Rechtliche Vorgaben zur Informationssicherheit und IT-Compliance

Deutsche Unternehmen sind gesetzlich dazu verpflichtet, sich um den Aufbau und die Pflege eines Risikomanagements zu kümmern und in die Umsetzung von Maßnahmen zur IT-Sicherheit zu investieren. Was in Zeiten von Globalisierung und Mobilität großen Nutzen bringt, birgt durch die hohe Abhängigkeit von IT-Systemen auch Gefahren für Unternehmen. Auf diesen Sachverhalt hat der Gesetzgeber reagiert und verschärfte Anforderungen an eine unternehmensweite Informationssicherheit definiert. Dieser Artikel gibt Ihnen einen Überblick über die wichtigsten Gesetze und Vorschriften bezogen auf die IT.

Zusammenspiel von rechtlicher IT-Compliance und IT-Sicherheit

Unternehmen bilden ihre Geschäftsprozesse heutzutage überwiegend digital ab. In dieser digitalen Welt gilt es diverse Vorgaben zu betrachten. Ein wichtiger Baustein und Träger der IT-Compliance ist die IT-Sicherheit. Absolute IT-Sicherheit gibt es zwar nicht, aber mithilfe adäquater Maßnahmen lassen sich die mit dem Einsatz von Informationstechnologie verbundenen Risiken auf ein vertretbares Niveau bringen. Neben freiwilligen Richtlinien und einschlägigen Sicherheitsstandards wie ISO 27001, COBIT (Control Objectives for Information and Related Technology) oder ITIL (Information Technology Infrastructure Library) sorgen Gesetze, Normen und Grundsätze dafür, dass sich Unternehmen ihrer Handlungsweisen und Haftungsverpflichtungen im Bereich Informationssicherheit bewusst sind.

Gesetze zu Datenschutz und Informationssicherheit verfolgen das Ziel, einen verlässlichen Schutz der Unternehmensinformationen in Bezug auf Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität zu schaffen. Die Einhaltung dieser Vorgaben ist zwingende Voraussetzung dafür, dass Unternehmen regelkonform bleiben.

Grundsätzliche Rechtsnormen mit Relevanz für die IT-Compliance im deutschen Regelungsraum

Die folgenden Gesetzestexte enthalten zentrale Regelungen oder haben diese geschaffen. Sie sollten beim Thema „IT-Compliance“ stets berücksichtigt werden.

EU-DSGVO – EU-Datenschutz-Grundverordnung

Durch die EU-Datenschutz-Grundverordnung (EU-DSGVO) steht der Datenschutz in allen EU-Mitgliedsstaaten unter den gleichen Regeln, sodass es keine nationalen Unterschiede mehr gibt. Damit steigen die Anforderungen an die Datenschutz-Compliance und an ein gut funktionierendes Datenschutz-Management-System. Die EU-DSGVO wird ergänzt durch die Regelungen des deutschen Bundesdatenschutzgesetzes (BDSG), welches einige Dinge konkretisiert und das deshalb ebenfalls berücksichtigt werden sollte.

Hilfreiche Details zur EU-DSGVO finden Sie in den folgenden Fachartikeln:

IT-Sicherheitsgesetz: rechtliche Grundlagen für die IT-Sicherheit

Das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) ist ein Artikelgesetz. Das heißt, darin werden bereits bestehende Regelungen geändert und ergänzt. Ziel ist es, den Schutz von Daten und IT-Systemen zu sichern und zu gewährleisten. (Wir haben bereits an anderer Stelle darüber berichtet.)

Speziell der Schutz von Betreibern kritischer Infrastrukturen (KRITIS) aus Bereichen wie Strom- und Wasserversorgung, Finanzen oder Ernährung steht im Vordergrund. Die Betreiber sind dazu verpflichtet, die zur Erbringung ihrer Dienste erforderliche IT angemessen abzusichern und diese mindestens alle zwei Jahre überprüfen zu lassen. Zudem soll die Zusammenarbeit in Sicherheitsvorfällen nach außen verstärkt werden. So gibt es bei Ausfällen oder IT-Sicherheitsvorfällen Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie Informationspflichten gegenüber betroffenen Nutzern.