Compliance-Anforderungen werden im Rahmen aktueller Projekte nur teilweise in die notwendigen Security-Maßnahmen umgesetzt Zusammenhang zwischen Compliance und IT-Sicherheit für Mehrheit der Unternehmen noch unklar
(23.02.07) - "Compliance" hat sich in jüngster Vergangenheit zum Modebegriff entwickelt. Anwenderunternehmen stehen heute vor einer Vielfalt an branchenübergreifenden und branchenspezifischen rechtlichen Regelungen, müssen aber auch rechtlich nicht bindende Standards, Referenzmodelle und Richtlinien berücksichtigen. Compliance-Anforderungen spielen auch im Security-Umfeld eine wichtige Rolle. Die Verantwortlichen für IT-Sicherheit befinden sich derzeit aber noch in einer "Orientierungsphase", meint die Experton Group.
Allen negativen Szenarien zum Trotz sind konkrete Folgen bei der Nichteinhaltung von Regularien bislang eher selten oder werden zumindest ungern der Öffentlichkeit preisgegeben. Dennoch zeigen aktuelle Analysen der Experton Group bei Anwenderunternehmen in Deutschland, dass immerhin mehr als jedes zehnte Unternehmen wiederum mindestens ein Unternehmen der eigenen Branche kennt, das durch einen Verstoß gegen relevante Regelungen mit Sanktionen oder mit Strafen belegt wurde.
Mit Blick auf das eigene Unternehmen wird allerdings noch eher zögerlich agiert, d.h. die Compliance-Anforderungen werden im Rahmen aktueller Projekte nur teilweise in die notwendigen Security-Maßnahmen umgesetzt. Dabei handelt es sich vor allem um die Umsetzung der Anforderungen des Bundesdatenschutzgesetzes (BDSG, 37 Prozent der Unternehmen), mit deutlichem Abstand gefolgt von Basel II (21 Prozent) und dem Sarbanes-Oxley Act (SOX, 10 Prozent). Auch weitere, oftmals branchenspezifische Regelungen wie MARisk aus dem Finanzsektor oder das Energiewirtschaftsgesetz (EnWG) spielen eine Rolle. Dabei werden die Regelungen auf technischer Seite vor allem mittels Lösungen für Virenschutz, Identity Management und die digitale Signatur sowie durch Maßnahmen für Business Continuity und Disaster Recovery umgesetzt.
Einsatz von IT-Security-Produkten
Umsetzung der Compliance-Anforderungen
Die Herausforderung mit Blick auf Compliance liegt in der Umsetzung eher allgemein gehaltener Anforderungen in die IT des Unternehmens, das heißt der Erkennung von Risiken, die sich im Zusammenhang mit der Implementierung und dem Betrieb der IT-Infrastruktur ergeben. "Während das Bundesdatenschutzgesetz sehr konkrete Vorgaben mit Blick auf IT-Sicherheit enthält, ist beispielsweise Basel II hier wesentlich weniger greifbar, und die Furcht vor den Folgen bei Verstößen hält sich zumindest im Kreise der IT-Security-Entscheider in Grenzen", meint Wolfram Funk, Senior Advisor bei der Experton Group. "Vieles deutet aber darauf hin, dass sowohl die Compliance-Anforderungen in Europa als auch das Bewusstsein der deutschen Unternehmen künftig zunehmen werden."
Von den Regulatorien profitieren zunächst die Anbieter von Security-Lösungen, und Dienstleister im Security-Umfeld erfahren eine verstärkte Nachfrage nach Services wie Schwachstellen-Audits sowie Security-Strategie- und Prozessberatung, beispielsweise Risikoanalysen, Business Continuity Planning oder "Compliance Checks".
Aber auch die Anwenderunternehmen sollten Compliance als Chance begreifen. "Als Motivation darf nicht nur die Furcht vor Sanktionen bei Verstößen im Vordergrund stehen", gibt Wolfram Funk zu bedenken. "Es sollten auch Synergieeffekte mit Sicherheitsaufgaben, die ohnehin zu adressieren sind, realisiert werden".
Die Experton Group empfiehlt IT-Verantwortlichen, sich zunächst gemeinsam mit dem Management, der Rechtsabteilung, dem Datenschutzbeauftragten und gegebenenfalls den Fachabteilungen einen Überblick zu verschaffen und die weltweit relevanten Regelungen zu identifizieren. Weitere Schritte sind das Aufsetzen von Kommunikationsprozessen und Audits sowie die Abbildung der spezifischen Anforderungen in konkrete IT-Aktivitäten. (Experton: ra)
Vertreter der Internetwirtschaft aus Europa und den USA sowie der US-Politik haben am 22. Mai die Weichen gestellt für einen besseren transatlantischen Datenschutz. Der spielt, so waren sich die Teilnehmer im Ergebnis einig, eine immer wichtigere Rolle für die Wirtschaft auf beiden Seiten des Atlantiks. Das Privacy Shield muss daher gestärkt werden. Zu den Gesprächen hatte der eco - Verband der Internetwirtschaft e. V. und sein US-amerikanischer Partnerverband i2Coalition eingeladen. Die Roundtable-Gespräche in Washington D.C. waren der dritte und vorerst letzte Termin der Veranstaltungsreihe, die am 7. Februar in Brüssel gestartet und am 12. Februar in Berlin fortgesetzt wurde.
Zwei Gesetzesvorgaben drängen derzeit die Chefetagen, sich mit dem Thema Verschlüsselung zu beschäftigen. Die europäische Datenschutz-Grundverordnung (EU DSGVO) trat am 25. Mai 2018 in Kraft und stärkt die Datenschutzrechte von Privatpersonen. Die Verschlüsselung personenbezogener Daten ist durch sie EU-weit gesetzliche Pflicht geworden. Empfindliche Bußgelder, gepaart mit der hohen Chance, dass Verstöße gegen die EU DSGVO tatsächlich auffallen, sorgen dafür, dass Unternehmen sich zunehmend um die Wahrung ihrer Compliance sorgen. Bereits 2016, zwei Jahre vor Inkrafttreten der EU DSGVO, wurde die Know-how-Schutz-Richtlinie der Europäischen Union zur Förderung der Binnenwirtschaft veröffentlicht. Ihr Ziel ist es, im EU-Raum einheitliche Schutzregeln für Geschäftsgeheimnisse zu schaffen. In Deutschland wurden die Vorgaben am 21. März 2019 im Geschäftsgeheimnisgesetz (GeschGehG) als neues Stammgesetz verabschiedet. Jetzt müssen Geschäftsgeheimnisse, um rechtlich als solche zu gelten, nachweisbar von den Unternehmen geschützt werden. Wer sensible Daten unverschlüsselt versendet, bleibt ohne gesetzlichen Schutz, wenn Geschäftsgeheimnisse beim Datenversand abgefangen und von anderen genutzt werden.
Im ersten Jahr der europäischen Datenschutzgrundverordnung (DSGVO) kehrte in die Unternehmen eine größere Datenhygiene ein. Sie waren gezwungen einen besseren Schutz und eine verantwortungsbewusstere Verwaltung der Daten europäischer Bürger zu gewährleisten. Um dies zu erreichen, mussten die Unternehmen den Überblick über die Vorhaltung von Datenbeständen erhalten, die oft über mehrere verschiedene Abteilungen verstreut aufbewahrt wurden. Nur auf einer einheitlichen Datenbasis - die oftmals als Data dictionary oder data repository bezeichnet wird - konnte festgestellt werden, ob die Erlaubnis zur Verwendung der personenbezogenen Daten tatsächlich vorliegt.
Am 25. Mai gilt die DSGVO seit einem Jahr in allen EU-Mitgliedstaaten. In dieser Zeit haben die Datenschutzkonferenz von Bund und Ländern (DSK) und der Europäische Datenschutzausschuss kontinuierlich neue Merkblätter und Orientierungshilfen veröffentlicht, die Unternehmen mehr Sicherheit geben sollen bei der Umsetzung der DSGVO. Doch von Rechtssicherheit für alle Unternehmen und einer einheitlichen Auslegung der Verordnung ist Europa noch weit entfernt. "Die Datenschutzbeauftragten in Deutschland und die Aufsichtsbehörden in ganz Europa fordern wir auf, diese Regeln einheitlich auszulegen, um Unternehmen vor bürokratischer Willkür zu schützen", sagt Alexander Rabe, Geschäftsführer des eco - Verbands der Internetwirtschaft e. V.
Bayerns Justizminister Georg Eisenreich begrüßt die Eckpunkte zur Reform der Strafprozessordung (StPO), die das Bundeskabinett in Berlin beschlossen hat. Eisenreich: "Das ist auch ein großer Erfolg bayerischer Rechtspolitik. Viele der beschlossenen Eckpunkte fordern wir schon lange. Insbesondere die Maßnahmen zur Beschleunigung von Strafgerichtsverfahren, die Erweiterung der DNA-Analyse, die Befugnis zur Telekommunikationsüberwachung bei Verdacht auf Wohnungseinbruchdiebstahl und auch das Verbot der Gesichtsverhüllung vor Gericht." Bayern hatte sich bereits bei den Koalitionsverhandlungen bei diesen Themen durchgesetzt. Damals war es gelungen, die zentralen bayerischen Anliegen in den Koalitionsvertrag zu verhandeln.
