Immer neue Cyberbedrohungen sowie die Anforderungen der Datenschutz-Grundverordnung (DSGVO) setzen Unternehmen unter Handlungsdruck. Allmählich ändert sich daher auch das Bewusstsein bezüglich der Themen Datenschutz, Informationssicherheit und IT-Notfallmanagement. Die Unternehmen investieren zunehmend in eine sichere IT-Infrastruktur.
Die DSGVO betrachtet ausschließlich personenbezogene Daten und fordert – im Unterschied zum alten Bundesdatenschutzgesetz – das Etablieren eines Informationssicherheitsmanagementsystems (ISMS, z. B. in Art. 5, Art. 32 DSGVO). Das heißt, der Schutz personenbezogener Daten beansprucht einen nicht unerheblichen Handlungsbedarf. Umso mehr bietet es sich an, das Datenschutzmanagement mit einem im Unternehmen bereits bestehenden Informationssicherheitsmanagementsystem zu verknüpfen. Ein nach ISO 9001 implementiertes Qualitätsmanagementsystem kann an dieser Stelle nicht helfen, die Anforderungen des Datenschutzes abzudecken.
Hat man weder ein Datenschutzmanagementsystem (DSMS) noch ein ISMS, wird es höchste Zeit, wenigstens seine sensitiven Informationen abzusichern. Die im Datenschutz geforderten Aspekte Datensicherheit und IT-Sicherheit sind bereits Bestandteile des ISMS. In einem solchen Fall ist die Installation eines ISMS sinnvoll, denn das vom Datenschutz gesetzlich geforderte Gewährleisten von Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten und von deren Verarbeitungssystemen kann mithilfe eines ISMS sichergestellt werden.
Aufgrund von Parallelen und Überschneidungen der Anforderungen an Geschäftsprozesse, Abläufe und Strukturen der beiden Managementsysteme sollten, die sich ergebenden Synergien genutzt werden. Als Rahmenwerk leistet die internationale Norm ISO 27001 zur Implementierung des ISMS Unternehmen gute Dienste – insbesondere im Zusammenhang mit dem dazugehörigen Leitfaden, der ISO 27002.
Die tabellarische Gegenüberstellung wesentlicher Forderungen von DSGVO und ISO 27001 zeigt, an welchen Stellen Ergänzungen ratsam sind und wo Gemeinsamkeiten existieren.
Ein Unternehmen, das alle Maßnahmen zur Umsetzung der DSGVO getroffen hat, sollte den logischen Schritt zur Sicherung von IT und Informationswerten gehen. Auch in umgekehrter Richtung können Unternehmen, die bereits über ein bewährtes ISMS verfügen, prüfen, ob sie die Anforderungen der DSGVO bezüglich personenbezogener Daten nachgebessert haben. Dies deshalb, weil die Datenschutzgesetzgebung mit hohen Bußgeldern bei Verstößen droht (Art. 83 DSGVO).
Fazit:
Die Gegenüberstellung veranschaulicht, dass die Anforderungen an die Informationssicherheit und an den Datenschutz sich in vielen Punkten ähneln. Der internationale Standard für Informationssicherheit mit integriertem Datenschutzmanagement erfüllt quasi alle Ansprüche. Er betrachtet alle Informationen, unabhängig davon, ob sie in Papierform oder digital vorliegen und ob sie personenbezogen sind oder nicht. Neben einem methodischen ganzheitlichen Vorgehen hat ein gemeinsames Managementsystem auch positive Auswirkungen für das Unternehmen:
- Schutz der Unternehmenswerte
- Risikominimierung: ganzheitlich und nachhaltig
- revisionssichere Dokumentation: Aktivitäten sind überprüfbar
- Compliance gegenüber Dritten (Kunden, Banken, Versicherungen)
Allerdings darf man die Besonderheiten des Datenschutzes nicht außer Acht lassen. So ist sicherzustellen, dass die Grundsätze und Prinzipien der Datenverarbeitung beachtet werden. Unter anderem ist zu kontrollieren, ob die Daten sachlich richtig sind, ob sie nur zu dem Zweck verwendet werden, zu dem sie auch gesammelt wurden und ob eine Löschmöglichkeit besteht, wenn der Zweck der Verarbeitung entfallen ist.
Außerdem beinhaltet die DSGVO umfangreiche Informationspflichten, die die ISO 27k nicht direkt beinhaltet, aber impliziert. Darunter fällt das Sicherstellen, dass Betroffene jederzeit Auskunft zu ihren Daten erhalten können (Art. 15), das Recht der Betroffenen auf Berichtigung ihrer Daten (Art. 16) bzw. auf deren (unverzügliche) Löschung (Art. 17). Ein weiteres Alleinstellungsmerkmal ist der Grund-satz der Datenminimierung, der der Herausforderung des Einsatzes von Big-Data entgegensteht.
