NIS 2: zwischen Cybersicherheit und Nutzerüberwachung
Die Vorschriften zur Umsetzung der EU-Richtlinie NIS 2 (Network and Information Security 2) verpflichten Einrichtungen, umfangreiche Maßnahmen zur IT-Sicherheit zu ergreifen. Diese gehen zwangsläufig mit einer Verarbeitung personenbezogener Daten von Beschäftigten und Dritten einher. Es stellt sich die Frage, welche Rechtsgrundlage die Datenverarbeitung zum Zweck der Cybersicherheit erlaubt.
Die wichtigsten Maßnahmen zur Cybersicherheit sind in § 30 Abs. 2 BSI-Gesetz (BSIG) geregelt. Die Vorschrift enthält einen Maßnahmenkatalog, der sich unmittelbar an den Risikomanagement-Maßnahmen von Art. 21 Abs. 2 NIS 2 orientiert. Auch die bereichsspezifischen Umsetzungsvorschriften aus dem Energiewirtschaftsgesetz (EnWG), dem Sozialgesetzbuch V (SGB V) oder dem Telekommunikationsgesetz (TKG) verweisen entweder auf § 30 Abs. 2 BSIG oder greifen den Wortlaut von Art. 21 Abs. 2 NIS 2 auf.
§ 30 Abs. 2 BSIG
§ 30 Abs. 2 BSIG nimmt sämtliche Gefahren für die Sicherheit von Netz- und Informationssystemen in den Blick. Das bedeutet, dass nicht nur Cyberangriffe wie etwa ein unbefugter Zugang zu Netz- und Informationssystemen im Fokus stehen, sondern auch Ereignisse wie Brände, Überschwemmungen oder Stromausfälle.
Angemessene Maßnahmen
Im Kern verpflichtet § 30 BSIG die betroffenen Einrichtungen, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen, um die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten oder Dienste zu gewährleisten. Die Formulierung erinnert an Art. 32 DSGVO (Datenschutz-Grundverordnung). Auch Verantwortliche, deren Einrichtungen nicht als wichtige oder besonders wichtige nach dem BSIG einzuordnen sind, müssen geeignete technische und organisatorische Maßnahmen treffen. Art. 32 DSGVO nennt exemplarisch eini…
Weiterlesen mit Abo