DSGVO und Managed Cybersecurity: 10 technische Kontrollen

• Art. 32 Verlangt wirksame technische Sicherheit: Verschlüsselung, Vertraulichkeit, Datenwiederherstellung und regelmäßige Bewertung.
• 72 Stunden Die Regelfrist für die Meldung an die portugiesische Datenschutzbehörde CNPD, gerechnet ab Kenntnisnahme durch das Unternehmen, über ein eigenes Formular.
• Alles dokumentieren Jede Verletzung wird festgehalten, auch die, die nicht gemeldet werden.
• Art. 28 Wer Ihnen IT-Services erbringt und auf Ihre Daten zugreift, ist in der Regel Auftragsverarbeiter; der Vertrag muss diesen Artikel einhalten.

Die Verordnung (EU) 2016/679 schreibt keine Marken oder Produkte vor. Sie verlangt eine dem Risiko angemessene Sicherheit. Art. 32 Abs. 1 nennt Beispiele: Pseudonymisierung und Verschlüsselung; dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit; rasche Wiederherstellung des Datenzugangs nach einem Vorfall; und regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

In Managementbegriffen vier Garantien: Zugriff nur für die, die ihn brauchen, kontrollierte Änderungen, Wiederherstellung in angemessener Zeit und regelmäßige Überprüfung. Und personenbezogene Daten sind alles, was eine Person identifiziert: Name, E-Mail, Steuernummer, Adresse, Kundenakte, Gehaltsabrechnung.

1. Inventar personenbezogener Daten – Server, Microsoft 365, Abrechnung, externe Festplatten, Personalsoftware und alte Postfächer durchgehen. Ergebnis: eine Tabelle mit Datenart, System und Verantwortlichem.
2. Minimale Rechte – Berechtigungen nach Funktion: Der Vertrieb sieht keine Gehälter, der Empfang hat keinen Zugriff auf den Ordner der Geschäftsführung. Bei jedem Rollenwechsel werden sie erneut geprüft.
3. Verträge mit allen, die Daten in Ihrem Auftrag verarbeiten – IT-Dienstleister, Cloud, Lohnabrechnung. Art. 28 verlangt hinreichende Garantien und einen schriftlichen Vertrag, der Weisungen, Vertraulichkeit, Sicherheit, Bedingungen für Unterauftragsverarbeiter, Mitwirkung bei Verletzungen sowie Rückgabe oder Vernichtung der Daten am Ende regelt. Was zu prüfen ist, steht unter Ausstiegs- und Datenklauseln in einem IT-Vertrag.

4. Multi-Faktor-Authentifizierung – ein großer Teil der Einbrüche beginnt mit einem kompromittierten Passwort. Der zweite Faktor, meist auf dem Smartphone, muss E-Mail, Cloud und Fernzugriff schützen.
5. Verschlüsselung – eine der beiden Maßnahmen, die Art. 32 selbst nennt: verschlüsselte Festplatten in Laptops, verwaltete und gesperrte Smartphones, verschlüsselte Backups.
6. Updates mit fester Frist – Systeme ohne Patches sind der häufigste Weg zum Verlust von Integrität und Belastbarkeit. Legen Sie Installationsfristen fest und nehmen Sie Geräte außer Betrieb, die der Hersteller nicht mehr unterstützt.
7. In der Praxis zurückgespielte Datensicherungen – ohne getestete Wiederherstellung ist das Backup nur eine Hypothese. Wir empfehlen mindestens einen Test pro Quartal: siehe den 30-Minuten-Wiederherstellungstest und den Service Managed Backup.

8. Zugriffsprotokolle – Anmeldungen, Zugriffe auf sensible Ordner, Rechteänderungen. Bei einem Vorfall sind es diese Aufzeichnungen, mit denen sich der CNPD sagen lässt, welche Daten betroffen waren.
9. Reaktionsplan für die ersten 72 Stunden – wer entscheidet, wer die technischen Informationen sammelt, wer die Meldung ausfüllt. Alles vereinbart, bevor es gebraucht wird.
10. Schriftliche jährliche Überprüfung – die am häufigsten vergessene Anforderung von Art. 32. Eine Überprüfung pro Jahr mit dokumentierten Korrekturen ist der beste Nachweis, dass das Unternehmen sorgfältig gehandelt hat.

Art. 33 und die Leitlinien der CNPD legen die Meldung binnen 72 Stunden nach Kenntnisnahme fest, außer wenn die Verletzung kein Risiko für die Rechte der Betroffenen darstellt. Bei hohem Risiko verlangt Art. 34 zusätzlich die Benachrichtigung der Betroffenen selbst.

Zwei Details überraschen viele Unternehmen. Die Dokumentation ist auch dann Pflicht, wenn keine Meldung erfolgt. Und der Auftragsverarbeiter, der IT-Dienstleister eingeschlossen, muss den Kunden unverzüglich informieren. Ein verlorener Laptop ohne Verschlüsselung kann eine Verletzung darstellen; mit verschlüsselter Festplatte fällt die Risikobewertung anders aus.

In einem öffentlichen Auftrag für den Gemeindeverbund União de Freguesias de Massamá e Monte Abraão installierte und konfigurierte DataRoad einen neuen Server, setzte eine USV ein (Batterien, die die Geräte bei Stromausfall weiter betreiben), richtete lokale und Cloud-Backups ein und migrierte Daten und Konfigurationen. Das ist Verfügbarkeit, wie Art. 32 sie beschreibt: Daten an mehr als einem Ort gespeichert und wiederherstellbar. Lernen Sie das Projekt in Massamá und Monte Abraão kennen.

Wir setzen die technischen Kontrollen um und dokumentieren sie – Zugriffe, Verschlüsselung, Backups, Updates, Protokolle, Firewall. Rechtsberatung leisten wir nicht. DataRoad hatte in 11 Jahren nie einen Sicherheitsvorfall.

Jeder IT-Unlimited-Vertrag umfasst Sicherheit. Mit dem Plan Premium erhalten Sie zusätzlich unbegrenzten Vor-Ort-Support, nützlich, wenn physisch an einem Server oder Arbeitsplatz gearbeitet werden muss. Mehr zu Managed Cybersecurity für Unternehmen und den sieben internen Richtlinien, die jedes Unternehmen haben sollte.

• EUR-Lex – DSGVO, Verordnung (EU) 2016/679 (Art. 28, 32, 33 und 34)
• CNPD – Verletzungen personenbezogener Daten
• CNPD – Meldung einer Verletzung

In 10 Werktagen bewerten wir die zehn Kontrollen in Ihren Systemen und hinterlassen Ihnen schriftlich die Lücken und die Reihenfolge, in der sie zu schließen sind. Fordern Sie ein unverbindliches Angebot an.

Mehr als 10 Arbeitsplätze · Servicevertrag · Support per Fernwartung, vor Ort und telefonisch. Rufen Sie +351 211 459 950 * an oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.