Stand der Technik

Seminar an der TU Dresden

Die Technische Universität Dresden (TU Dresden) ist mit rund 32.400 Studenten und rund 8.300 Beschäftigten aus 70 Ländern die größte Universität des Freistaates Sachsen. Es ist daher verständlich, dass bei einer Einrichtung dieser Größe ebenfalls eine umfassende IT-Infrastruktur eingesetzt wird.

Gemäß der europäischen Datenschutzgrundverordnung (DSGVO) müssen die eingesetzten technischen und organisatorischen Maßnahmen (TOM) regelmäßig überprüft und am „Stand der Technik“ ausgerichtet werden. Diese Verpflichtung gilt auch der TU Dresden.

Der Arbeitskreis „Stand der Technik“ beim Bundesverband IT-Sicherheit e.V., den ich leite, setzt zur Bewertung der in der Handreichung „Stand der Technik“ beschriebenen Maßnahmen eine standardisierte Methode ein. Im Rahmen eines Seminars konnte ich diese Methode den interessierten Administratoren und Administratorinnen der TU Dresden vorstellen. Anhand einiger Beispiele konnte ich die praktische Bestimmung des Stands der Technik erläutern.

Tomasz Lawicki

Tomasz Lawicki

Mehr über Tomasz Lawicki

Tomasz LawickiSeminar an der TU Dresden

European Forum Alpbach 2018

Das Europäische Forum Alpbach (European Forum Alpbach, EPA) findet seit 1945 alljährlich im August im Tiroler Bergdorf Alpbach statt. Referenten und Teilnehmer aus allen Teilen der Welt, von Wissenschaft, Wirtschaft und Politik, Experten und Studenten kommen zusammen, um aktuelle Themen zu diskutieren.

Innerhalb von zwei Wochen in August wird der kleine Ort Alpbach von ca. 6.000 Teilnehmern der Veranstaltung wörtlich überrannt. Es finden sehr viele, teilweise parallele, Veranstaltungen statt, die von allen Teilnehmern je nach Interesse besucht werden können. Die Teilnehmer kommen sehr schnell und ungezwungen ins Gespräch. Sie tauschen Ideen aus, lernen voneinander und vernetzen sich untereinander. Genau das ist auch gewollt.

Im Rahmen der sogenannten Technologiegespräche hielt ich einen Vortrag über die Bestimmung des “Stands der Technik” durch die Betreiber kritischer Infrastrukturen. Im Auditorium waren etwa 40 Studierende und auch Fachleute, die Interesse an diesem Thema hatten. 

Man sagt, dass der Geist des Europäischen Forums Alpbach lange in Erinnerung bleibt. Allzu gerne erinnere ich mich an die positive Stimmung der Veranstaltung.

 

Tomasz Lawicki_100x100

Tomasz Lawicki

Mehr über Tomasz Lawicki

 

Tomasz LawickiEuropean Forum Alpbach 2018

Was bedeutet “Stand der Technik”?

Aus der DSGVO resultiert die Verpflichtung der Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen, um den Schutz personenbezogener Daten sicherzustellen. Dabei soll der Stand der Technik dieser Maßnahmen berücksichtigt werden. Der Artikel zeigt einen methodischen Ansatz, um den Technologiestand der im Unternehmen eingesetzten Maßnahmen zu bestimmen und somit der aus der DSGVO geforderten Dokumentationspflicht nachzugehen.

Tomasz LawickiWas bedeutet “Stand der Technik”?

„Stand der Technik“ und DSGVO

Am 21. März 2018 sprach ich auf der Regionalveranstaltung des Bundesverbands IT-Sicherheit e.V. (TeleTrusT). Eingeladen hat Detack GmbH als TeleTrusT-Regionalstelle Stuttgart in das sehr imposante Residenzschloss zu Ludwigsburg.

Beim strahlenden Sonnenwetter und Frühlingstemperaturen in Ludwigsburger Schlossgarten sprach ich als Keyspeaker der Veranstaltung über den gesetzlich geforderten Technologiestand von technischen und organisatorischen Maßnahmen (TOM). Unterschieden wurden die Technologiestände “allgemein anerkannten Regeln der Technik”, “Stand der Technik” und “Stand der Wissenschaft und Forschung”.

Zeitaktuell zielte die Veranstaltung auf die europäische Datenschutzgrundverordnung (DSGVO, GDPR) ab, die im Artikel 32 die Berücksichtigung des “Stands der Technik” bei Anwendung der TOMs fordert. So wurden neben dem Verständnis und Verwendung der einzelnen Technologistände auch eine Methode zu ihrer Bestimmung hergeleitet. Im Nachgang wurden einige Beispiel für die Anwendung im Zusammenhang mit DSGVO besprochen.

Gerade die Beispiele ermöglichten dem Auditorium ein besseres Verständnis der einzelnen Technologiestände sowie ihre Abgrenzung  in der Praxis.

Ich bedanke mich bei Detack für die Einladung und die Organisation der Veranstaltung.

Dank der Organisation, den interessanten und konstruktiven Gesprächen mit den Teilnehmern (während und im Nachgang der Veranstaltung) sowie zu guter Letzt der ausserordentlichen Location, bleibt mir diese Veranstaltung für eine lange Zeit in einer sehr positiven Erinnerung.

Tomasz Lawicki

TOMASZ LAWICKI
Mehr über Tomasz Lawicki

Tomasz Lawicki„Stand der Technik“ und DSGVO

Fachvortrag beim Arbeitskreis EDV und Recht (AKEUR)

Durch die Vorgaben aus dem IT-Sicherheitsgesetz (IT-SiG) und der Datenschutzgrundverordnung (DSGVO) hat “Stand der Technik” weiter an Brisanz gewonnen. Beide Gesetze verlangen die Einhaltung oder mindestens die Berücksichtigung des “Stands der Technik” beim Einsatz technischer und organisatorischer Maßnahmen.
Obwohl „Stand der Technik“ in vielen Bereichen der Gesetzgebung seit Langem fest verankert ist, wird er regelmäßig von allen Beteiligten inkonsequent verwendet. In der Veranstaltung ordneten die Referenten den „Stand der Technik“ sachlich und nachvollziehbar zu und sie lieferten methodische Ansätze, um ihn von ähnlich lautenden Begriffen abzugrenzen.
Der Fachvortrag vor einem Fachpublikum aus öffentlich bestellten und vereidigten (ö.b.u.v.) Sachverständigen und Rechtsanwälten hat enorm Spaß gemacht. Durch kritische Fragen, konstruktiven Austausch und wertvolle Inhalte bleibt die Veranstaltung den Referenten und dem Fachpublikum für eine lange Zeit positiv in Erinnerung.
Tomasz LawickiFachvortrag beim Arbeitskreis EDV und Recht (AKEUR)

KES Sonderausgabe zu Cebit 2017

(Neu-) Entdeckung des “Stand der Technik”

Der „Stand der Technik“ als vermeidlich „neue“ Erfindung der aktuellen Gesetzgebung bringt Unternehmen in die schwierige Lage, etwas zu erfüllen, was nicht hinreichend definiert ist. Was jedoch nicht konkret definiert ist, bietet viel Raum für Interpretationen. Im Streitfall wird die Rechtsprechung entscheiden, ob das geforderte Sicherheitsniveau eingehalten wurde. Unternehmen können jedoch vorsorgen und sich mit dem Thema rechtzeitig auseinander setzen.

Tomasz LawickiKES Sonderausgabe zu Cebit 2017

Informationstag “Umsetzung des IT-Sicherheitsgesetzes in der Unternehmenspraxis”

Gelungene Veranstaltung mit aktuellen Inhalten

Fast täglich zeigen Meldungen zu IT-Sicherheitsvorfällen in Unternehmen und Behörden, dass auch in Deutschland dringender Handlungsbedarf besteht. Dennoch war es ein absoluter Zufall, dass ein Tag vor der lang geplanten TeleTrusT-Informationsveranstaltung am 29.11.2016 ein Hackerangriff auf die DSL-Router bekannt wurde. Somit war die Veranstaltung brand aktuell.

Initiiert wurde die Informationsveranstaltung durch den Arbeitskreis “Stand der Technik” des Bundesverbands für IT-Sicherheit, TeleTrusT und fokussierte die Vorgaben aus dem IT-Sicherheitsgesetz. An der Veranstaltung haben über 60 Besucher unterschiedlicher Branchen teilgenommen. Anhand von Beispielen haben die Referenten die Umsetzung der IT-SiG Vorgaben erläutert. Neben den spannenden Vorträgen konnten die Teilnehmer branchenübergreifende Kontakte knüpfen und sich über aktuelle Themen austauschen.

Die Moderation der Veranstaltung hat Spaß gemacht und gezeigt, dass die gewählten Themen zeitaktuell und der Bedarf am Informationsaustausch groß ist.

Den Link zur Veranstaltung, sowie die verwendeten Präsentationen finden Sie unter: https://www.teletrust.de/veranstaltungen/it-sicherheitsgesetz/

 

Tomasz Lawicki_100x100

TOMASZ LAWICKI
Mehr über Tomasz Lawicki

Tomasz LawickiInformationstag “Umsetzung des IT-Sicherheitsgesetzes in der Unternehmenspraxis”

BvD News 2/2016

Bestimmung des “Stands der Technik”

Im Juli 2015 trat das IT-Sicherheitsgesetz (IT-SiG) in Kraft. Damit wurde ein branchenübergreifendes Fundament für die nachhaltige Verbesserung der IT-Sicherheit in Deutschland geschaffen. Obwohl sich IT-SiG augenscheinlich an die sogenannten Betreiber kritischer Infrastrukturen (KRITIS-Betreiber) richtet, sind auch die Nicht-KRITIS-Betreiber mittelbar und unmittelbar dazu verpflichtet, den geforderten „Stand der Technik“ einzuhalten, denn die Verpflichtung zur Einhaltung der gesetzlichen Vorgaben werden die KRITIS-Betreiber bei ihren Dienstleistern vertraglich eingefordern. Eine weitere Verpflichtung beruht auf den mit dem IT-SiG eingeführten Änderungen im Telemediengesetz (TMG). Dort wird zumindest die Berücksichtigung des „Stands der Technik“ klar gefordert und zwar unabhängig von der KRITIS-Einordnung.

Doch was bedeutet „Stand der Technik“ konkret? Wie kann man ihn nachweisen und die geforderten technischen und organisatorischen Maßnahmen umsetzen? Welche Maßnahmen gilt es mindestens zu berücksichtigen? Diese Fragen werden weder im IT-SiG noch in der bisher veröffentlichten KRITIS-Verordnung zur Bestimmung der KRITIS-Betreiber beantwortet.

In der Gesetzgebung wird der Begriff „Stand der Technik“ gerne verwendet, weil er zeitlos, unverbindlich, aber dennoch zweckdienlich ist. Einerseits wird die vom Gesetzgeber gewollte Zielrichtung vorgegeben, andererseits bleibt der Gesetzestext unabhängig von der technologischen Entwicklung entkoppelt und ist somit stets aktuell. Doch wenn es darum geht, den „Stand der Technik“ einzuhalten und gar nachzuweisen, wird es für die Betroffenen schwierig, diesen praxistauglich zu bestimmen.

Der „Stand der Technik“ muss von den begrifflich ähnlich lautenden Generalklauseln wie „allgemein anerkannte Regeln der Technik“ und „Stand der Wissenschaft und Technik“ abgegrenzt werden.

Begrifflich ist der „Stand der Technik“ zwischen den beiden Generalklauseln anzusehen.[1]

Sollen bereits implementierte oder erst zu planende Maßnahmen eingeordnet werden, bedarf es einer Methodik mit eindeutigen und nachvollziehbaren Kriterien.[2] Die Methodik muss es ermöglichen, die Maßnahmen objektiv zu bewerten, mit Alternativen zu vergleichen und zu dokumentieren.

Neben den einzelnen Maßnahmen und deren Alternativen muss auch die Gesamtheit der Maßnahmen betrachtet werden, denn die Wirksamkeit der eingesetzten Maßnahmen ist nur so gut, wie ihr schwächster Bestandteil.

Für die initiale Analyse wird auf die vom TeleTrusT, Bundesverband für IT-Sicherheit im Mai dieses Jahres veröffentlichte „Handreichung zum Stand der Technik im Sinne des IT-Sicherheitsgesetzes“ verwiesen.[3] Das Dokument kann als Referenz für Vereinbarungen zu Sicherheitsmaßnahmen bzw. für die Einordnung implementierter Sicherheitsmaßnahmen dienen. Da die heutigen, als „Stand der Technik“ geltenden, Maßnahmen aufgrund der evolutionsbedingten Verschiebung vielleicht schon morgen eher den „allgemein anerkannten Regeln der Technik“ zuzuordnen sind, muss ihre Aktualität fortlaufend geprüft werden.

Auch die Europäische Datenschutz-Grundverordnung (DS-GVO) fordert bei der Umsetzung von technischen und organisatorischen Maßnahmen die Berücksichtigung des „Stands der Technik“. Auch in diesem Fall wurden die geforderten Schutzmaßnahmen nicht eindeutig konkretisiert. Der Arbeitskreis „Stand der Technik“ des TeleTrust wird daher weitere Unterstützung leisten und die oben erwähnte Handreichung im Hinblick auf die datenschutzrechtlichen Bestimmungen aus technischer Sicht ergänzen. So kann die Forderung zur Einhaltung des „Stands der Technik“ als verbindendes Element eine Brücke zwischen dem geforderten Datenschutz und der IT-Sicherheit schlagen.

[1] Vgl. Bundesministerium für Justiz und Verbraucherschutz, Handbuch der Rechtsförmlichkeit, Seite 4,
http://hdr.bmj.de/page_b.4.html

[2] Vgl. dazu Michaelis, Der „Stand der Technik“ im Kontext regulatorischer Anforderungen, DuD 2016, S. 458 ff.

[3] Die „Handreichung zum Stand der Technik im Sinne des IT-Sicherheitsgesetzes“ ist frei abrufbar auf der
Internetseite von TeleTrust unter: https://www.teletrust.de/publikationen/broschueren/stand-der-technik/.

Der Artikel ist erstmals erschienen in der Ausgabe 2/2016 der BvD News: https://www.bvdnet.de/bvdnews.html

Den Artikel finden Sie unter: BvDNews16-2_Tomasz_Lawicki

 

Tomasz Lawicki

TOMASZ LAWICKI
Mehr über Tomasz Lawicki

Tomasz LawickiBvD News 2/2016

Procilon AWK 2016

Vortrag zum “Stand der Technik”

Tomasz Lawicki, Associated Senior Auditor bei AC und Leiter des TeleTrusT-Arbeitskreises „Stand der Technik“ hat als Keyspeaker auf der procilon Anwenderkonferenz 2016 über die Herausforderungen, verbunden mit der Bestimmung und Einhaltung des „Stands der Technik“ gemäß IT-Sicherheitsgesetz (ITSiG), referiert.

An der zweitägigen Anwenderkonferenz haben über 90 Kunden und GeTomasz Lawicki auf der Procilon AWK 2016schäftspartner der procilon Group teilgenommen. Besonderes Interesse zeigten die Teilnehmer an den Anforderungen, die aus dem ITSiG für Betreiber kritischer Infrastrukturen (KRITIS) und NICHT-KRITIS Unternehmen resultieren sowie der Methodik zur Bestimmung des „Stands der Technik“.

Am zweiten Veranstaltungstag nahmen zahlreiche Teilnehmer die Möglichkeit wahr, ihre Fragen zum ITSiG im sogenannten „OpenSpace“ zu adressieren. Die Fragen wurden in die Aufgabenliste des Arbeitskreises „Stand der Technik“ aufgenommen und fließen in die neue Version der Handreichung ein.

Der Bestimmung und Nachweisbarkeit des „Stands der Technik“ wird in naher Zukunft eine immer größere Rolle zugesprochen. Denn der „Stand der Technik“ wird nicht nur durch ITSiG gefordert, sondern wurde als eine Mindestanforderung in der europäischen Datenschutz­grundverordnung (DSGVO) sowie der Anfang August in Kraft getretenen europäischen Richtlinie zur Gewährleistung hoher Netz- und Informationssicherheit (NIS-RL) fest verankert.

Aufgrund der gesetzlichen Vorgaben sind die europäischen Unternehmen gefordert, sich mit der Bestimmung und dem Nachweis des „Stands der Technik“ ihrer technischen und organisatorischen Maßnahmen zu beschäftigen. Spätestens ab dem zweiten Quartal 2018 sind die gesetzlichen Regelungen anwendbar. Es wird daher empfohlen, die verbleibende Zeit für die Vorbereitung und Umsetzung der Vorgaben zu nutzen.

Die Präsentation zur Veranstaltung erhalten Sie gerne auf Anfrage.

 

Tomasz Lawicki

TOMASZ LAWICKI
Mehr über Tomasz Lawicki

Tomasz LawickiProcilon AWK 2016