Berlin (DAV). Seit Juli 2015 ist das IT-Sicherheitsgesetz (ITSiG) in Kraft. Weil wesentliche Regelungen des neuen Gesetzes auf kritische Infrastrukturen beschränkt sind, findet eine dort enthaltene Regelung wenig Beachtung, die jedoch für nahezu alle Unternehmen umfangreiche Rechtspflichten zur Sicherheit ihrer Internetdienste vorsieht. Die neuen Pflichten gelten für einfache Websites ohne Interaktionen ebenso wie für Online-Shops, Software as a Service, Cloud-Lösungen oder andere Telemedienangebote. Darauf weist die Arbeitsgemeinschaft IT-Recht im Deutschen Anwaltverein (DAV) hin.
Die Regelung verbirgt sich in einer vom ITSiG vorgenommenen Änderung des Telemediengesetzes (§ 13 Abs. 7 TMG). Diensteanbieter müssen ihre Telemedien künftig umfassend schützen gegen:
- den unerlaubten Zugriff auf die für die Telemedien genutzten technischen Einrichtungen, wie etwa Server- oder Web-Applikationen
- die Verletzung personenbezogener Daten
- Störungen, etwa durch äußere (Hacker-)Angriffe.
Zur Realisierung dieser Anforderungen müssen die Unternehmen nach einer Schutzbedarfsanalyse für technische und organisatorische IT-Sicherheitsmaßnahmen sorgen, die den „Stand der Technik“ berücksichtigen. „Das Gesetz regelt jedoch nicht, wann diese Berücksichtigung als gegeben gelten darf“, erläutert Rechtsanwalt Karsten U. Bartels, stellvertretender Vorsitzender der Arbeitsgemeinschaft IT-Recht im DAV (davit). „Es gibt weder einen gesetzlichen Mindeststandard noch Beurteilungsmaßstäbe oder eine Übergangsfrist für die Anbieter von Telemediendiensten.“ Die neuen technischen und rechtlichen Anforderungen waren auch intensives Diskussionsthema auf dem 3. Deutschen IT-Rechtstag der davit, der Ende April in Berlin stattfand.
Komplizierte und diffuse Regelung
Die neuen Pflichten stellen Unternehmen also rechtlich und technisch vor hohe Anforderungen. Das gilt umso mehr, als die IT-Sicherheit zum Risikomanagement gehört, für dessen Mängel die Geschäftsleitung auch persönlich haften kann. „Die Umsetzung des ITSiG hat oberste Priorität“, betont Bartels.
Der IT-Rechtsexperte geht davon aus, dass angesichts der diffusen gesetzlichen Anforderungen insbesondere kleine und mittelständische Unternehmen die konkrete Umsetzung der komplizierten Aufgabe oftmals outsourcen werden. „Wer die Pflichten nicht inhouse erledigen kann, muss die Leistungen schnellstmöglich beauftragen.“ Angesichts der hohen Sensibilität des Themas seien dabei klare und rechtlich „wasserdichte“ vertragliche Vereinbarungen besonders wichtig.
Tipp: Dokumentation der Ergebnisse
Unabhängig davon, ob interne oder externe Fachleute die neuen Pflichten umsetzen, ist es wichtig, die Ergebnisse von Schutzbedarfsanalyse und Auswahlentscheidungen zu dokumentieren. Die Gründe für ein etwaiges berechtigtes Zurückbleiben hinter dem Stand der Technik müssen sich nachvollziehen lassen – etwa warum eine auf dem Markt existierende Lösung im konkreten Fall technisch oder wirtschaftlich nicht zumutbar war. Die Dokumentation selbst ist zwar keine gesetzliche Pflicht. Ohne sie lässt sich jedoch der Nachweis eines gesetzesmäßigen „Berücksichtigens“ des Stands der Technik gegenüber der zuständigen Aufsichtsbehörde oder auch Vertragspartnern praktisch nicht führen.
Informationen: www.davit.de
