Die heutige Bedeutung von Internet und Informationstechnik für die Gesellschaft und eine damit zusammenhängende Abhängigkeit bedarf keiner ausführlichen Erläuterung. Informationstechnik ist allgegenwärtig; sie ist aus dem wirtschaftlichen und gesellschaftlichen Leben nicht mehr wegzudenken. Insbesondere die Nutzung von Informations- und Kommunikationstechnologie in Unternehmen hat einen unaufhaltbaren, stetigen Zuwachs.
Weniger bewusst ist man sich oft allerdings über die damit verbundenen Gefahren und Risiken. In der jüngsten Zeit sind Gefahren und Schäden durch Viren zwar rückläufig gewesen, aber es kam vermehrt zu Bedrohungen durch Spyware, Trojaner, sog. Phishing-Attacken oder Angriffe von Bot-Netzen. Sorgen solche Sicherheitsrisiken dann erst einmal für den Ausfall von Computern und den damit verbundenen Prozessen, so müssten viele Unternehmen ihren Betrieb zumindest für einen gewissen Zeitraum einstellen. Der Flug- und Bahnverkehr könnte zum Stillstand kommen, Finanzmärkte blieben geschlossen. Nach Vergegenwärtigung der genannten Szenarien scheint eine gesetzliche Pflicht der Unternehmen, solche IT-Schadensfälle durch ausreichende Sicherheitsmaßnahmen zu verhindern, selbstverständlich zu sein. Es fragt sich in diesem Zusammenhang allerdings, wie es zu erklären ist, dass nach einer Studie nur 50% der Unternehmen organisatorisch auf einen Hackerangriff vorbereitet sind und über einen entsprechenden Notfallplan verfügen. Nur 28% verfügen ferner über externe Ausweichsysteme, wenn ihre IT ausfällt.
Durch die zunehmende Digitalisierung des Wirtschafts- und Gesellschaftslebens nimmt auch die digitale Datenmenge ständig zu. Geheimhaltungsbedürftige Entwicklungs-, Kunden- oder Patientendaten sind somit auch vermehrt den oben genannten Gefahren ausgesetzt.
Diese Diskrepanz zwischen möglichen Schadensfolgen beim Ausfall von IT-Systemen und z.T. unzureichenden Sicherheitsvorkehrungen in den Unternehmen gegen Angriffe und Ausfälle, gibt den Grund für eine ausführliche Erörterung der aufgeworfenen Problemstellung.
Es muss daher geklärt werden, inwiefern Unternehmen, in Form ihrer Leitungsorgane, überhaupt dazu verpflichtet sind Maßnahmen zu ergreifen, um ausreichende IT-Sicherheitsstandards zu installieren und somit oben genannte Szenarien zu verhindern. Ferner soll die Arbeit klären, ob die bestehenden gesetzlichen Regelungen überhaupt einen ausreichenden Schutz bieten können. [...]
Auf einen Blick
- Untersuchung horizontaler und vertikaler Überwachungspflichten bei delegierter IT-Sicherheit
- Entwurf eines IT-Sicherheitsfonds zur Unterstützung von Grundschutzzertifizierungen
- 88 Quellen im Literaturverzeichnis
Inhaltsverzeichnis
A.) Einführung
I.) Problemstellung
II.) Gang der Darstellung
B.) Grundlagen
I.) Begriffsbestimmungen
1.) Unternehmen
2.) Leitungsorgane
a.) Der (GmbH-)Geschäftsführer
b.) Der Vorstand der Aktiengesellschaft
c.) Der Aufsichtsrat einer AG und GmbH
d.) Gesellschafter der GbR, OHG und der KG
e.) IT-Verantwortliche als Leitungsorgane?
3.) IT-Sicherheit
a.) Definition von IT-Sicherheit
b.) Sich aus der Definition ergebende Sicherheitsziele
aa.) Schutz der Verfügbarkeit von Informationen
bb.) Schutz der Unversehrtheit von Informationen
cc.) Schutz der Vertraulichkeit von Informationen
c.) Weiterführende Schutzrichtungen im Kontext der IT-Sicherheit
aa.) Integrität und Authentizität
bb.) Schutz des informationellen Selbstbestimmungsrechts
cc.) Zurechenbarkeit und Verbindlichkeit der Informationen
d.) Fazit
4.) (IT-Sicherheits-) Standards
II.) Notwendigkeit einer IT-Sicherheit in der heutigen Gesellschaft?
C.) Das bestehende Regelungssystem
I.) Problematik einer Querschnittsmaterie
II.) Gesetzlich verankerte IT-Sicherheitsstandards
1.) Horizontale Regelungen
a.) Datenschutzrechtliche Bestimmungen
aa.) Pflicht zur Bestellung eines Datenschutzbeauftragten nach §4f BDSG
bb.) Technische und organisatorische Maßnahmen nach §9 i.V.m. der Anlage zu §9 BDSG
cc.) Die Auftragsdatenverarbeitung nach §11 BDSG
dd.) Bewertung
(1) Die Effektivität des Datenschutzbeauftragten
(2) Ausreichender Schutz durch §9 i.V.m. der Anlage zu §9 S.1 BDSG?
b.) Allgemeine gesetzliche Sorgfaltspflichten
aa.) Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich und seine Auswirkungen
(1) Auswirkungen auf das Aktiengesetz
(2) Auswirkungen auf das HGB
bb.) Sorgfaltspflichten aus dem GmbHG
cc.) Sorgfaltspflichten der GbR, OHG und KG
dd.) Pflicht zur ordnungsgemäßen Buchführung
(1) Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme
(2) Grundsätze ordnungsgemäßer Buchführung bei Einsatz von Informationstechnik
c.) Verlagerung der Pflichten durch IT-Outsourcing?
d.) Bewertung
2.) Vertikale Regelungen
a.) Telekommunikationsrechtliche Vorschriften aus dem TKG
aa.) Der Anwendungsbereich des TKG
bb.) Die einzelnen Pflichten
(1) Wahrung des Fernmeldegeheimnisses nach §88 TKG
(2) Vorsorge- und Sicherungspflichten aus §109 TKG
cc.) Bewertung
(1) Überflüssigkeit von §109 TKG?
(2) Mangelnde Konkretisierung des §109 TKG?
b.) Vorschriften aus dem Finanzwesen
aa.) Das Kreditwesengesetz
bb.) Das Wertpapierhandelsgesetz
cc.) Untergesetzliche Regelungen
dd.) Fazit
III.) Pflicht zur Überwachung gesetzlicher IT-Sicherheitsstandards
1.) Überwachungspflichten horizontaler Regelungen
2.) Überwachungspflichten vertikaler Regelungen
3.) Überwachungspflichten bei Delegation
IV.) Standards, technische Regelwerke und Normen
1.) Grundschutzhandbuch des Bundesamts für Sicherheit in der Informationstechnik
2.) DIN- und ISO-Normen
3.) Fazit
V.) Internationale Regelungen
1.) Sarbanes-Oxley Act
2.) Basel II
VI.) Nationaler Plan zum Schutz der Informationsinfrastrukturen
1.) Umsetzungsplan KRITIS
2.) Fazit
VII.) Strafrechtlicher Schutz der IT-Sicherheit
VIII.) Zwischenergebnis der kritischen Würdigung bestehender Regelungen
D.) Konsequenzen bei fehlender Umsetzung der Pflichten
I.) Haftung der Unternehmen
II.) Persönliche Haftung der Leitungsorgane
III.) Maßnahmen der Aufsichtsbehörden
IV.) Sonstige Folgen
V.) Fazit
E.) Ansätze zur Problemlösung
I.) Gesetzliche Lösungsmöglichkeiten
1.) Schaffung eines IT-Sicherheitsgesetzes
a.) Notwendigkeit und Ausgestaltung eines solchen Gesetzes
b.) Bedenken gegen die Schaffung eines IT-Sicherheitsgesetzes
2.) Überarbeitung vorhandener Regelungen
a.) Neugestaltung einfachgesetzlicher Vorschriften
aa.) Ansätze im BDSG
bb.) Ansätze im Handels- und Gesellschaftsrecht
cc.) Ansätze im TKG
b.) Aufwertung untergesetzlicher Institutionen
II.) Außergesetzliche Möglichkeiten zur Schaffung von IT-Sicherheit
1.) IT-Sicherheit als Wettbewerbsfaktor
2.) Sonstige Ansätze
F.) Resümee
Zielsetzung und Themen
Die Arbeit untersucht, inwiefern Leitungsorgane von Unternehmen zur Einführung und Überwachung ausreichender IT-Sicherheitsstandards verpflichtet sind. Sie analysiert die einschlägigen rechtlichen Vorgaben, prüft deren Schutzwirkung und erörtert Ansätze zur Behebung festgestellter Defizite.
- Begriffe, Schutzziele und Bedeutung der IT-Sicherheit
- Datenschutzrechtliche und gesellschaftsrechtliche Organisationspflichten
- Branchenspezifische Vorgaben für Telekommunikation und Finanzwesen
- Überwachung, Delegation und Auslagerung von Aufgaben
- Haftungsfolgen und Handlungsmöglichkeiten der Aufsichtsbehörden
- Gesetzliche und außergesetzliche Reformansätze
Auszug aus dem Buch
3.) Überwachungspflichten bei Delegation
In den meisten und überwiegend in den größeren Unternehmen, wird die Unternehmensleitung nicht alle Aufgaben selber wahrnehmen können und somit eine Reihe von Pflichten auf andere Mitarbeiter delegieren. Deshalb ist davon auszugehen, dass Leitungsorgane die oben dargestellten Pflichten zur Schaffung von IT-Sicherheit ebenfalls delegieren. Beim Outsourcing wurde festgestellt, dass dadurch die gesetzlichen Pflichten nicht abgeben werden können und stattdessen eine Überwachungspflicht bei der Unternehmensleitung bleibt. Nun soll aber geklärt werden, wie es bei innerbetrieblicher Aufgabenübertragung zu bewerten ist.
Zunächst können Aufgaben innerhalb der Geschäftsleitung verteilt werden (Horizontale Delegation). Grundsätzlich sind zwar Vorstände und Geschäftsführer gemeinschaftlich für die Unternehmensleitung zuständig und verantwortlich; eine Verteilung ist aber auch möglich und sinnvoll. Allerdings müssen gewisse Voraussetzungen einer solchen Geschäftsverteilung erfüllt sein, auf die es hier aber nicht vertieft einzugehen gilt, da es lediglich um etwaige Überwachungspflichten für den Fall der Delegation gehen soll. Liegt also eine solche Geschäftsverteilung vor, trägt der zuständige Geschäftsführer auch die Handlungsverantwortung. Bei den restlichen Geschäftsführern bleibt aber eine Informations- und Überwachungsverantwortung. Sie müssen sich dabei in regelmäßigen Abständen darüber informieren, ob der zuständige Mitgeschäftsführer seine Aufgaben ordnungsgemäß wahrnimmt. Werden also einzelne Aufgaben zur Einhaltung von gesetzlichen IT-Sicherheitsstandards auf andere Leitungsorgane übertragen, müssen die Übrigen die Befolgung überwachen.
Ferner können Leitungsorgane Aufgaben an untergeordnete Mitarbeiter delegieren (Vertikale Delegation). Vorausgesetzt sie sind nicht persönlich zur Aufgabenerfüllung verpflichtet. Auch hierbei bleibt die Unternehmensleitung nicht frei von Pflichten und die Geschäftsführung trifft sogar noch weitreichendere Anforderungen. Es sind laufende Kontrollen notwendig, also stichprobenartige, überraschende Überprüfungen und im Bedarfsfall auch das Ergreifen weiterer Aufsichtsmaßnahmen.
Diese Überwachungspflichten treffen alle Vorstands- oder Aufsichtsratsmitglieder, Geschäftsführer und geschäftsführende Gesellschafter. Im Ergebnis lässt sich also festhalten, dass die Leitungsorgane der Unternehmen eine Pflicht zur Überwachung von delegierten IT-Sicherheitspflichten trifft.
Zusammenfassung der Kapitel
A.) Einführung: Die Arbeit stellt die Risiken zunehmender IT-Abhängigkeit und die Frage nach den Pflichten der Unternehmensleitung vor. Anschließend erläutert sie Aufbau und Eingrenzung der Untersuchung.
B.) Grundlagen: Dieses Kapitel bestimmt die relevanten Unternehmensformen und Leitungsorgane sowie die Begriffe und Schutzziele der IT-Sicherheit. Es erläutert zudem deren gesellschaftliche und wirtschaftliche Bedeutung.
C.) Das bestehende Regelungssystem: Untersucht werden allgemeine und branchenspezifische Vorschriften, Überwachungspflichten sowie technische und internationale Regelwerke. Die Arbeit würdigt deren Ausgestaltung und praktische Umsetzung kritisch.
D.) Konsequenzen bei fehlender Umsetzung der Pflichten: Das Kapitel behandelt die Haftung von Unternehmen und Leitungsorganen, aufsichtsbehördliche Maßnahmen und weitere mögliche Folgen unzureichender IT-Sicherheit.
E.) Ansätze zur Problemlösung: Erörtert werden ein eigenständiges IT-Sicherheitsgesetz, Änderungen bestehender Vorschriften und eine stärkere Rolle untergesetzlicher Institutionen. Hinzu kommen Überlegungen zu Wettbewerb und freiwilligen Maßnahmen.
F.) Resümee: Der abschließende Teil bündelt die Bewertung des untersuchten Regelungsrahmens und ordnet die diskutierten Reformmöglichkeiten ein.
Schlüsselwörter
IT-Sicherheit, Leitungsorgane, Unternehmensleitung, Sicherheitsstandards, Datenschutz, Risikomanagement, Überwachungspflichten, Delegation, IT-Auslagerung, Organhaftung, Telekommunikationsrecht, Finanzaufsicht, IT-Grundschutz, IT-Sicherheitsgesetz
Häufig gestellte Fragen
Worum geht es in der Arbeit?
Die Arbeit untersucht die Verantwortung von Unternehmensleitungen für die Einführung und Überwachung von IT-Sicherheitsmaßnahmen.
Welche Themenfelder stehen im Mittelpunkt?
Im Mittelpunkt stehen Datenschutz, gesellschaftsrechtliche Sorgfaltspflichten, branchenspezifische Vorschriften, Überwachung, Haftung und mögliche Reformen.
Was ist die zentrale Forschungsfrage?
Gefragt wird, inwiefern Leitungsorgane ausreichende IT-Sicherheitsstandards gewährleisten und deren Einhaltung überwachen müssen und ob die bestehenden Regelungen hinreichenden Schutz bieten.
Welche wissenschaftliche Methode wird verwendet?
Die Arbeit verwendet eine rechtswissenschaftliche Analyse: Sie wertet gesetzliche und untergesetzliche Regelungen sowie juristische Literatur aus und würdigt unterschiedliche Auslegungen kritisch.
Was behandelt der Hauptteil?
Der Hauptteil untersucht allgemeine und branchenspezifische IT-Sicherheitspflichten, technische Regelwerke, Überwachungspflichten und mögliche Folgen ihrer Verletzung.
Welche Schlüsselwörter charakterisieren die Arbeit?
Zu den zentralen Begriffen zählen IT-Sicherheit, Leitungsorgane, Datenschutz, Risikomanagement, Überwachungspflichten und Organhaftung.
Wie behandelt die Arbeit die Delegation von IT-Sicherheitsaufgaben?
Sie unterscheidet zwischen der Aufgabenverteilung innerhalb der Geschäftsleitung und der Übertragung auf untergeordnete Mitarbeiter. Für beide Konstellationen untersucht sie verbleibende Informations- und Überwachungspflichten.
Welche Rolle spielt das IT-Grundschutzhandbuch?
Das Handbuch des Bundesamts für Sicherheit in der Informationstechnik wird als Leitfaden für Sicherheitsmaßnahmen und IT-Sicherheitsmanagement vorgestellt. Die Arbeit erörtert auch seine mögliche Bedeutung für gesetzliche Verweisungen.
Welche Reformmöglichkeiten werden betrachtet?
Die Arbeit behandelt unter anderem ein eigenständiges IT-Sicherheitsgesetz, die Überarbeitung bestehender Normen, erweiterte Befugnisse des Bundesamts für Sicherheit in der Informationstechnik und Anreize für Zertifizierungen.
- Quote paper
- Matthias Rodeck (Author), 2008, Inwiefern sind Leitungsorgane von Unternehmen verpflichtet, Maßnahmen für die Einhaltung ausreichender IT-Sicherheitsstandards zu ergreifen und deren Befolgung zu überwachen?, Munich, GRIN Verlag, https://www.grin.com/document/142688
