Fachbeiträge & Kommentare zu Informationssicherheit

Rz. 191 Mit Blick auf die Auslagerung an Cloud-Anbieter hat die Aufsicht in der im Jahr 2024 veröffentlichten "Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter"[1] das vormals als "Orientierungshilfe"[2] bekannte Dokument unter anderem um das Kapitel "Sichere Anwendungsentwicklung und IT-Betrieb in der Cloud" erweitert.[3] Dabei widmet sich die Aufsicht auch eingehend ...mehr

Vorbemerkung Nach dem Abschn. II Ziffer 2 sind Beschäftigte eingruppiert, die sich mit Systemen der Informations- und Kommunikationstechnik befassen ohne Rücksicht auf ihre organisatorische Eingliederung. Zu diesen Systemen zählen insbesondere informationstechnische Hard- und Softwaresysteme, Anwendungsprogramme, Datenbanken, Komponenten der Kommunikationstechnik in lokalen I...mehr

mehr

Rz. 15 Nach ESRS G1.6 sind die Verfahren zur Ermittlung der wesentlichen Auswirkungen, Risiken und Chancen im Zusammenhang mit der Unternehmensführung zu beschreiben. Unternehmen haben ferner alle relevanten Kriterien offenzulegen, die bei der Wesentlichkeitsanalyse verwendet werden, einschl. des Standorts, der Tätigkeit, des Sektors und der Struktur der Transaktion. ESRS G1...mehr

Rz. 24 Wie alle Akten und Verzeichnisse sind auch die Nebenakten so zu führen, dass ihre Verfügbarkeit, Integrität und Transparenz gewährleistet ist (§ 35 Abs. 1 S. 1 BNotO).[28] Auch dies gehört zu den im Hinblick auf die beschriebenen Funktionen der Nebenakte (s.o. Rdn 4 ff.) gebotenen Qualitätsstandards. Innerhalb dieser Grenzen kann der Notar die Aktenführung frei gestal...mehr

Rz. 1 Die Vorschrift verlagert über die Regelungen des § 5 Abs. 1 und 2 NotAktVV hinaus und über deren Anwendungsbereich hinaus die weitere inhaltliche Konkretisierung der Pflichten aus § 35 Abs. 1 BNotO auf die Bundesnotarkammer. Auch dies dient der Umsetzung des Regelungsauftrages des § 36 Abs. 1 S. 2 Nr. 3 BNotO.[1] Rz. 2 Dazu bedient sich die Vorschrift des Instruments de...mehr

Begriff Ein Managementsystem ist ein komplexes "Werkzeug" zum Managen (Planen, Organisieren, Führen und Kontrollieren) eines Unternehmens bzw. betrieblicher Aufgaben, wie Qualität, Umwelt, Informationssicherheit oder Sicherheit und Gesundheit bei der Arbeit (Arbeitsschutz) etc. Dieses Werkzeug stellt ein strukturiertes System dar. Es umfasst eine Beschreibung des Kontextes d...mehr

Grundgedanke eines integrierten Managementsystems ist es, Anforderungen aus verschiedenen unternehmensrelevanten Managementbereichen, wie z. B. Qualität, Sicherheit und Umwelt, Energie und Informationssicherheit in einer einheitlichen Struktur abgestimmt zusammenzufassen. Integration bedeutet hier nicht bloßes Aneinanderfügen der Managementbereiche, sondern ein von einer gan...mehr

Ein effizienter organisatorischer Rahmen ist die Basis für effektive Unfallverhütung bei Fremdfirmen im Betrieb. Ein entsprechendes Fremdfirmen-Management bildet dabei den wichtigsten Eckpfeiler. Die darin verankerte Betriebsverordnung sollte Folgendes regeln: Art und Umfang der Auftragnehmererklärung, Art und Umfang der betriebsspezifischen Gefährdungsbeurteilung, Art, Umfang ...mehr

Bei verschiedenen Vorgaben von DORA handelt es sich nicht um grundlegend neue Anforderungen. Allerdings beziehen sie sich zukünftig nicht mehr auf die im Gegenzug aufgehobenen BAIT. Die Aufsichtsbehörden haben gemeinsam mit den im Fachgremium IT vertretenen Instituten und Verbänden in mehreren Arbeitsgruppen die Vorgaben von DORA sowie der damit verbundenen technischen Regul...mehr

Rz. 5 Daten dürfen im Cloud-Dienst nur verarbeitet werden, wenn nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind, ein aktuelles C5-Testat der datenverarbeitenden Stelle vorliegt und die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind...mehr

Überblick Ein wesentlicher Grund dafür, dass neue digitale Technologien in Unternehmen nur zögerlich oder gar nicht umgesetzt werden, sind für viele Betriebe die Risiken der Datensicherheit. Tatsächlich bringt die Nutzung digitaler Technologien für Unternehmen Gefahrenpotenzial mit sich – doch noch mehr Vorteile. Diese Vorteile zu nutzen und dabei die Risiken im Griff zu beh...mehr

In einem Dachdeckerbetrieb werden Smartphones und Tablets auch im Arbeitskontext eingesetzt, und zwar zur Baustellensteuerung sowie zur Zeiterfassung. Die mobil erfassten Daten, z. B. zu Projektfortschritt und verwendetem Material, landen in Echtzeit auf dem Server des Betriebs. Die Mitarbeitenden können somit Informationen zum Auftrag, aktuelle Änderungen und sämtliche Doku...mehr

Nahezu alle Unternehmen setzen digitale Technologien ein: um Prozesse zu steuern, Lager zu verwalten, Informationen in Echtzeit zu teilen, Dokumente zu verwalten, Personaleinsatz zu planen oder Software-Anwendungen in der Cloud zu nutzen. Neben den vielen Möglichkeiten bieten die Technologien zugleich großes Gefahrenpotenzial – was Betriebe erkannt haben: Studien[1] zufolge ...mehr

Möglicherweise hat es sich bereits in den Schilderungen der 3 Szenarien aus den vorangegangenen Kapiteln erschlossen: Die Ursachen für Mängel der Datensicherheit entstehen immer auf dem Fundament einer Gemengelage aus technischen, organisatorischen und/oder personellen Gründen (Abb. 2). Abb. 2: Mögliche Ursachen für Sicherheitspannen – Beispiele Abb. 2 zeigt, dass Datensicherh...mehr

Datensicherheit oder IT-Sicherheit bezeichnet einen Zustand in einem Betrieb, in dem die Risiken für die Informationssicherheit, die beim Einsatz von digitalen Technologien aufgrund von Bedrohungen und Schwachstellen vorhanden sind, durch passende Maßnahmen auf ein tragbares Maß reduziert sind. Erst durch Gewährleistung des Schutzes von IT-Systemen und Daten (IT-/Cyber-Secur...mehr

Zur Erfüllung öffentlicher Aufgaben müssen sich Staat und Verwaltung immer wieder veränderten gesellschaftlichen, wirtschaftlichen oder technischen Rahmenbedingungen stellen und bestehende Funktionen, Strukturen und Abläufe überdenken.[1] Insbesondere für die Städte und Landkreise, die die Basis des demokratischen Staatsaufbaus darstellen, zeichnet sich dadurch ein immenses S...mehr

Vorschriften für die Buchführung und für Aufzeichnungen mittels elektronischer Aufzeichnungssysteme enthält die AO. Mit Ausnahme der Jahresabschlüsse, der Eröffnungsbilanz und der Unterlagen, sofern es sich bei letztgenannten Unterlagen um amtliche Urkunden oder handschriftlich zu unterschreibende nicht förmliche Präferenznachweise handelt, können genannten Unterlagen auch a...mehr

Rz. 3 Vorkehrungen nach Abs. 1 sind auch verpflichtende Maßnahmen zur Steigerung der Security-Awareness von Mitarbeitenden. Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_nod...mehr

Rz. 5 Die Krankenhäuser können die Verpflichtungen nach den Abs. 1 und 2 insbesondere erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden. Dessen Eignung muss vom BSI nach § 30 Abs. 8 BSI-Gesetz festgestellt werden. Einen entsprechenden I...mehr

Rz. 7 Weichert, Cloud Computing für SGB V – Leistungserbringer und Kassen, SGb 2024, 406. Bundesamt für Sicherheit in der Informationstechnik, Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung. DKG, Informationssicherheit im Krankenhaus – Branchenspezifischer Sicherheitsstandard (B3S).mehr

Überblick Der Steuerberater ist gem. seiner Berufsordnung zur Verschwiegenheit verpflichtet. Er erhält von Berufs wegen zwangsläufig sehr viele personenbezogene Daten (nicht nur die seiner Mandanten) und verarbeitet sie in automatisierter Form. Grundsätzlich ist jede Steuerberatungskanzlei zur Bestellung eines Datenschutzbeauftragten verpflichtet, es sei denn, i. d. R. sind ...mehr

Wie lässt sich denn nun aber genau das Risiko "berechnen"? Wieder hilft hier Erwägungsgrund 76 DSGVO weiter: "Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Person sollten in Bezug auf die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung bestimmt werden. Das Risiko sollte anhand einer objektiven Bewertung beurte...mehr

Rz. 300 Analog zu den Pflichten aus der DSGVO bringt der AI Act eigene Informationspflichten sowie weitergehende Compliance Anforderungen mit sich. Gerade bei Hochrisiko-KI, beispielsweise in Medizinprodukten, Bewertungssystemen im Bildungsbereich oder bei der Personalauswahl, sind umfassende Pflichten zur Transparenz im Sinne einer gewissen Erklärbarkeit der KI-Ausgaben ein...mehr

Rz. 50 Den meisten Pflichten unterliegen – nicht überraschend – die Hochrisiko-KI-Systeme nach dem AI Act. In Abschnitt 2 finden sich die Anforderungen an die Systeme selbst: das technische und organisatorische Pflichtprogramm. Abschnitt 3 regelt ergänzend die Verantwortlichkeiten der Anbieter (sowie Bevollmächtigten), Betreiber, Einführer und Händler. Da in der Praxis häufig...mehr

Gesetzestext (1) Die Kommission erlässt Durchführungsrechtsakte zur Einrichtung des dezentralen IT-Systems, durch die sie Folgendes festlegt:mehr

Gesetzestext (1) Die Kommission erlässt Durchführungsrechtsakte zur Einrichtung des dezentralen IT-Systems, durch die sie Folgendes festlegt:mehr

Im Folgenden wird aufgezeigt, wie die effiziente, sichere und datenschutzkonforme Verarbeitung von Arbeitsinhalten im Homeoffice sichergestellt werden kann. Dabei stehen 2Themenfelder im Mittelpunkt. Auf der Ebene des Datenschutzes geht es um die sichere und datenschutzkonforme Verarbeitung und Nutzung von (personenbezogenen) Daten außerhalb der Räumlichkeiten des Unternehmen...mehr

Arbeiten mit einer offenen IT-Struktur, E-Mail-Verkehr, Online-Banking, Kundenportale, Internetrecherche etc. machen das Unternehmen angreifbar (Cyber-Attacke auf Hard- und Software, Malware, Cyber-Hacking und Pishing). Eine wirksame IT-Sicherheit ist kosten- und personalintensiv und stellt kleinere und mittlere Unternehmen vor Finanzierungsprobleme. Neben Eigenschäden sowie ...mehr

Mithilfe der Maßnahmen soll die Selbstverpflichtung zur gelebten Praxis werden. Die Planung und Umsetzung erfolgen in der Regel dezentral durch die jeweils verantwortlichen Unternehmensbereiche. Der Vorteil dabei ist, dass das ganzheitliche Verständnis für Nachhaltigkeit in den verschiedenen Bereichen verankert wird und Nachhaltigkeitsthemen zum festen Bestandteil der Bereic...mehr

Auf globaler Ebene ist CMS seit 2020 Mitglied des UN Global Compact (UNGC) und hat sich verpflichtet, diese zehn Prinzipien in die Unternehmensstrategie, die -kultur und die tägliche Arbeit zu integrieren und darüber hinaus einen Beitrag zu den 17 Zielen für nachhaltige Entwicklung zu leisten. Dies bildet die Wertebasis für das Nachhaltigkeitsmanagement von CMS. Auch hier ko...mehr

Rz. 5 Zum Pflichtinhalt der Richtlinie gehören aufgrund der Formulierung "umfasst insbesondere" Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur, die in der vertragsärztlichen und -zahnärztlichen Versorgung eingesetzt werden, und Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssic...mehr

Rz. 7 Die in der Richtlinie festzulegenden Anforderungen müssen geeignet sein, die primären Schutzziele der Informationssicherheit (Verfügbarkeit, Integrität und Vertraulichkeit) zu gewährleisten und Störungen der informationstechnischen Systeme, Komponenten oder Prozesse der vertragsärztlichen und vertragszahnärztlichen Leistungserbringer zu vermeiden. Dabei sind das Gefährdun...mehr

§ 29 Allgemeines Der Gerichtsvollzieher regelt seinen Geschäftsbetrieb nach eigenem pflichtgemäßen Ermessen, soweit hierüber keine besonderen Bestimmungen bestehen. § 30 Geschäftszimmer (Fn 7) (1) Der Gerichtsvollzieher muss an seinem Amtssitz ein Geschäftszimmer auf eigene Kosten unterhalten. Der Präsident des Landgerichts (Amtsgerichts) kann dem Gerichtsvollzieher gestatten, ...mehr

mehr

Rz. 106 Soweit sich die Geschäftsprozesse auf IT-Systeme stützen, was nicht zuletzt im Zuge der fortschreitenden Digitalisierung der Finanzbranche mittlerweile zum Standard geworden ist, muss sich der geforderte Grundsatz der Funktionstrennung auch in der IT-Landschaft des Institutes widerspiegeln. Die Anwendungen auf der IT-Ebene dürfen nicht dazu führen, dass die Funktions...mehr

Rz. 4 Die KBV und der GKV-Spitzenverband vereinbaren bis zum 31.3.2022 die Anforderungen an technische Verfahren zum datengestützten zeitnahen Management von Krankheiten über eine räumliche Distanz (telemedizinisches Monitoring; Satz 1). Die Vereinbarung wird im Benehmen mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), dem Bundesamt für die...mehr

Rz. 5 Die gematik prüft auf der Grundlage der von ihr veröffentlichten Prüfkriterien, ob die Komponenten und Dienste der Telematikinfrastruktur funktionsfähig und interoperabel sind (Satz 1; gematik, Hinweise zur Zulassung, https://fachportal.gematik.de, abgerufen: 8.1.2021). Rz. 5a Die Sicherheit richtet sich nach den Vorgaben der gematik, die im Benehmen mit dem Bundesamt f...mehr

Ab dem 1.1.2021 müssen die gesetzlichen Krankenkassen ihren Patienten eine elektronische Patientenakte (ePA) zur Verfügung stellen. In der Akte können Befunde, Diagnosen, Therapiemaßnahmen, Behandlungsberichte, Impfungen und vieles mehr gespeichertwerden. Die Nutzung der ePA durch den Patienten ist allerdings freiwillig. Entscheidet sich der Patient für eine Nutzung, so kann ...mehr

Hauptmerkmale dieses Servitization-Schrittes hin zum integrierten Lösungsanbieter sind, dass Nutzen und Mehrwert durch die Services entstehen. Verkauft werden Dienstleistungen. Dabei bleiben die Produkte im Eigentum des Herstellers. Wesentliche Teile der Wertschöpfungskette werden gemeinsam mit Partnern erbracht, die integraler Bestandteil des Kundenprozesses sind. Laptopher...mehr

Überblick Jedes Tun und damit auch jedes unternehmerische Handeln ist mit Gefahren und Risiken verbunden. Deshalb werden von verschiedenen Seiten und Anspruchsgruppen (Stakeholder, interessierte Kreise) Anforderungen an jedes Unternehmen gestellt, die Risiken zu minimieren oder zu beseitigen. Es wird also ein aktives Risikomanagement verlangt. Zu den Risiken gehören allerdin...mehr

Seit Oktober 2020 gibt es vom Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) offiziell als Digitale Gesundheitsanwendung (DiGA) zugelassene Lösungen. Diese sind browserbasiert oder als App erhältlich. Sie sind teilweise auch mit Zusatzgeräten zu nutzen und werden umgangssprachlich als "App auf Rezept" tituliert. Im Rahmen ihrer Zulassung müssen diese DiGA verschi...mehr

Rz. 4 Ergibt die Bewertung der in Abs. 1 genannten Informationen Sicherheitsmängel, kann das BSI der gematik verbindliche Anweisungen zur Beseitigung der festgestellten Sicherheitsmängel erteilen. Das BSI kann bei abweichenden Entscheidungen der gematik die Entscheidung prüfen und entsprechend der Vorgaben in Art. 15 Abs. 3 der NIS-Richtlinie (Gesetz zur Umsetzung der europä...mehr

Als letzter Schritt sind nun die KPIs festzulegen. Dabei ist zwischen steuerungsrelevanten und berichtspflichtigen KPIs zu unterscheiden. Nachhaltigkeits-KPIs machen das ökologische, soziale und Governance-Engagement von Unternehmen transparent und nachvollziehbar. Folgen sie einem Standard ist sogar der Vergleich zwischen den Unternehmen möglich, wie z. B. die Ermittlung des...mehr

Rz. 317 Es bleibt festzuhalten, dass nach wie vor bei vielen in Betrieb befindlichen Messgeräten der informationstechnische (und möglicherweise automatisierte) Nachweis, dass Messdaten unverändert sind, nicht zu erbringen ist. In einem unsicheren System ist es technisch nicht möglich, Authentizität und Integrität nachzuweisen. Viele Messgeräte erfüllen die aktuellen Anforder...mehr

Rz. 294 Bevor wir zu den tatsächlichen Anforderungen der PTB an die Sicherheit von Messdaten kommen, beschäftigen wir uns mit der Frage, welche Anforderungen überhaupt sinnvoll sind. Dabei geht es nicht darum, konkrete technische Vorgaben oder Vorschläge zu machen, sondern allgemeine Mindestanforderungen aufzustellen. Rz. 295 Zunächst sind hierzu zwei wichtige Aspekte des sta...mehr

Im Bereich der IT-Sicherheit in Unternehmen haben sich in den letzten Jahren immer mehr sog. Awareness-Kampagnen durchgesetzt, um die Mitarbeiter für das Thema Informationssicherheit im Unternehmen zu sensibilisieren. Diese Kampagnen sollen eine nachhaltige Verhaltensänderung der Mitarbeiter erreichen und werden deshalb i. d. R. auf einen längeren Zeitraum bis hin zu mehrere...mehr

Rz. 24 Die Bewertung der Zulässigkeit der Datenverarbeitung war bislang und ist seit 25.5.2018 auf Basis einer Interessenabwägung, die die Interessen von Arbeitgeber und Beschäftigten in Einklang bringen muss, zu treffen (§ 32 Abs. 1 BDSG a.F. und § 26 Abs. 1 BDSG). Die Bewertung ist daher oft vom jeweiligen Einzelfall abhängig. Rz. 25 Für die Verarbeitung der Beschäftigtenda...mehr

Grundsätzlich kann man davon ausgehen, dass ein Mitarbeiter nicht mit dem Gedanken in den Betrieb fährt, am gleichen Tag vom Rettungswagen ins Krankenhaus gebracht zu werden. Ebenso hat der Betrieb kein Interesse daran, den Produktionsprozess durch einen Arbeitsunfall unterbrechen zu lassen. Die klassische Safety kümmert sich darum zu verhindern, dass doch etwas passiert. Da...mehr

In der Lieferkette wächst die Datenvernetzung durch unternehmensübergreifende IT-Anwendungen für Planung, Produktion, Warenfluss, Warenrücksendung und Service. Vor diesem Hintergrund gewinnen Anforderungen an Datenschutz, IT- und Informationssicherheit in den Bewertungsbögen für Lieferanten und Dienstleister an Bedeutung. Die DIN/ISO/IEC 2701-02/2014 detailliert die Anforder...mehr