Dr. Christian Thiel Institut für Informations- und Prozessmanagement FHS ST. Gallen
Und was meinst Du mit IT Sicherheit?
Was ist IT-Sicherheit aus rechtlicher Sicht? Definition in 2 Abs. 2 BSI-Gesetz: Sicherheit in der Informationstechnik ( ) bedeutet die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen 1. in informationstechnischen Systemen oder Komponenten oder 2. bei der Anwendung von informationstechnischen Systemen oder Komponenten. 3
Die klassischen Schutzziele der IT-Sicherheit Verfügbarkeit Unversehrtheit (Integrität) Vertraulichkeit Authentizität Schutz vor unbefugter Vorenthaltung von Informationen oder Betriebsmitteln / des Zugangs zu Daten Schutz vor unbefugter Veränderung von Informationen/ Manipulation Schutz vor unbefugter Preisgabe von Informationen/ vor unbefugter Kenntnisnahme Schutz vor falschen Absendern 4
Kannst Du uns mal die Management Summary Deiner Gesetze, Vorordnungen usw. geben?
Rechtliche Anforderungen an die IT im Unternehmen Kein einheitliches Gesetz, das die rechtlichen Anforderungen an die Unternehmens-IT formuliert Dschungel der rechtlichen Vorgaben (national und international) Forderung nach Kontrolle und Transparenz Aktien- und Handelsgesetzgebung KonTraG, OR Basel II Sarbanes Oxley Act Corporate Governance Kodex In Deutschland / in der Schweiz schreibt kein Gesetz vor, wie Unternehmen im Bereich der IT-Sicherheit compliant sind. 6
Recht fordert IT-Sicherheit Aber Gesetze beeinflussen IT und IT-Sicherheit, z.b. Datenschutzgesetz und Verordnung Telekommunikationsgesetz / Fernmeldegesetz OR und Geschäftsbücherverordnung / KonTraG Grundsätze der ordnungsgemässen Datenbearbeitung Aufbewahrungspflicht, Risikomanagement Spezialnormen für bestimmte Branchen (Geldwäschereigesetz, Produkthaftpflicht) Steuerrecht Allg. zivilrechtliche Verpflichtungen (z.b. aus Verträgen mit Kunden, aus Versicherungsverträgen, Deliktische Haftung gegenüber Dritten, Urheberschutz und Lizenz-Management) 7
Und wenn wir nicht wollen?
Folgen bei Verstössen Rechtliche: Schadensersatz Bussgeld Persönliche Haftung (KonTraG, OR, Fahrlässigkeit ) Strafbarkeit (Vorsatz): Haftstrafe oder Geldstrafe Unterlassungsanspruch aus Urheber- oder Wettbewerbsrecht Kürzung der Versicherungsleistungen Ökonomische: Umsatzeinbussen wegen Betriebsausfall Reputationsverlust Herabsetzung der Bonität Nichtberücksichtigung bei der öffentlichen Vergabe 9
Haftungspyramide Wer ist verantwortlich? Delegation? Aufsicht Unternehmensleitung Mitarbeitende Drittbeauftragte / Externe 10
Und wie sollen wir was machen? 11
Compliance Begriff Einhaltung von Gesetze Verträge Verordnungen Richtlinien Selbstverpflichtungen Vorgaben Auslegungen Kommentare Konsequenzen Normen Frameworks Best-Practices Strategische Entscheidung Risiken Schutzziele ISMS Operative Umsetzung IT-Risiken IT-Compliance
Regelkreis Compliance Pragmatisch Regulatorische Anforderungen Technik, Prozesse, Organisation, Personal. Standards BDSG Telekom Regularien Compliance Rahmen TRs De-Mail Gesetz Ziele / Vorgaben zu Funktionalität, Datenschutz & Informationssicherheit Datenschutz Managementsyst em Informationssicherheit Managementsystem Anwendungsbetrieb Technischer Betrieb Infrastruktur und IT-Systeme Revision Betrachtungsgegenstände
Zusammenfassung Vielzahl rechtlicher Anforderungen mit impliziten Anforderungen an die IT-Sicherheit Wenn "zu wenig Sicherheit: Persönliche Haftung des Vorstands/ der Geschäftsführung z.b. nach KonTraG / OR Persönliche Haftung des Mitarbeiters wegen Verletzung Arbeitsvertrag Wenn zu viel Sicherheit (z.b. Überwachung ): Strafbarkeit droht aus DSG, etc Private Nutzung Internet / E-Mail regeln/untersagen Einwilligung zu Kontrolle / Filtering einholen 14