Rechtsgebiet
Informationssicherheit
Das IT-Sicherheitsrecht besteht aus einer Vielzahl unterschiedlicher Regelungen. Allein Art. 32 DSGVO trifft jeden, der personenbezogene Daten verarbeitet. Die übrigen knüpfen an Sektor und Größe, an eine kritische Anlage oder an die Herstellerrolle an. Keines von ihnen nennt eine Maßnahme, denn alle vier verlangen Angemessenheit und den Stand der Technik. Normwerke wie ISO 27001 und der BSI-Grundschutz füllen diese Lücke, ohne selbst verbindlich zu sein.
Woran sich entscheidet, was für Sie gilt
Womit anzufangen ist, hängt daran, welches der Regelwerke überhaupt einschlägig ist. Drei von ihnen knüpfen an eine Eigenschaft an, nämlich an Sektor und Größe, an eine Anlage oder an eine Rolle im Vertrieb. Die Regelwerke schließen sich nicht grundsätzlich aus.
Was trifft auf Ihren Betrieb zu?
Mehrfachauswahl. Die Zuordnung steht im Gesetz und ersetzt keine Prüfung des Einzelfalls.
Das trifft auf uns zu
Dann gilt für Sie(0 von 4)
Wählen Sie links aus, was auf Ihren Betrieb zutrifft.
Sicherheit der VerarbeitungArt. 32 DSGVO
Bindet jeden Verantwortlichen und jeden Auftragsverarbeiter, unabhängig von Branche und Größe. Die einzige Bindung ohne Vorbedingung.
Ausgelöst durch: Wir verarbeiten personenbezogene Daten
Risikomanagement und Meldepflichten§ 30 BSIG
Bindet die Einrichtungen des § 28 BSIG. Ob eine Einrichtung dazugehört, entscheidet die ausgeübte Tätigkeit zusammen mit Beschäftigtenzahl, Umsatz und Bilanzsumme. Festgestellt wird das von der Einrichtung selbst.
Ausgelöst durch: Wir sind in einem der Sektoren der Anlagen zum BSIG tätig und haben mindestens 50 Beschäftigte, Wir betreiben eine kritische Anlage
Produktanforderungen und SchwachstellenmeldungArt. 13 CRA
Bindet Hersteller von Produkten mit digitalen Elementen. Hersteller ist nach Art. 3 Nr. 13 CRA auch, wer entwickeln lässt und unter eigenem Namen vermarktet. Die Meldepflicht des Art. 14 CRA gilt bereits, die Produktanforderungen ab dem 11.12.2027.
Ausgelöst durch: Wir bringen Software oder vernetzte Geräte unter eigenem Namen in Verkehr
Physische Resilienz§ 13 KRITISDachG
Bindet Betreiber kritischer Anlagen und betrifft nicht die Cybersicherheit, sondern Objektschutz, Zugangskontrollen und Notstromversorgung. Die Uhr läuft dort noch nicht, denn die Rechtsverordnung steht nach § 8 Abs. 8 KRITISDachG aus.
Ausgelöst durch: Wir betreiben eine kritische Anlage
IT-Sicherheitsrecht ist technologieneutral
Wie eine konkrete technische Umsetzung auszusehen hat, steht in keinem Gesetz. Das ist Absicht, denn eine Vorschrift, die eine Schlüssellänge nennt, wäre mit dem nächsten Angriff veraltet.
Dreimal ein Maßstab, keinmal eine Maßnahme
| Merkmal | Art. 32 Abs. 1 DSGVO | § 30 Abs. 1 S. 1 BSIG | § 13 Abs. 2 KRITISDachG |
|---|---|---|---|
| Was verlangt wird | Ein dem Risiko angemessenes Schutzniveau | Geeignete, verhältnismäßige und wirksame Maßnahmen | Verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen |
| Woran es sich bemisst | Stand der Technik, Kosten, Art und Zweck der Verarbeitung, Risiko | Risikoexposition, Größe, Umsetzungskosten, Wahrscheinlichkeit und Schwere | Zweck-Mittel-Relation, Aufwand gegen Risiko, Leistungsfähigkeit |
| Was nicht darin steht | Eine einzige konkrete Maßnahme | Zehn Gegenstände, aber keine Maßnahme | Beispiele, aber keine Vorgabe |
Die dritte Zeile ist bei allen drei dieselbe. Verlangt wird ein Verfahren. Was daraus folgt, entscheidet der Einzelfall.
Die Lücke füllen Normwerke wie der BSI-Grundschutz und ISO 27001. Ihr rechtlicher Rang wird dabei regelmäßig überschätzt. Nach § 30 Abs. 2 S. 1 BSIG sind die einschlägigen Normen zu berücksichtigen und nicht einzuhalten. Nach Art. 32 Abs. 3 DSGVO ist ein genehmigtes Zertifizierungsverfahren ein Faktor des Nachweises. Verbindlich würde ein Standard erst über die Eignungsfeststellung nach § 30 Abs. 8 BSIG. Nach der Übersicht des Bundesamts ist nach neuer Rechtslage bislang keiner festgestellt.
Ein Managementsystem verkürzt die Umsetzung erheblich, weil Risikoanalyse, Wirksamkeitsprüfung und Dokumentation darin bereits stehen. Was aus dem Gesetz und nicht aus der Technik folgt, deckt es nicht ab, also Registrierung, Meldewege und die Pflichten der Geschäftsleitung.
Praxisfragen dazu
Anwendungsbereich und Adressaten
Cyber Resilience Act
Hersteller ist nach Art. 3 Nr. 13 CRA auch, wer ein Produkt entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet, und zwar unabhängig von einer Bezahlung.
NIS2-Betroffenheit prüfen
Die Betroffenheit stellt nach § 33 Abs. 1 BSIG die Einrichtung selbst fest.
Sicherheit in der Lieferkette
§ 30 Abs. 2 Nr. 4 BSIG erfasst die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern und reicht nicht weiter in die Kette.
Umsetzung und Nachweis
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür Kriterien statt einer Liste.
NIS2 umsetzen
Die zehn Gegenstände des § 30 Abs. 2 BSIG sind der Mindestumfang, ihre Tiefe bemisst sich nach den fünf Größen des § 30 Abs. 1 S. 2 BSIG.
SOC und SIEM
Ein System zur Auswertung sicherheitsrelevanter Ereignisse verarbeitet in großem Umfang Daten über das Verhalten von Beschäftigten, und zwar als Nebenwirkung seines Zwecks.
Häufige Fragen
Genügt ein Zertifikat nach ISO 27001?
Als Nachweismittel hilft es, als Erfüllung genügt es nicht. Art. 32 Abs. 3 DSGVO nennt ein genehmigtes Zertifizierungsverfahren ausdrücklich als Faktor und nicht als Erfüllung. § 30 Abs. 2 S. 1 BSIG verlangt, die einschlägigen Normen zu berücksichtigen. Hinzu kommt, dass der Geltungsbereich eines Zertifikats selbst gewählt ist und dass Registrierung, Meldewege und Leitungspflichten darin nicht vorkommen.
Was unterscheidet den BSI-Grundschutz von ISO 27001?
Der Zuschnitt der Arbeit. Der Grundschutz liefert Bausteine mit ausformulierten Anforderungen, aus denen ausgewählt wird. ISO 27001 beschreibt ein Managementsystem und überlässt die Herleitung der Maßnahmen der Risikobehandlung. Für einen Betrieb ohne eigenes Sicherheitsteam ist der erste Weg meist der kürzere, für einen international tätigen der zweite.
Gibt es einen anerkannten Branchenstandard?
Nach § 30 Abs. 8 BSIG können Branchenverbände Sicherheitsstandards vorschlagen, deren Eignung das Bundesamt auf Antrag feststellt. Nach seiner eigenen Übersicht ist nach neuer Rechtslage bislang keiner festgestellt. Die dreizehn veröffentlichten Standards stammen aus dem früheren § 8a BSIG.
Wir sind KRITIS. Was gilt zusätzlich?
Neben der Cybersicherheit nach dem BSIG die physische Resilienz nach dem KRITIS-Dachgesetz, also Objektschutz, Zugangskontrollen, Notstromversorgung und ein Resilienzplan gegenüber dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Die Uhr läuft dort noch nicht, denn nach § 8 Abs. 8 KRITISDachG wird das Registrierungsverfahren erst nach Inkrafttreten der Rechtsverordnung festgelegt. Diese steht aus.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.