Besuchen Sie uns auf der it-sa 2024!
Home>
IT-Compliance
03
Wer braucht IT-Compliance?
Vorgaben für die IT-Compliance müssen sämtliche privaten Unternehmen, die öffentliche Hand sowie alle übrigen Organisationen beachten. Der Gesetzgeber und die Aufsichtsbehörden geben vor, welche Anforderungen das jeweilige Unternehmen in der spezifischen Branche zu erfüllen hat. Daraus ergeben sich die Compliance-Vorgaben, die es zu beachten gilt. Die Anforderungen an IT und Prozesse variieren stark nach Branche, Unternehmensgröße, Anzahl der Kunden und der gesamtgesellschaftlichen Bedeutung. Die strengsten Compliance-Vorgaben gelten für Kritische Infrastrukturen (KRITIS) aus den Bereichen Energie, Gesundheit, Staat und Verwaltung, Ernährung, Transport und Verkehr, Finanz- und Versicherungswesen, Informationstechnik und Telekommunikation, Medien und Kultur sowie Wasserversorgung.
Speziell in größeren Firmen fallen die Anforderungen an die Compliance oft so umfangreich aus, dass für die korrekte Umsetzung eine dedizierte Abteilung für IT-Compliance-Management erforderlich ist. In vielen Fällen wird die Einhaltung der geltenden Regulatorik stichprobenartig durch Aufsichtsbehörden überprüft. Manche Unternehmen müssen sogar regelmäßig über geeignete Mittel nachweisen, alle Anforderungen an die IT-Compliance ordnungsgemäß zu erfüllen – etwa über Berichte externer Prüfinstanzen oder Penetrationstests.
04
Welche Gesetze und Normen prägen die IT-Compliance?
Die meisten Compliance-Anforderungen entstammen gesetzlicher Grundlagen oder behördlichen Verordnungen. Zu den bekanntesten Regelwerken für Unternehmen und andere Organisationen zählen:
Datenschutz-Grundverordnung (DSGVO)
Die Datenschutz-Grundverordnung (DSGVO) – englisch General Data Protection Regulation (GDPR) – ist eine Verordnung der Europäischen Union, die seit dem 25. Mai 2018 die Verarbeitung personenbezogener Daten einheitlich regelt. Die Vorschriften gelten für alle privaten Unternehmen und öffentliche Stellen, die personenbezogene Daten von EU-Bürgern verarbeiten – unabhängig davon, ob die jeweilige Organisation aus der EU oder einem anderen Wirtschaftsraum stammt. Neuerungen wie das Recht auf Vergessenwerden oder das Recht auf Datenportabilität sollen den Schutz der Privatsphäre verstärkt absichern.
BSI-Gesetz (BSIG)
Das BSI-Gesetz (BSIG) definiert den Aufgabenbereich des Bundesamts für Sicherheit in der Informationstechnik (BSI). Als obere Bundesbehörde verfolgt das BSI das selbst definierte Ziel, Cybersecurity “durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft” aufrechtzuerhalten. Mit der Definition etablierter Mindeststandards, Best-Practice-Modellen und verpflichtender Regularien liefert das BSI einen Leitfaden für eine sichere Digitalisierung großer und kleiner Organisationen. Unter anderem sind im BSIG (§ 8a) Vorgaben für KRITIS enthalten, die die Implementierung geeigneter Sicherheitstechnologien für den Erhalt von “Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse” vorsehen.
IT-Sicherheitsgesetz (IT-SiG)
Als Artikelgesetz ändert und ergänzt das IT-Sicherheitsgesetz (IT-SiG) die bestehende Gesetzgebung aus dem BSI-Gesetz, dem Energiewirtschaftsgesetz, dem Telemediengesetz, dem Telekommunikationsgesetz und weiteren Gesetzen. Zu den Kernzielen des IT-SiG zählt die Verbesserung der Sicherheit und des Schutzes der IT-Systeme und Dienste – insbesondere im Bereich KRITIS. Für diese sieht das Gesetz etwa eine Meldepflicht von erheblichen IT-Störungen gegenüber dem BSI vor.
ISO 27001 & ISO 27001 auf Basis von IT-Grundschutz
ISO 27001 und „ISO 27001 auf Basis von IT-Grundschutz“ definieren ein Rahmenwerk und beschreiben ein Konzept zur Umsetzung eines Informationssicherheitsmanagementsystems (ISMS). ISO 27001 spezifiziert die Anforderungen an Aufbau, Umsetzung, Betrieb, Überwachung, Bewertung, Wartung und Verbesserung von dokumentierten ISMS in Bezug auf die allgemeinen Geschäftsrisiken. Die internationale Norm verfolgt einen Top-Down-Ansatz, bei dem die Prozesse im Mittelpunkt stehen und die notwendigen Sicherheitsmaßnahmen auf Basis einer individuellen Risikoanalyse implementiert werden. Die vom BSI entwickelte ISO 27001 auf Basis von IT-Grundschutz beschreibt eine systematische Methode zur Identifizierung und Umsetzung notwendiger IT-Sicherheitsmaßnahmen in Unternehmen, um ein mittleres, angemessenes und ausreichendes Schutzniveau zu erreichen. Einem Bottom-Up-Ansatz folgend liegt der Fokus auf konkreten Maßnahmen zur Absicherung der IT-Systeme.
