DAT-06 | Datenschutz, KI & Informationssicherheit | Basisschutz immer Pflicht, ISMS bei NIS2-Betroffenheit
Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik - und der ist heute klar definiert: Mehrfaktor-Authentifizierung, Verschlüsselung, getestete Backups, ein Rollen- und Rechtekonzept und ein funktionierendes Patch-Management. Das ist kein Reifegrad, das ist die Untergrenze.
GILT DAS FÜR DICH?
Der Basisschutz gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Ein strukturiertes Informationssicherheits-Managementsystem (ISMS) wird zur Pflicht, wenn Du unter NIS2 fällst - dazu mehr im nächsten Kapitel.
Auch ohne gesetzliche Pflicht wird das Thema zunehmend über Verträge zu Dir durchgereicht: Große Kunden fragen inzwischen routinemäßig nach ISO 27001 oder mindestens nach einem Sicherheitskonzept.
DAS MUSST DU TUN
- Aktiviere Mehrfaktor-Authentifizierung für alle Zugänge von außen: E-Mail, VPN, Cloud-Dienste, Fernwartung, Administrationskonten. Das ist die einzelne Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung.
- Verschlüssele Endgeräte und mobile Datenträger und sichere den E-Mail-Transport ab.
- Baue ein Rollen- und Rechtekonzept nach dem Prinzip der minimalen Rechte. Prüfe mindestens jährlich, wer worauf Zugriff hat - besonders bei Austritten und internen Wechseln.
- Teste Deine Backups. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Sicherung. Halte mindestens eine Kopie offline oder unveränderlich vor - genau darauf zielt Ransomware.
- Etabliere Patch-Management: Wer prüft wann welche Updates, und wie schnell werden kritische Lücken geschlossen?
- Schreibe eine IT-Nutzungsrichtlinie: Umgang mit Passwörtern, private Nutzung, mobile Geräte, Homeoffice, Umgang mit Wechselmedien, Meldung von Verdachtsfällen.
- Dokumentiere die technischen und organisatorischen Maßnahmen in einem eigenen Dokument. Danach fragt jeder Auftraggeber und jede Aufsichtsbehörde.
- Wenn Du in Richtung ISMS gehst: Orientiere Dich am IT-Grundschutz des BSI oder an ISO/IEC 27001. Der BSI-Weg ist für den Mittelstand oft der pragmatischere Einstieg.
GRÜN IST ES, WENN ...
Mehrfaktor-Authentifizierung ist flächendeckend aktiv, Backups werden regelmäßig getestet, das Rechtekonzept ist dokumentiert und wird jährlich überprüft, und es gibt ein aktuelles Dokument zu den technischen und organisatorischen Maßnahmen.
DIESE NACHWEISE BRAUCHST DU
Dokumentation der technischen und organisatorischen Maßnahmen, Backup- und Restore-Protokolle, Berechtigungskonzept mit Prüfnachweis, IT-Nutzungsrichtlinie, Patch-Management-Nachweise, gegebenenfalls ISO-27001-Zertifikat.
DIE RECHTSGRUNDLAGE
- Art. 32 DSGVO - Sicherheit der Verarbeitung: Verlangt ein dem Risiko angemessenes Schutzniveau und nennt Pseudonymisierung, Verschlüsselung, Verfügbarkeit, Belastbarkeit und regelmäßige Überprüfung ausdrücklich.
- Art. 5 Abs. 1 lit. f DSGVO - Integrität und Vertraulichkeit: Der Grundsatz, aus dem sich die Sicherheitspflichten ableiten.
- BSI IT-Grundschutz: Der deutsche Standard für Informationssicherheit, mit einer Basis-Absicherung, die sich für den Mittelstand als Einstieg eignet.
TYPISCHE STOLPERFALLEN
- Fehlende Mehrfaktor-Authentifizierung. Nach wie vor der häufigste Einfallsweg für Angriffe auf Unternehmen.
- Ungetestete Backups. Der Ernstfall ist der schlechteste Zeitpunkt für den ersten Wiederherstellungsversuch.
- Berechtigungen wachsen mit. Wer dreimal die Abteilung gewechselt hat, sammelt Rechte an, statt sie abzugeben.
- Unklare Verantwortung zwischen IT und Fachbereich. Wenn niemand entscheidet, wer Zugriffe freigibt, entscheidet am Ende die Bequemlichkeit.
- Keine schriftliche Dokumentation. "Wir machen das alles" ist gegenüber einer Behörde oder einem Auditor keine belastbare Aussage.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Von den technischen Mindestmaßnahmen bis zum strukturierten ISMS ist es ein weiter Weg. Der erste Schritt ist zu wissen, wo Du stehst.
Information Security / ISO 27001 Readiness: Gap-Analyse gegen ISO 27001, Maßnahmenplan, Dokumentationsunterstützung und Audit-Begleitung - zum Festpreis.
Information Security Officer / CISO: ISMS-Aufbau und laufende Begleitung, Risikobewertung und Maßnahmenkatalog, ohne eigene Vollzeitstelle.
Compliance.Trust: Die Dokumentation der technischen und organisatorischen Maßnahmen samt Zertifikaten liegt zentral - und beantwortet Kundenanfragen zur Informationssicherheit auf Knopfdruck.
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
