Update der BSI TR
zur Kryptographie
Relativ geräuschlos hat das BSI am 12. März 2024 die jährliche Aktualisierung der auf seiner Webseite veröffentlichten vierteiligen Technischen Richtlinie "BSI TR-02102 - Kryptographische Verfahren:
Empfehlungen und Schlüssellängen" vorgenommen.
Neben zahlreichen kleineren Anpassungen -vor allem bei den Angaben zu den jeweiligen Verwendungszeiträumen- sind in der BSI TR-02102-1 vor allem die Ergänzungen zum Thema PQC interessant.
PS: Warum zwischen dem Datum in den pdf-Dateien und der Veröffentlichung auf der Webseite mehr als vier Wochen liegen, verstehen wahrscheinlich auch nur die Eingeweihten *Zwinkersmiley*
Unser Buch zum Thema
Datenschutz und IT-Compliance
Es ist vollbracht - und auch wenn das Buch schon seit Oktober 2023 auf dem Markt ist, freue ich mich immer noch wie Bulle, dass dieser lange Weg doch noch ein gutes Ende gefunden hat! Denn: Es war wie immer viel mehr Arbeit als gedacht, es hat wie immer viel mehr Zeit gekostet.
Herausgekommen ist ein Buch von Praktikern für Praktiker, das ich zusammen mit den beiden juristischen Kollegen Dennis Werner und Joerg Heidrich geschrieben habe. Ein Buch, was aus unserer Sicht ziemlich einzigartig ist: ein Fachbuch zum Thema Datenschutz und IT-Compliance für IT-Verantwortliche und Administratoren, interdisziplinär und vor allem praxisnah.
Wir hoffen, dass wir die avisierte Zielgruppe nicht enttäuschen, und freuen uns auf jeden Fall auf Feedback sowie auf hoffentlich viele positive Rezensionen *Zwinkersmiley*
Anforderungen
nach Art. 32 DSGVO
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind insbesondere auf Basis ihrer "Geeignetheit", ihrer "Angemessenheit" und ihrer "Verhältnismäßigkeit" auszuwählen. Bei der Frage der Verhältnismäßigkeit, die auch die Angemessenheit im engeren Sinne beschreibt, spielt vor allem auch der Stand der Technik eine bedeutende Rolle.
Doch wie beurteilen die (europäischen) Aufsichtsbehörden die Angemessenheit der getroffenen Maßnahmen?
Dieser Frage widmet sich die Übersicht, die Eleni Kosta zusammengestellt hat und die über die Website des EDPB zum Abruf bereit steht. Viel überraschend Neues erfährt der informierte Leser dabei nicht, wohl aber eine Bestätigung für viele potentiell mögliche - und hoffentlich im Einzelfall auch wirksam umgesetzte - Maßnahmen.
Um einen Überblick über die Anforderungen nach Art. 32 DSGVO aus Sicht der Aufsichtsbehörden zu bekommen, ist die Lektüre daher sehr zu empfehlen. Allerdings merkt man auch, dass es nicht einfach ist, die technische Weiterentwicklung - also den Stand der Technik (sic!) - im Rahmen einer solchen Zusammenstellung zu berücksichtigen, da die zitierten Entscheidungen tlw. eben schon in die Jahre gekommen sind.
Mit anderen Worten: Was gestern Gültigkeit hatte, muss heute nicht mehr stimmen. Daher muss man die in dieser Zusammenfassung genannten technischen und organisatorischen Maßnahmen stets im Zusammenhang mit dem aktuellen (technischen) Stand der Dinge betrachten und ggf. eine Neubewertung vornehmen. Eine Sache, die im Zusammenhang mit dem Begriff "Stand der Technik" (sic!) ja eigentlich auch selbst verständlich sein sollte *Zwinkersmiley*
Zur Frist der NIS-2-Umsetzung
durch das NIS2UmsuCG
Die NIS-2-Richtlinie ist ja -übrigens im Gegensatz zu einer Verordnung- vom nationalen Gesetzgeber noch in nationales Recht umzusetzen. In jeder europäischen Richtlinie wird dazu eine Frist gesetzt, die der nationale Gesetzgeber grundsätzlich einzuhalten hat.
Bei der NIS-2-Richtlinie läuft diese Frist am 17. Oktober 2024 ab. Das der nationale Gesetzgebungsprozess bisher eher "schleppend" vorankommt, ist angesichts der Tatsache, dass die NIS-2-Richtlinie auf europäischer Ebene ja bereits am 16. Januar 2023 in Kraft getreten ist, schon verwunderlich.
Dass der nationale Gesetzgeber -wie in grundsätzlich vertrauenswürdigen Social Media-Kanälen zu lesen- aber bereits jetzt mitteilen muss, dass eine pünktliche Umsetzung in nationales Rech ausgeschlossen ist, verwundert doch sehr.
Dies gilt umso mehr vor dem Hintergrund, dass das BMI im Diskussionspapier zum NIS2UmsuCG auf Seite 57 zum Punkt "Inkrafttreten, Außerkrafttreten" wie folgt kommentiert:
Bei einer Verkündung im März 2024 stehen den Einrichtungen noch sechs Monate für die Umsetzung der in diesem Gesetz enthaltenen Verpflichtungen zur Verfügung. Der hier genannte Zeitpunkt ist der letzte Quartalsbeginn vor Ablauf der Umsetzungsfrist des Artikel 41 NIS-2-Richtlinie am 17. Oktober 2024. Im Übrigen sind die für die Verpflichtungen von wesentlichen und wichtigen Einrichtungen maßgeblichen Inhalte der NIS-2-Richtlinie bereits seit dem Kommissionsentwurf aus Dezember 2020 bekannt.
Da fragt man sich doch, ob nicht auch das BMI bereits seit geraumer Zeit von seiner Umsetzungsverpflichtung hätte wissen und sich entsprechend hätte vorbereiten müssen.
Aber sicher kommt das NIS2UmsuCG nur deshalb verspätet, damit den dadurch Verpflichteten mehr Zeit für die Umsetzung eingeräumt werden kann *Zwinkersmiley*