativen Gewinn steigern.
GoBD: die Pflicht zur Sorgfalt bei der elektronischen Dokumentation
Der Name hinter der Abkürzung bedeutet „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“. Die GoBD sind Vorgaben aus einer Verwaltungsanweisung des Bundesministerium der Finanzen für die Dokumentationsprozesse in Unternehmen. Streng genommen handelt es sich nicht um ein Gesetz im engeren Sinne. Aber durch den Charakter einer Verwaltungvorschrift sind alle Unternehmensbereiche betroffen, in denen betriebliche Abläufe und Buchführungs-, Aufzeichnungs- und Aufbewahrungspflichten bestehen.
Entsprechend erhält ein Unternehmen die Auflage diverse Sorgfaltspflichten bei der Verarbeitung, Vorhaltung und Bereitstellung der Informationen zu beachten. Dazu gehören Nachvollziehbarkeit und -prüfbarkeit, Vollständigkeit, Richtigkeit, Zeitgerechtigkeit, Ordentlichkeit und Unveränderlichkeit. Diese Anforderungen sind auf die Verfahren anzuwenden, die durch die IT abgebildet werden. Gleichwohl müssen sämtliche Vorgaben über ein Internes Kontrollsystem (IKS) umgesetzt werden. Zusätzlich ist eine Verfahrensdokumentation als Nachweis eines ordnungsgemäßen Systembetriebs vorgeschrieben. Infolgedessen bedarf es zur Erfüllung der GoBD eines Datensicherheitskonzepts mit weitreichenden Maßnahmen zur Sicherung der Informationen vor Verlust.
Deutsche Gesetze mit konkretem Bezug zur IT
Folgende Gesetzestexte sollten bei der IT-Compliance in Deutschland immer berücksichtigt werden, da mit ihnen das IT-Umfeld konkret geregelt sein soll.
Telemediengesetz (TMG)
Das TMG regelt die rechtlichen Rahmenbedingungen für die Ausgestaltung des Angebots sogenannter Telemedien in Deutschland. Mit Telemedien lassen sich fast alle Angebote im Internet zusammenfassen, welche elektronische Informations- und Kommunikationsdienste darstellen. . Dies umfasst Access-, Plattform- oder auch . Zum einen legt es die Verantwortung der Provider für die Informationen fest, die sie von und über ihre Nutzer erhalten. Zum anderen werden Vorgaben gemacht, welche Informationen die Nutzer darüber erhalten sollen. Die großen medienwirksamen Diskussionen der letzten Jahre (freies W-LAN, Impressumspflicht auf Webseiten, Datenschutz in Social Media oder Cookies) bezogen sich vor allem auf die Regelungen dieses Gesetzes. Insbesondere zu Themen der IT-Sicherheit sollte § 13 Abs. 7 TMG betrachtet werden.
Telekommunikationsgesetz (TKG)
Während das TMG die Ausgestaltung von Angeboten im Internet regelt, gibt das TKG Regelungen vor wie und unter welchen Voraussetzungen das Internet und andere Telekommunikationsleistungen wie die Telefonie, bereitgestellt werden dürfen. Das TKG ist im Bereich des öffentlichen Rechts anzusiedeln, da die Bundesnetzagentur (BNetzA) die Einhaltung Vorgaben des deutschen Netzes überwacht und eingreifen kann. Das TKG legt in welchem Rahmen die BNetzA und die Teilnehmer an der Telekommunikation handeln sollen und dürfen. Dazu gehören Vorgaben zur Sicherung und Ausgestaltung des Fernmeldegeheimnisses sowie des Datenschutzes (Stichwort: Vorratsdatenspeicherung) durch entsprechende technische und organisatorische Maßnahmen.
(Software-)Urheberrecht im UrhG
In Europa werden Regelungen der Software grundsätzlich dem Urheberrecht zugeordnet, da die Software zunächst durch den geschriebenen Code materialisiert wird. Vorgaben, die die Urherber- aber auch die Verwertungsrechte meist in Form von Lizenzen, regeln, ergeben sich einerseits aus den allgemeinen Regelungen für urheberrechtliche Werke speziell für Software aus den §§ 69a-69g UrhG.
IT-Strafrecht im Strafgesetzbuch (StGB)
Durch die Zunahme von Straftaten im Internet versucht der Gesetzgeber diesem Umstand mit speziellen Strafnormen entgegenzuwirken. Die §§ 202a-202c StGB verbieten, grob gesagt, das unrechtmäßig Erlangen von Informationen aus IT-Systemen. Die §§ 303a und 303b StGB verbieten unrechtmäßige Zerstörung von Computern und Daten. § 263a StGB zum Computerbetrug verbietet Handlungen, bei denen Opfer in betrügerischer Art durch das Manipulieren von Computern und Systeme finanziell geschädigt werden.
Berücksichtigt werden sollten Strafnormen, die zwar für die analoge Welt geschrieben wurden, die aber Regelungen für die digitale Welt beinhalten könnten. So ist etwa nach StGB die Verletzung von Geheimnissen von Berufsgeheimnisträgern (wie Anwälten, Ärztinnen, Therapeuten ) verboten, was insbesondere dann wichtig ist, wenn diese Berufsgeheimnisträger Computersysteme nutzen. Auch Betrug oder Identitätsdiebstahl sind in der digitalen Welt ein Thema und können aufgrund der §§ 269 und 270 StGB geahndet werden.
Verträge: die Anforderungen und Wünsche der Kunden nicht vergessen
Die bisherigen Vorgaben geben wieder, was der Gesetzgeber erarbeitet hat. Im Zusammenspiel mit unseren Kunden stellen wir uns zudem immer die Frage, welche Verantwortung wir damit eingehen und welche wir dem Kunden abnehmen.
Es ist wichtig auf die Vertragsinhalte zu achten, besonders auf die Service Level Agreements (SLA). Sie unterliegen den zivilrechtlichen Regelungen zu Verträgen und sollten gemessen werden.
In einem folgenden Artikel werden wir auf einige regulatorische Vorgaben eingehen, die wir von unseren Kunden geerbt haben.
Fazit: Auf die individuellen Anforderungen achten
Es ist abschließend wichtig zu erwähnen, dass diese Auflistungen nur sehr grob sind. Zum einen gibt es eine Vielzahl an in anderen Gesetzen, die ebenfalls Auswirkungen auf die Gestaltung der IT haben. Zum anderen haben nicht alle Normen der genannten Gesetze wirklich Einfluss auf die IT. Hinzu kommt, dass eine gesetzliche Regelung einem noch nicht die direkte Antwort gibt. Es ist Interpretation gefragt. Hierzu sollte unter Umständen eine Rechtsberatung hinzugezogen werden. Echte IT-Compliance ist eine ständige Aufgabe, die darin besteht, die relevanten Anforderungen zu identifizieren und umzusetzen. Diese Übersicht kann ein erster Anstoß sein.
Unser Video zu Datensicherheit und IT-Security
