Gewährleistung von IT-Sicherheit Hallo Rechtspflichten zur Gewährleistung von IT-Sicherheit im Unternehmen 3. Bayerischer IT-Rechtstag im Künstlerhaus in München 21. Oktober 2004 Prof. Dr. Dirk Heckmann Lehrstuhl für Öffentliches Recht, Sicherheitsrecht und Internetrecht Universität Passau

Haftungsrisiken und Sanktionen Einleitung Haftungsrisiken und Sanktionen Ausgewählte Rechtsfragen Ausblick Zum Einstieg: OLG Hamm, MMR 2004, 487 IT-Sicherheit als Rechtsbegriff Akteure und Adressaten der IT-Sicherheitsgewährleistung Rechtssicherheit und IT-Sicherheit: Der rechtliche Rahmen IT-Sicherheitsgewährleistung: Qualitätsmaßstäbe, Realisierungshürden, Kostenfaktor IT-Sicherheitsbeauftragte: Entlastung, Risikominimierung, Haftungsfreistellung Zivilrechtliche Haftung Öffentlich-rechtliche Sanktionen Exkurs: Ökonomische Nachteile IT-Sicherheit als datenschutzrechtliches Postulat IT-Sicherheit als gewerberechtliche Zuverlässigkeitsanforderung Risikofrüherkennung als Unternehmenspflicht 2/12 Prof. Dr. Dirk Heckmann

- + ??? Verantwortungsbereich Zum Einstieg: OLG Hamm, MMR 2004, 487 § 254 Abs. 1 BGB: „überdeckendes Mitverschulden“ § 280 Abs. 1 BGB ??? Schadensursächlich ist eine unterlassene Datensicherung Verantwortungsbereich „Im gewerblichen Anwendungsbereich stellt eine zuverlässige, zeitnahe und umfassende Datensicherung eine Selbstverständlichkeit dar“ § 631 Abs. 1 BGB - + 3/12 Prof. Dr. Dirk Heckmann

IT-Sicherheit als Rechtsbegriff Schutzrichtung Schutz vor Informationsverlust Informationssperre „Sicherheit in der Informationstechnik im Sinne dieses Gesetzes bedeutet eine Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen 1. in informationstechnischen Systemen oder Komponenten oder 2. bei der Anwendung von Informations- technischen Systemen oder Komponenten.“ Legaldefinition gem. § 2 Abs. 2 BSIG: Informationsveränderung Informationsausspähung Informationsentwertung Zurechenbarkeit Verantwortlichkeit Verbindlichkeit 4/12 Prof. Dr. Dirk Heckmann

Unternehmensmitarbeiter Akteure und Adressaten der IT-Sicherheitsgewährleistung Geschäftspartner Unter- nehmens- aufsicht z.B. Aufsichtsrat Unternehmensleitung Unternehmensmitarbeiter z.B. Vorstand (AG), Geschäftsführer (GmbH) Leitende Angestellte z.B. Prokuristen Mitarbeiter z.B. Administratoren Kunden Behörden Drittbeauftragte 5/12 Prof. Dr. Dirk Heckmann

IT-Sicherheit zwischen Akzeptanzfaktor und Haftungsrisiko Akzeptanzrisiko Unternehmensseriosität Gewährleistung zahlreiche organisatorische und technische Pflichten Novellierung des BDSG KonTraG gesetzgeberische Tätigkeit im bereichsspezifischen Datenschutz 6/12 Prof. Dr. Dirk Heckmann

IT-Sicherheit: Pflichten und Obliegenheiten Zunahme der Verbindlichkeiten Direkt normierte rechtliche Pflichten Rechtsverlust nicht dispositiv einklagbar allg. Sorgfaltspflichten konkrete Leistungspflichten Gesetzliche Obliegenheiten Rechtsverlust nicht dispositiv nicht einklagbar z.B. § 242 BGB Vertragliche (Neben-) Pflichten Rechtsverlust dispositiv einklagbar aus Vertrag Vertragliche Obliegenheiten Rechtsverlust aber dispositiv nicht einklagbar i.R.d. Vertrages über Versicherungs- Schutz aus § 6 VGG Indirekt normierte rechtliche Pflichten fakultativ nahezu sanktionslos IT-Grundschutzhandbuch des BSI 7/12 Prof. Dr. Dirk Heckmann

Haftungsrisiken und Sanktionen Öffentliches Recht Zivilrecht Sonstige Nachteile finanzielle Einbußen Einschränkung der Handlungsfreiheit Nachteile aus Ob-liegenheitsverletzung Schadensersatz Geldbuße, Geldstrafe Wettbewerbsrechtliche Abmahnung Gewerberechtliche Aufsichtsmaßnahme Verlust von Versicherungsschutz Nichtberücksichtigung bei öff. Auftragsvergabe Herabstufung in Bonität Verweigerung des Wirtschaftsprüfer - Testats 8/12 Prof. Dr. Dirk Heckmann

Öffentliches Datensicherheitsrecht Ziviles IT-Sicherheit und unternehmerische Verantwortung Zivilrechtliches Unternehmensrecht Öffentlich-rechtliches Unternehmensrecht Öffentliches Datensicherheitsrecht Ziviles Maßstäbe ? IT-Sicherheit Kaufmännische Sorgfalt Gewerberechtliche Zuverlässigkeit 9/12 Prof. Dr. Dirk Heckmann

Auf dem Weg zum IT-Sicherheits-GAU fortschreitende betriebswirtschaftliche Notwendigkeit einer IT-Nutzung im Unternehmen Fehlen einer integrierten Sicherheits- architektur Rechtsun- sicherheit Faktor Mensch Komplexität der IT-Systeme unter permanenten Technologiewandel knappe Budgets fehlendes technisches Know How 10/12 Prof. Dr. Dirk Heckmann

Der IT-Sicherheitsbeauftragte IT-System Geschäftspartner IT-Sicherheitsbeauftragter Kunden Unternehmen (erstellt) nutzt partizipieren Sicherheitskonzept reguliert delegiert entlastet überwacht vertrauen 11/12 Prof. Dr. Dirk Heckmann

Vielen Dank für Ihre Aufmerksamkeit Tschüss Univ.-Prof. Dr. jur. Dirk Heckmann Mitglied des Bayerischen Verfassungsgerichtshofes Lehrstuhl für Öffentliches Recht, Sicherheitsrecht und Internetrecht Innstraße 40 94032 Passau Tel.: 0851 / 509-2291 Fax: 0851 / 509-2292 Mail: heckmann@uni-passau.de Internet: http://www.mein-jura.de 12/12 Prof. Dr. Dirk Heckmann