RGPD, PCA/PRA: Die Herausforderungen der Datenrettung
Die Datenrettung stellt Unternehmen vor große Herausforderungen. Das Inkrafttreten der GDPR (General Data Protection Regulation) und die Herausforderungen von BCP/PRA stellen sie in den Mittelpunkt der Verwaltung von Informationssystemen (IS). Und die Existenz des Unternehmens kann davon abhängen.
DSGVO: Rechtliche Verpflichtungen und Datenwiederherstellung
Die DSGVO, die europäische Verordnung über den Schutz personenbezogener Daten, die am 25. Mai 2018 in Kraft trat, ist keine Richtlinie, sondern ein Gesetz! Die Sanktionen, die von der CNIL für Verstöße verhängt werden, können bis zu 20 Millionen Euro oder 4% des Umsatzes des Unternehmens betragen.
Die Tragweite der DSGVO sollte nicht unterschätzt werden: Sie betrachtet als personenbezogene Daten alle Informationen, die sich auf eine „natürliche Person beziehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung (…) identifiziert werden kann“. (Art. 4(1)). Die kleinsten Kundenreferenzen, HR-Informationen, Daten, die mit einem digitalen Ausweis verbunden sind, usw. sind daher persönliche Daten.
Um der DSGVO zu entsprechen, müssen die Unternehmen daher alle notwendigen Maßnahmen ergreifen, um die Verarbeitung personenbezogener Daten zu sichern. Dies schließt den „Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Zerstörung oder Beschädigung“ ein (Art. 5(1)f)). Über den Datenschutz hinaus sieht die DSGVO vor, dass das Unternehmen „Mittel einsetzt, um die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Vorfall innerhalb einer angemessenen Frist wiederherzustellen “ (Art. 32(1)c)).
Datenrettung als Kernstück von PCA/PRA
Die Datenrettung ist daher keineswegs eine anekdotische Komponente der DSGVO. Zusätzlich zu den Bestimmungen in Artikel 32 verpflichtet die DSGVO die Unternehmen, der CNIL jeden Vorfall zu melden, der eine Verletzung personenbezogener Daten beinhaltet. Diese Meldepflicht muss unter anderem „die Maßnahmen beschreiben, die ergriffen wurden oder die der für die Verarbeitung Verantwortliche vorschlägt, um die Verletzung personenbezogener Daten zu beheben, gegebenenfalls einschließlich der Maßnahmen zur Abschwächung der möglichen negativen Folgen“ (Art. 33(3)d)).
Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Daten, wie sie in der DSGVO definiert sind, beeinflussen nun die Risikomanagementpolitik eines Unternehmens. Sie beeinflussen auch die Entwicklung des PCA/PRA (Business Continuity and Recovery Plan) und, falls erforderlich, PRI und PCI (Computer Continuity and Recovery Plan).
Datenverlust ist die am häufigsten auftretende Folge von Katastrophen, die ein Unternehmen betreffen können. Da der Zweck eines BCP/PRA darin besteht, die Wiederherstellung oder zumindest den Betrieb des Unternehmens im Falle eines Schadens zu ermöglichen, bleibt die Verfügbarkeit der Daten ein vorrangiges Thema. Natürlich ist es ratsam, die Auswirkungen auf den Umsatz und das Markenimage des Unternehmens zu begrenzen, aber die Ausarbeitung eines solchen Plans zielt nun auch darauf ab, die rechtlichen Auswirkungen zu begrenzen.
18 Juni 2018