Die Zukunft der IT-Sicherheit

Größe: px

Ab Seite anzeigen:

Download "Die Zukunft der IT-Sicherheit"

Sylvia Kruse
vor 8 Jahren
Abrufe

1 Die Zukunft der IT-Sicherheit Was wir aus dem IT-SiG und Co. so alles für die Zukunft lernen können! Gerald Spyra, LL.M. Kanzlei Spyra

2 Vorstellung meiner Person Gerald Spyra, LL.M. Rechtsanwalt Hohe Affinität für die IT-Sicherheit Spezialisiert auf die IT-Compliance Insbesondere auf den Informations- / Datenschutz Externer betrieblicher Datenschutzbeauftragter

Spezialisiert auf die IT-Compliance Insbesondere auf den

3 Evgeny Kaspersky sagt What You call the Internet of Things (IoT), I call the Internet of Threats! Was will er uns damit sagen???

4 Der Status Quo (1) In allen (Lebens-) Bereichen kommt vermehrt vernetzte IT zum Einsatz (IoT). Zunehmend werden auch immer mehr geschäftskritische Prozesse mit dieser IT abgebildet. Damit steigt die Abhängigkeit. Laut dem Gesetzentwurf zum IT-SiG sind heute schon mehr als die Hälfte der deutschen Unternehmen vom Internet (komplett) abhängig!

Zunehmend werden auch immer mehr geschäftskritische Prozesse mit dieser IT abgebildet.

5 Der Status Quo (2) Mit Zunahme der (digitalen) Datenverarbeitung wächst gleichzeitig die Masse an Daten und ihre Bedeutung ( Daten als das Gold / Öl des 21. Jahrhunderts ) Durch die ubiquitäre Vernetzung von IT ist der Zugriff auf die IT / die Daten theoretisch von überall auf der Welt möglich! Der zunehmende Einsatz und die Vernetzung von IT bieten erhebliche Vorteile

Jahrhunderts ) Durch die ubiquitäre Vernetzung von IT ist der Zugriff auf die IT / die Daten

6 Die Lichtseite Durch die Verarbeitung von immer mehr Daten (Big Data) lassen sich neue Erkenntnisse gewinnen. Durch den Einsatz von immer mehr (vernetzter) IT lassen sich Ressourcen einsparen bzw. Prozesse optimieren. Durch die ubiquitäre Vernetzung kommt es zu einem stetigen Informationsaustausch, so dass man praktisch in Echtzeit auf kritische Ereignisse reagieren kann! Doch wo Licht ist, ist auch Schatten!

7 Die Schattenseite Je mehr vernetzte IT eingesetzt wird, umso undurchsichtiger (komplexer) wird es! Je mehr vernetzte IT eingesetzt wird und je mehr (wertvolle) Daten hiermit verarbeitet werden, desto größer wird das Interesse unterschiedlichster Akteure, an diese Daten zu gelangen bzw. die Datenverarbeitung zu stören! Je mehr man sich auf IT und die Datenverarbeitung verlässt und je abhängiger man hiervon wird, desto größer kann der Schaden des IT-Ausfalls, Datenverlustes etc. sein!

Interesse unterschiedlichster Akteure, an diese Daten zu gelangen bzw. die Datenverarbeitung zu stören!

8 Der Status Quo bei KRITIS Die Angriffe auf unterschiedliche Infrastrukturen (aus welchen Gründen auch immer) nehmen immer weiter zu! Gerade die Betreiber von kritischen Infrastrukturen (KRITIS) geraten aufgrund ihrer Bedeutung für die Daseinsvorsorge, immer mehr in den Fokus des Angreifer. Zwischen den einzelnen KRITIS-Branchen gibt es erhebliche Unterschiede bei der IT-Sicherheit! Aufgrund der gesteigerten Gefährdungslage und der unterschiedlichen Niveaus muss eine Lösung her

Gerade die Betreiber von kritischen Infrastrukturen (KRITIS) geraten aufgrund ihrer Bedeutung für die Daseinsvorsorge,

9 Das IT-Sicherheitsgesetz Die Lösung aller Probleme???? Das IT-SiG wird als die Lösung für die neuartigen Probleme / Bedrohungen angesehen. Es ist noch nicht in Kraft getreten und wird noch immer kontrovers diskutiert! Es wird teilweise sogar die Meinung vertreten, dass Teile des IT-SiG verfassungswidrig sind (VdS, DPI, etc.)! Doch was ist nun eigentlich das IT-SiG?

Es ist noch nicht in Kraft getreten und wird noch immer kontrovers diskutiert!

10 Das IT-Sicherheitsgesetz (IT-SiG) Das IT-SiG ist kein eigenes Gesetz!!! Vielmehr ist es ein sog. Mantel- bzw. Artikelgesetz, das andere bestehende Gesetze modifiziert, wie z.b. das: BSI-Gesetz (BSIG); Atom-Gesetz (AtomG); Energiewirtschaftsgesetz (EnwG); Bundeskriminalamtsgesetz (BKAG); Telekommunikationsgesetz (TKG) oder das Telemediengesetz (TMG). Wen spricht das Gesetz an?

11 Die Rolle des BSI Durch das IT-SiG wird das BSI zur zentralen Stelle für die IT-Sicherheit in Deutschland. Es ist u.a. zuständig für: die Analyse von (gemeldeten) Angriffen, die Analyse von Schadsoftware, die Erstellung eines Lagebildes, die Unterrichtung / Beratung der Betreiber, die vom IT-SiG betroffen sind! Wer sind nun die Betreiber, die das IT-SiG anspricht?

12 Die Adressaten des IT-SiG Das IT-SiG richtet sich primär an KRITIS-Betreiber und Betreiber von Telekommunikations- und Telemediendiensten! Wer genau KRITIS-Betreiber sein soll, ist noch nicht geklärt! Klarheit soll eine Verordnung bringen, die Vertreter der unterschiedlichen Branchen, Behörden, Verbänden etc. zusammen erstellen sollen! Die vom IT-SiG angesprochenen Betreiber müssen gewisse Anforderungen erfüllen

Wer genau KRITIS-Betreiber sein soll, ist noch nicht geklärt!

13 Die Pflichten im IT-SiG Betreiber von KRITIS müssen insbesondere folgende Pflichten erfüllen: Einhaltung und Nachweis von Mindestanforderungen an die IT- Sicherheit nach dem Stand der Technik (Risikomanagement (RM)! Meldung von IT-Sicherheitsvorfällen an das BSI! Auch Telekommunikationsanbieter sind gefordert: Erfüllung von IT-Sicherheits-Mindestanforderungen (RM); Meldungen von (erheblichen) IT-Sicherheitsvorfällen und Möglichkeit der Angriffsanalyse und Abwehr; Pflicht zur Unterstützung bzw. zur Beseitigung von Malware etc. Und auch die Telemediendiensteanbieter müssen handeln: Einsatz anerkannter Schutzmaßnahmen (RM).

Auch Telekommunikationsanbieter sind gefordert: Erfüllung von IT-Sicherheits-Mindestanforderungen (RM); Meldungen von (erheblichen) IT-Sicherheitsvorfällen

14 Short to the point Das IT-SiG soll für mehr Transparenz und Sicherheit sorgen. Mittels des IT-SiG soll: Ein (möglichst) umfassendes Lagebild der IT-Sicherheit entstehen, mithilfe dessen sich u.a. Tendenzen erkennen lassen; ein einheitliches, angemessenes Sicherheitsniveau geschaffen werden (Stand der Technik). Dreh- und Angelpunkt ist dabei das Risikomanagement! Das Risikomanagement spielt auch für die geplante Datenschutzverordnung eine wichtige Rolle.

a. Tendenzen erkennen lassen; ein einheitliches, angemessenes Sicherheitsniveau geschaffen werden (Stand der

15 Die geplante EU-Datenschutzverordnung In Zukunft soll Datenschutzverordnung kommen, die in allen Ländern der EU gilt! Im Vergleich zu unseren nationalen Datenschutzgesetzen wird sie im Prinzip gar nicht so viel Neues und Unbekanntes bringen! Neu wird z. B. die Notwendigkeit zum Einsatz von Produkten sein, die nach Privacy by Design entwickelt wurden und die explizite Pflicht zur Durchführung einer Risikoanalyse / zum Risikomanagement bzgl. der Datenverarbeitung (PIA)!

16 Blick in die Zukunft Die Bedeutung von IT-Sicherheit und Schutz von Daten nimmt immer weiter zu, so dass sich die Gesetzgeber diesen Themen immer mehr annehmen und regeln werden. Gerade die Betreiber von Infrastrukturen, die für die Daseinsvorsorge eine nicht unerhebliche Bedeutung haben, werden immer mehr in die Pflicht genommen werden! Die zukünftigen Gesetze werden ihren Fokus immer mehr auf das Risikomanagement legen. Dieses ist auch nur konsequent, denn

Gerade die Betreiber von Infrastrukturen, die für die Daseinsvorsorge eine nicht unerhebliche Bedeutung haben,

17 Fazit! Erst wenn ich mir der drohenden Risiken bewusst bin, kann ich auf diese reagieren und die erforderlichen technischen und organisatorischen Maßnahmen treffen!

18 Gibt es noch Fragen? Gerald Spyra, LL.M. Rechtsanwalt, externer Datenschutzbeauftragter Kanzlei Spyra Annastr Köln Vielen Dank für Ihr Interesse!

Ähnliche Dokumente

Das IT-Sicherheitsgesetz (IT-SiG)

Das IT-Sicherheitsgesetz (IT-SiG) Die Lösung oder ein neues Problem? 11.06.2015 Gerald Spyra, LL.M. Kanzlei Spyra Vorstellung meiner Person Gerald Spyra, LL.M. Rechtsanwalt Hohe Affinität für die IT-Sicherheit