Neustart des „Stands der Technik“ erforderlich

 

Unter dem „Stand der Technik“ versteht jeder etwas anderes. Das wäre kein Problem, wenn nicht zahlreiche neue Gesetze von den Unternehmen verlangen würden, diesen bei ihrer IT-Sicherheit zu berücksichtigen: Denn Unternehmen sind verpflichtet, ihre Online-Angebote entsprechend zu schützen (§ 13 Abs. 7 TMG). Hier können Verstöße EUR 50.000 kosten. Die Datenschutz-Grundverordnung (Art. 32) knüpft an das Ignorieren des Stands der Technik Bußgelder bis EUR 10 Mio. oder bis 2% des weltweiten Vorjahresumsatzes.

Was der Stand der Technik ist, wie er zu ermitteln und die Angemessenheitskriterien anzuwenden sind bzw. wie zu dokumentieren ist, sagen weder das Gesetz noch die Aufsichtsbehörden. Damit wird IT-Sicherheit nicht gefördert, sondern gebremst! Deshalb habe ich auf dem BSI IT-Sicherheitskongress in Bonn eine Neudefinition des Stands der Technik vorgelegt und die Aufsichtsbehörden aufgefordert, Maßgaben zur Anwendung der Normen zu entwickeln. Die Debatte läuft (z. B. hier bei heise).

Tipp: Verträge mit IT-Bezügen auf Verpflichtung zum Stand der Technik prüfen.