IT, Datenschutz und Informationssicherheit: ein Zusammenhang, ein System

Was verbindet IT, Datenschutz und Informationssicherheit?

Informationssicherheit schützt alle Informationen eines Unternehmens vor Verlust der Vertraulichkeit, Integrität und Verfügbarkeit. Datenschutz schützt Menschen bei der Verarbeitung ihrer personenbezogenen Daten. IT-Sicherheit ist der technische Teil beider Disziplinen. Wer sie getrennt organisiert, macht vieles doppelt; wer sie zusammenführt, spart Aufwand und schließt Lücken.

Gesetz und Normen verlangen dabei vieles gemeinsam: Die DSGVO fordert in Art. 32 technische und organisatorische Maßnahmen, das BSI-Gesetz verlangt seit der NIS-2-Umsetzung in § 30 ein Risikomanagement für Informationssicherheit, und die ISO/IEC 27001 beschreibt das Managementsystem, mit dem sich beides steuern und nachweisen lässt.

Warum ein gemeinsamer Ansatz?

• Eine Bestandsaufnahme statt drei: Prozesse, Systeme, Dienstleister und Daten werden einmal erfasst und für ISMS, Verarbeitungsverzeichnis und NIS-2-Risikoanalyse genutzt.
• Ein Maßnahmenkatalog: Verschlüsselung, Zugriffsschutz, Backup oder Schulung erfüllen gleichzeitig Art. 32 DSGVO, § 30 BSIG und Anhang A der ISO/IEC 27001.
• Ein Vorfallprozess: Ein Sicherheitsvorfall kann gleichzeitig eine Datenpanne (Meldung binnen 72 Stunden an die Datenschutzaufsicht) und ein erheblicher Sicherheitsvorfall nach NIS-2 (Erstmeldung binnen 24 Stunden an das BSI) sein.
• Klare Verantwortung: Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen und überwachen; die DSGVO verpflichtet den Verantwortlichen, die Einhaltung nachweisen zu können (Art. 5 Abs. 2).