Datenstrategie und Datensicherheit Wie die Datenstrategie der EU die Security beeinflusst

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Die Europäische Datenstrategie will die EU an die Spitze einer datengesteuerten Gesellschaft bringen. Ein Binnenmarkt für Daten soll dazu eine EU-weite und branchenübergreifende Datenweitergabe möglich machen. Ohne die richtige Security wird dies aber nicht gelingen. Deshalb sollten Security-Verantwortliche die Datenstrategie der EU genau in den Blick nehmen.

Wie eng Security-Konzepte und rechtliche Vorgaben zusammenhängen, zeigt sich beispielhaft an der Datenschutz-Grundverordnung (DSGVO) der EU. Viele Unternehmen in Deutschland haben ihre IT-Sicherheitsstrategie überprüft und ergänzt, um den Anforderungen der DSGVO gerecht zu werden.

So ist es nicht verwunderlich, wenn nicht nur die Datenschutzbeauftragten in den Unternehmen die DSGVO auf ihrer Agenda haben, sondern auch die Security-Verantwortlichen. Allerdings ist es für die Security-Abteilung zu wenig, den Datenschutz als rechtliche Vorgabe zu berücksichtigen.

Bekanntlich geht es bei Datensicherheit nicht nur um die Sicherheit personenbezogener Daten, sondern um alle zu schützenden Daten. Auch für Daten ohne jeden Personenbezug müssen die Schutzziele der Vertraulichkeit, Integrität und Verfügbarkeit gewährleistet sein.

Entsprechend sollten Security-Verantwortliche neben der DSGVO auch die gesamte Datenstrategie der EU berücksichtigen, um daraus mögliche Anforderungen an die Datensicherheit abzuleiten. Hier sind insbesondere der Data Governance Act und der Data Act zu nennen.

Der European Data Governance Act

Die EU-Kommission möchte mit Vorschriften für Daten-Governance dafür sorgen, dass in einem vertrauenswürdigen europäischen Rahmen das Potenzial der ständig wachsenden Datenbestände besser ausgeschöpft werden kann. Der Data Governance Act soll den unionsweiten Datenaustausch erleichtern und so den gesellschaftlichen Wohlstand mehren, sowohl den Bürgerinnen und Bürgern als auch den Unternehmen mehr Kontrolle über ihre Daten geben und deren Vertrauen stärken und als Alternative zur Praxis der großen Technologieplattformen ein alternatives europäisches Modell für den Umgang mit Daten bieten, wie die EU-Kommission erklärt.

Dazu die Exekutiv-Vizepräsidentin für ein Europa für das digitale Zeitalter, Margrethe Vestager: „Sie müssen nicht alle Daten teilen. Aber wenn Sie Daten teilen und diese sensibel sind, sollten Sie die Möglichkeit haben, dies in einer Weise zu tun, in der die Vertrauenswürdigkeit und der Schutz der Daten gewährleistet werden. Wir wollen Unternehmen, aber auch Bürgerinnen und Bürgern die Instrumente an die Hand geben, mit denen sie die Kontrolle über ihre Daten behalten. Auch wollen wir das Vertrauen schaffen, dass Daten im Einklang mit den europäischen Werten und Grundrechten behandelt werden.“

Wie in der Datenstrategie angekündigt, soll die Verordnung die Grundlage für eine neue europäische Art der Daten-Governance schaffen, die mit den Werten und Grundsätzen der EU, wie dem Schutz personenbezogener Daten (DSGVO), dem Verbraucherschutz und den Wettbewerbsvorschriften, im Einklang steht. Sie bietet eine Alternative zur Datenpraxis der großen Technologieplattformen, die sich mit ihren Geschäftsmodellen, die sich auf die Kontrolle großer Datenmengen stützen, eine große Marktmacht aneignen können.

Für Security-Verantwortliche ist es wichtig zu wissen, dass die Verordnung unter anderem vorsieht: eine Reihe von Maßnahmen zur Stärkung des Vertrauens in die gemeinsame Nutzung von Daten, da fehlendes Vertrauen derzeit ein großes Hindernis darstellt und hohe Kosten verursacht, die neuartige Funktion von Datenmittlern als vertrauenswürdige Organisatoren der gemeinsamen Datennutzung, sowie Mittel und Wege, mit denen Europäerinnen und Europäer die Kontrolle über die Nutzung der von ihnen erzeugten Daten erlangen können.

Offensichtlich kann ohne Security kein Vertrauen gestärkt werden, es kann keine vertrauenswürdigen Datenmittler geben und auch keine zuverlässige Kontrolle über die selbst erzeugten Daten.

Mit dem Daten-Governance-Gesetz werden deshalb Schutzvorkehrungen für Daten des öffentlichen Sektors und Datenvermittlungsdienste getroffen, um die unrechtmäßige internationale Übertragung nicht personenbezogener Daten oder den unrechtmäßigen internationalen Zugang von Regierungsorganisationen dazu zu vermeiden. Für personenbezogene Daten gibt es in der EU bereits ähnliche Schutzvorkehrungen im Rahmen der DSGVO.

Insbesondere kann die EU-Kommission auch hier Angemessenheitsbeschlüsse erlassen, mit denen erklärt wird, dass bestimmte Drittländer angemessene Sicherheitsvorkehrungen für die Nutzung von aus der EU übertragenen nicht personenbezogenen Daten bieten. Diese Beschlüsse würden den Angemessenheitsbeschlüssen für personenbezogene Daten im Rahmen der DSGVO ähneln.

Der European Data Act

Das Datengesetz (Data Act) ist ein weiterer Pfeiler der europäischen Datenstrategie. Die neuen Maßnahmen sollen die im November 2020 vorgeschlagene Verordnung über die Data Governance ergänzen. Während die Data Governance-Verordnung die Prozesse und Strukturen schafft, stellt das Datengesetz klar, wer aus den Daten und unter welchen Bedingungen Mehrwerte schaffen kann. Das Datengesetz soll Fairness gewährleisten, indem Regeln für die Nutzung von Daten festgelegt werden, die von Internet of Things (IoT)-Geräten generiert werden.

Margrethe Vestager, die für das Ressort „Ein Europa für das digitale Zeitalter“ zuständige Exekutiv-Vizepräsidentin der EU-Kommission, erklärte dazu: „Wir wollen Verbrauchern und Unternehmen noch mehr Mitspracherecht darüber einräumen, was mit ihren Daten geschehen darf, indem klargestellt wird, wer zu welchen Bedingungen Zugang zu den Daten hat. Dies ist ein zentraler Digitalgrundsatz, der zur Schaffung einer robusten und fairen datengesteuerten Wirtschaft beitragen und Leitsatz für den digitalen Wandel bis 2030 sein wird.“

Security-Verantwortliche sollten wissen: Das Datengesetz beinhaltet insbesondere Mittel für Behörden für den Zugang zu und die Nutzung von Daten im Besitz des Privatsektors, die unter besonderen Umständen und vor allem bei öffentlichen Notständen wie Überschwemmungen und Waldbränden benötigt werden oder aber zur Wahrnehmung eines rechtlichen Mandats, sofern Daten nicht anderweitig verfügbar sind, ebenso neue Vorschriften, damit Kunden effektiv wechseln können zwischen Anbietern von Cloud-Diensten, zudem führt der Data Act Schutzmaßnahmen gegen unrechtmäßige Datenübermittlungen ein.

Auch hier sind Security-Maßnahmen gefragt, um die Ziele des Data Acts auch erreichen zu können. Es zeigt sich: Die rechtlichen Vorgaben, die sich aus der Datenstrategie der EU ergeben, wie der Data Governance Act und der Data Act, sind genau wie die DSGVO ein Auftrag an die Security, denn nur mit den Maßnahmen der Datensicherheit kann man gewährleisten, dass Dritte nicht das verhindern, was man eigentlich in der EU erreichen will, eine selbstbestimmte Datenkontrolle und eine faire Datennutzung.

(ID:48579352)