Flut an Gesetzen, Richtlinien, Verordnungen Umgang mit zunehmenden rechtlichen Anforderungen an die IT

Anbieter zum Thema

PRW Rechtsanwälte

FAST LTA GmbH

FTAPI Software GmbH

Die Anzahl der Regularien und Normen, die in der IT umgesetzt werden müssen, nimmt zu. Doch wer ist zuständig und wie kann die Umsetzung sinnvoll und wirtschaftlich gemanagt werden?

Gesetze und Verordnungen, die Auswirkungen auf das Betreiben von IT-Landschaften haben, gibt es schon lange. Im Rahmen der Digitalisierung und der Harmonisierung von Normen innerhalb der EU nimmt die Anzahl dieser Normen weiter zu.

Hier nur einige Beispiele, die Liste ließe sich fortführen:

• Europäische Datenschutz-Grundverordnung (DSGVO): Die DSGVO trat am 25. Mai 2018 in Kraft.

• Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG).

• IT-Sicherheitsgesetz (IT-SiG) und IT-Sicherheitsgesetz 2.0 und NIS 2 („Network and Information Security“ - Netzwerk und Informationssicherheit).

Dazu stehen noch an bzw. sind in der Umsetzung:

• Data Governance Act (DGA),

• Data Act,

• Digital Services Act (DSA),

• Digital Markets Act (DMA),

• Artificial Intelligence Act (AIA).

Hier geht es nun nicht darum zu klären, welche Norm auf welche Organisation zutrifft, sondern vielmehr um die Frage, wie geht eine Organisation mit der Umsetzung der sie betreffenden Normen um? Betrachten wir dazu zunächst die möglichen Stakeholder kraft Gesetzes oder (arbeits-)vertraglicher Zuordnung:

Geschäftsführung (CEO, Vorstand): Die oberste Führungsebene ist letztlich verantwortlich für die Einhaltung aller gesetzlichen und regulatorischen Vorschriften.

Compliance Officer: Diese Rolle ist speziell dafür verantwortlich, Compliance-Programme zu entwickeln, zu überwachen und zu verwalten.

Chief Data Officer (CDO) oder Datenschutzbeauftragter (DSB): In Unternehmen, die mit großen Mengen personenbezogener Daten arbeiten, ist der CDO oder DSB speziell für die Einhaltung von Datenschutzgesetzen wie der DSGVO verantwortlich.

Rechtsabteilung: Die Rechtsabteilung bietet Beratung und Unterstützung, um sicherzustellen, dass das Unternehmen alle relevanten Gesetze und Vorschriften einhält.

IT-Abteilung: Die IT-Abteilung, unter der Leitung des Chief Information Officer (CIO), spielt eine entscheidende Rolle bei der Implementierung technischer Kontrollen und Systeme, die zur Einhaltung beitragen, besonders in Bezug auf Informationssicherheit und Datenschutz.

In vielen Fällen ist die Verantwortung für die Einhaltung der Regularien eine gemeinsame Anstrengung, die Koordination und Kommunikation zwischen verschiedenen Abteilungen und Ebenen innerhalb eines Unternehmens erfordert. Dies muss nicht, kann aber aufgrund der Seltenheit der konkreten Umsetzung im Tagesgeschäft zu erheblichem internem Aufwand führen.

Auch hat sich der Begriff Compliance oder hier speziell IT-Compliance als Oberbegriff platziert. Das ist jedoch keine Lösung. Compliance kann Regeln vorgeben, aber die Regeln nicht umsetzen oder Konflikte nicht lösen. Wenn vorgegeben wird, dass technologische Anwendungen versprechen, Compliance-Themen zu lösen, muss die Frage gestellt werden: „Wenn nicht, wer haftet dann?“.

Neue Wege einschlagen

Insgesamt heißt die hier vorgeschlagene Antwort mixsprachlich „Lösungseleganz im IT-Legal-Management“. Das ist ein nicht alltägliches Begriffselement und bedarf der Erklärung.

Lösungseleganz bedeutet, komplexe rechtliche und technologische Herausforderungen mit Effizienz und Präzision anzugehen. Die Lösung muss dabei logisch und nachvollziehbar sein. Nur wenn sie funktioniert, ist sie elegant. Elegante Lösungen für Probleme zeichnen sich durch ihre Einfachheit und Direktheit aus ohne unnötige Komplexität. Elegantes Denken meint, komplexe Ideen klar und prägnant auszudrücken, oft mit einer gewissen Originalität oder Kreativität.

IT-Legal-Management stellt sicher, dass die IT-Anforderungen rechtskonform umgesetzt werden, wodurch Risiken minimiert, operative Effizienz gesteigert und das Vertrauen von Kunden sowie Partnern in die Sicherheit und Integrität der Geschäftsprozesse gestärkt wird.

Lösungseleganz im IT-Legal-Management ist eine Disziplin (angeboten als Service), die sich mit der Steuerung und Verwaltung aller rechtlichen Fragen befasst, die im Zusammenhang mit der IT stehen. Betroffen sein können z. B. die gewählte IT-Infrastruktur (Cloud oder on-Prem., etc.), die eingesetzte Software, Softwareentwicklungen, Datenschutz, Cybersicherheit, digitale Lizenzen und der Schutz geistigen Eigentums innerhalb eines Unternehmens oder einer Organisation.

Die relevanten Rechtsthemen werden für die angesprochenen Stakeholder als Service professionell aufbereitet, so dass schnelle und gesicherte Entscheidungen innerhalb der Organisation getroffen werden können. Die Aufbereitung der relevanten Themen im Bereich IT-Legal-Management erfolgt durch interdisziplinäre Teams, die je nach Anforderung vom Service-Erbringer zusammengesetzt werden.

Die Zeitersparnis gegenüber dem klassischen In-House-Modell beträgt 80 Prozent, die Kostenersparnis 60 Prozent. Die Begründung für diese Verbesserung liegt in der Erfahrungskurve der Handelnden (mehr Erfahrung führt dazu, dass Aufgaben schneller erledigt werden können) und im Law of Practice. Dieses Gesetz resultiert daraus, dass die Leistung bezüglich einer Aufgabe mit zunehmender Übung verbessert wird.

Ein Beispiel für Lösungseleganz im Bereich IT-Legal-Management ist etwa die smarte Umsetzung der rechtlichen Vorgaben bei der Implementierung von Microsoft 365 (M365). Diese Anforderungen werden z. B. bei einer Implementierung für deutsche Organisationen gestellt (kleine Auswahl):

• DSGVO und weitere Datenschutzgesetze (BDSG - Bundesdatenschutzgesetz -, LDSG - Landesdatenschutzgesetz -): Organisationen in Deutschland müssen sicherstellen, dass ihre Nutzung von M365 im Einklang mit den Prinzipien der Datenschutzgesetze steht.

• Einbindung von Betriebsrat oder Personalrat: Es sind die Mitbestimmungsrechte bei der Einführung und Anwendung von technischen Einrichtungen zu beachten.

• Organisationen in regulierten Branchen, wie dem Finanz- und Gesundheitssektor, müssen zusätzlich branchenspezifische Vorschriften einhalten, die über die allgemeinen Datenschutz- und Sicherheitsanforderungen hinausgehen.

Betreiber Kritischer Infrastrukturen (KRITIS), zu denen Sektoren wie Energie, Wasser, Ernährung und Gesundheitswesen gehören, müssen besondere Anforderungen an die IT-Sicherheit erfüllen und signifikante Sicherheitsvorfälle melden. Hier wird NIS 2 weitere Anforderungen stellen.

Um diesen rechtlichen Anforderungen gerecht zu werden, sollten Organisationen in Deutschland u. a. folgende Maßnahmen ergreifen:

• Datenschutz-Folgenabschätzung (DSFA oder DPIA - Data Protection Impact Assessment): Vor der Implementierung von M365 sollte eine DPIA durchgeführt werden, um potenzielle Risiken für die Rechte und Freiheiten natürlicher Personen zu identifizieren und zu mindern.

• Auftragsverarbeitungsvertrag (AVV): Mit Microsoft als Anbieter von M365 muss ein AVV abgeschlossen werden, der die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO regelt.

• Technische und organisatorische Maßnahmen (TOM): Implementierung geeigneter TOM, um ein hohes Sicherheitsniveau für die verarbeiteten Daten zu gewährleisten.

• Schulung und Bewusstseinsbildung: Mitarbeitende sollten hinsichtlich der datenschutzrechtlichen Anforderungen und der sicherheitsbewussten Nutzung von M365 geschult werden.

Die rechtlichen und organisatorischen Themen betreffen somit eine Vielzahl von notwendig zu Beteiligenden. Eine Lösungseleganz im Bereich IT-Legal-Management bei M365 sieht wie folgt aus: Eine Softwarelösung prüft den bereits vorhandenen Tenant auf seine Einstellungen oder gibt Vorgaben für die Einstellungen im Tenant. Erfahrene IT-Legal-Management Berater bereiten die Ergebnisse auf und geben den unterschiedlichen Stakeholdern die notwendigen Handlungsempfehlungen mit transparenter und nachvollziehbarer Begründung. Auf diese Weise werden erhebliche Ressourcen an Zeit und Geld bei der Implementierung oder rechtlichen Stabilisierung von M365 eingespart.

Meine Empfehlung

Wenn Sie rechtliche Vorgaben in der IT abbilden müssen, prüfen Sie, ob dazu ein IT-Legal-Management angeboten wird, und prüfen Sie dann, ob die Umsetzung über Lösungseleganz verfügt. Das ist dann der Fall, wenn die Lösung für sie transparent, logisch und nachvollziehbar in der Umsetzung und bei den Kosten ist.

(ID:50000354)