Fit für die EU-Datenschutz-Grundverordnung?
Ansonsten drohen ihnen bei Verstößen massive Bußgelder von bis zu 20 Millionen Euro oder vier Prozent ihres Jahresumsatzes. Auf was sollten Unternehmen, die SAP nutzen, in Zukunft achten und wie können sie sich vorbereiten?
Was bedeutet dies nun für Unternehmen? Welche Datensysteme sind besonders betroffen? Welche Schritte müssen bis 2018 umgesetzt werden, um den neuen Vorgaben zu entsprechen?
Das Stufensystem der neuen Datenschutzgrundverordnung sieht bereits Strafen von bis zu zwei Prozent des weltweit erwirtschafteten Jahresumsatzes vor, wenn Verarbeitungsvorgänge nicht ordnungsgemäß dokumentiert werden (Artikel 28).
Bei einer Verletzung der Datensicherheit sind Unternehmen verpflichtet, innerhalb von 72 Stunden die Behörden zu informieren (Artikel 31).
Nach der Definition der neuen Gesetzgebung handelt es sich auch um eine Datenschutzverletzung, wenn ein Mitarbeiter Einblick in Daten hat, die er für seine Tätigkeit nicht benötigt.
Zudem müssen Unternehmen dafür Sorge tragen, dass Mitarbeiter erkennen können, wann sie mit der Datenverarbeitung gegen Gesetze verstoßen oder unberechtigt Daten verarbeiten.
Der erste und wichtigste Schritt für alle Unternehmen ist es, zu prüfen, in welchen Systemen sie die von der Gesetzgebung betroffenen Daten vorhalten. Im zweiten Schritt sollte geprüft werden, ob das Unternehmen verlässlich nachvollziehen und nachweisen kann, was mit diesen Daten gemacht wird, wenn diese beispielsweise das System verlassen.
Im Zuge der immer komplexeren IT-Umgebungen ist es für Unternehmen eine große Herausforderung, nachzuvollziehen, welche Daten in welchen Systemen vorgehalten und über welche Kanäle sie eventuell geteilt werden.
Personenbezogene Daten sind besonders häufig in ERP-Systemen zu finden. Innerhalb dieser regulierten IT-Umgebung ist es relativ einfach, die Vorgaben für die neuen Datenschutzrichtlinien umzusetzen, wenn diese über Berechtigungsstrukturen und Audit-Logs verfügen.
Ist man also damit abgesichert?
Leider nein – denn sobald diese Daten aus dem System exportiert wurden, greifen die SAP-Berichtigungsstrukturen nicht mehr und es kann auch nicht nachvollzogen werden, was anschließend mit den Daten passiert.
In den meisten Unternehmen erfolgen diese Datenexporte aber täglich, ohne dass sich die Mitarbeiter über mögliche Konsequenzen im Klaren sind. Dies betrifft besonders Wirtschaftszweige wie Energie (Strom, Öl und Gas), Verkehr (Luft, Schiene, Wasser und Straße), Infrastrukturzweige wie Trinkwasserversorgung, Bank- und Finanzmarktinfrastrukturen, Handelsplätze, Gesundheitsdienstleister sowie digitale Infrastrukturen.
Nötig ist daher die Einführung von Audit- bzw. Protokollierungslösungen, die aufzeichnen, wer Daten einsieht, exportiert und weitergibt.
Zudem empfiehlt sich die Integration einer GRC-Lösung, damit im Falle von Regelverstößen Benachrichtigungen an die Verantwortlichen gehen.
Im Idealfall sollten die Datensätze jedoch bereits bei ihrer Entstehung klassifiziert werden. Sensible, von der Gesetzgebung betroffene Daten können dann für ihren gesamten Lebenszyklus mit entsprechenden Regeln versehen werden.
So können sie beispielsweise nur für die interne Nutzung oder für bestimmte Personen freigegeben werden, oder der Download spezieller Daten wird komplett gesperrt.
Zudem werden die Mitarbeiter so für das Thema sensibilisiert und auf mögliche Verstöße hingewiesen. Die Einführung eines Rights-Management-Systems (RMS) hilft dabei, einer Verletzung der Datensicherheit (Artikel 31) vorzubeugen und die Nutzung der Daten auch außerhalb des ERP-Systems nachzuweisen oder zu beschränken.
Die neue Gesetzgebung sieht ebenfalls vor, dass die meisten Unternehmen einen Datenschutzbeauftragten ausweisen müssen (Artikel 35). Für die Verantwortlichen ist nun der ideale Zeitpunkt, die interne Situation zu überprüfen, geeignete Maßnahmen für die Sondierung und Sicherung der Daten einzuleiten und Lösungsangebote gründlich zu prüfen.
