Welche technischen und organisatorischen Maßnahmen (TOM) schreibt der Gesetzgeber vor? Und was hat es mit diesem Stand der Technik auf sich? In unserem Blogbeitrag gehen wir auf die Anforderungen des Artikel 32 DSGVO "Sicherheit der Verarbeitung" näher ein. Lesen Sie mehr darüber, was der Gesetzgeber im Hinblick auf zu ergreifende Schutzmaßnahmen von Ihrer Organisation fordert. Warum schreibt der Gesetzgeber für gewöhnlich keine konkreten Schutzmaßnahmen in ein Gesetz, sondern legt lediglich das zu erreichende Ziel fest? Wieso 2FA keine Raketenwissenschaft und Bandsicherung zwar "old school" ist, aber dennoch dem Stand der Technik entspricht.
Die aktuelle ISMS-Fördermittelrichtlinie zur finanziellen Untersützung der Einführung eines Informationssicherheitsmanagementsystems im Sinne von Art. 43 BayDiG läuft zum 31.12.2023 aus. Wie Sie sich als bayersiche Kommune noch schnell Fördermittel für eine Umsetzung in 2024 / 2025 sichern, erfahren Sie im Blogbeitrag. Derzeit haben wir noch etwas Luft im zweiten Halbjahr, um Sie in gewohnter Umsetzungsqualität zu unterstützen. Dabei ist es egal, für welchen Standard Sie sich entscheiden: Arbeitshilfe, CISIS12, ISMS4KMO, BSI IT-Grundschutz (Kommunalprofil, Basis-Absicherung, Kern- oder Standardabsicherung) oder ISO 27001. Unser Team ist für alle Standards qualifiziert bzw. zertifiziert. Es heißt "schnell sein". Die Fördermittelstelle kann nach einem Antragseingang nach dem 15.11 2023 nicht mehr garantieren, ob es mit einer Förderzusage noch klappt.
Wir freuen uns, dass wir ab sofort bayerischen Kommunen den notwendigen Auditor bieten und das Fördermittelaudit Kommunalprofil und Basis-Absicherung des BSI IT-Grundschutz auf Basis eines belastbaren und nachvollziehbaren Prüfschemas durchführen können.
Dreh- und Angelpunkt des Artikel 32 DSGVO sind die technischen und organisatorischen Maßnahmen, auch kurz TOM genannt. Mittels einer geeigneten Auswahl und Anwendung dieser Schutzmaßnahmen (quasi eine Art Werkzeugkasten) sollen personenbezogene Daten vor den alltäglichen Risiken bei deren Verarbeitung (also Erhebung, Speicherung, Nutzung, aber auch beabsichtigter Löschung und Vernichtung) geschützt werden. Dabei soll nicht alles an Schutzmaßnahmen ergriffen werden, was irgendwie geht, sondern der Gesetzgeber spricht von einer Angemessenheit. Die Schutzmaßnahmen müssen also zum Schutzwert der betroffenen personenbezogenen Daten passen. Dabei sollen dann auch Faktoren wie die Eintrittswahrscheinlichkeit und das zu erwartende Schadensausmaß berücksichtigt werden. Das hier eigentlich nichts anderes als ein Informationssicherheitskonzept bzw. Informationssicherheitsmanagementsystem (ISMS) gemeint ist, erklären wir im Blogbeitrag. Dazu stellen wir mögliche Standards vor, mit denen Sie die Anforderungen bestens erfüllen können. Allen voran - als Einstieg für große Organisationen und als ISMS für kleine Kommunen und Firmen bestens geeignet - die sog. "Arbeitshilfe".
Nach nur 6 Monaten war das Informationssicherheitsmanagementsystem (ISMS) der a.s.k. Datenschutz auf Basis ISIS12 eingeführt und in Betrieb. Die Zertifizierung im Katalog 2.0 war erfolgreich und die erste Zertifizierung in dem neuen Katalog überhaupt. Das Zertifikat ist nun 3 Jahre gültig. Doch es bedeutet nicht, sich auf dem erreichten Schutzniveau der technischen und organisatorischen Maßnahmen ausruhen zu können. Vielmehr müssen in sog. Überwachungsaudits alle 12 Monate der Betrieb und die Weiterentwicklung des ISMS nachgewiesen werden. Der Nachweis geeigneter technischer und organisatorischer Maßnahmen im Sinne von Art. 32 DSGVO wird durch die Zertifizierung ebenfalls erleichtert. Mehr Infos im Blogbeitrag.
Teil 2 des chronologischen Einblicks in die größten und gravierendsten Datenpannen, Sicherheitslücken und Hackings der letzten 12 Monate. Extra-Inhalt zum Post vom 16.04.2020 - Teil 2
Chronologischer Einblick in die größten und gravierendsten Datenpannen, Sicherheitslücken und Hackings der letzten 12 Monate. Extra-Inhalt zum Post vom 16.04.2020 - Teil 1
Eine kleine Geschichte der Verschlüsselung. Von den Anfängen bis zur heutigen Anwendung. Von Chiffren und Algorithmen. Und zur gegenwärtigen Bedeutung einer richtigen Verschlüsselung. Zum Lesen bitte Beitrag aufrufen.
Art. 32 DSGVO geht eigentlich nur mit einem Informationssicherheitskonzept zu erfüllen. Für kleine Einrichtungen (Kommune und Unternehmen) eignet sich die "Arbeitshilfe" aus Bayern. Jetzt in Version 3.0 am Start. Für kommunale Einrichtungen stehen die Anpassungen zum Erhalt des LSI Siegels "Kommunale IT-Sicherheit" im Vordergrund. a.s.k. Datenschutz hat wie bereits wie die Vorgängerversionen der Arbeitshilfe auch die Version 3.0 im Auftrag der Innovationsstiftung Bayerische Kommune und der Bayerischen Kommunalen Spitzenverbände weiterentwickelt. Die Arbeitshilfe kann sowohl von Kommunen als auch Unternehmen kostenfrei genutzt werde. Mehr Details und Download-Link im Blogbeitrag.
Das Prüfsiegel "Kommunale IT-Sicherheit" des Landesamt für Sicherheit in der Informationstechnik in Nürnberg kann mittels des ISMS Arbeitshilfe der Innovationsstiftung bayerische Kommune erworben werden. Gerne unterstützen wir als Autoren der Arbeitshilfe beim Erreichen der notwendigen Vorgaben für Ihre Organisation. Details zum Siegel und der Arbeitshilfe finden Sie im Blobeitrag.
Meistgelesen
Checkliste TOM Auftragsverarbeitung nach Art. 28 + 32 DSGVO — technische und organisatorische Maßnahmen 
Informationspflichten bei Erhebung personenbezogener Daten im Zuge der Corona-Pandemie – ein kostenloses Muster 
Tipp: Microsoft Analytics “MyAnalytics” in Office 365 deaktivieren 
Rechnung per Email versenden und der Datenschutz 
Checkliste Prüfung Technische und Organisatorische Maßnahmen (TOM) aktualisiert
Partner / Kooperationen
Anwaltskanzlei Diercks, Hamburg
Spirit Legal Rechtsanwälte, Leipzig
RA Stephan Hansen-Oest, Flensburg
Anstalt für Kommunale Datenverarbeitung in Bayern (AKDB), München
Gesellschaft für kommunalen Datenschutz (GKDS), München
Datenschutz Schmidt (Datenschutz Assistent), Lauf a.d. Pegnitz
Hahn IT Services, Schwaig
Mitgliedschaften
