Angemessen bedeutet risikobasiert
Die gleiche Massnahme ist nicht für jedes Unternehmen und jede Datenbearbeitung angemessen. Besonders schützenswerte Daten, grosse Mengen, umfangreiche Zugriffe oder gravierende mögliche Folgen erhöhen den Schutzbedarf.
Der EDÖB nennt als Beispiele technischer und organisatorischer Massnahmen unter anderem Verschlüsselung, Anonymisierung und Authentisierung. Welche Kombination passt, muss im jeweiligen Kontext entschieden werden.
Technische und organisatorische Massnahmen zusammendenken
Technische Massnahmen schützen Systeme und Daten. Organisatorische Massnahmen regeln Verantwortung, Berechtigungen, Freigaben, Kontrollen und den Umgang mit Vorfällen.
- Zugriffs- und Berechtigungskonzept
- Mehrfaktor-Authentisierung und sichere Administration
- Updates, Geräteschutz und sichere Konfiguration
- Backup, Wiederherstellung und Notfallvorbereitung
- Datenklassifikation, Aufbewahrung und Löschung
- Lieferantenprüfung und vertragliche Vorgaben
- Protokollierung, Kontrolle und Sensibilisierung
Entscheidungen nachvollziehbar dokumentieren
Das Gesetz verlangt nicht für jedes KMU dieselbe Dokumentenmenge. Eine nachvollziehbare Risikobeurteilung und dokumentierte Zuständigkeiten helfen jedoch, die gewählten Massnahmen zu steuern und später zu erklären.
Controls, Statusnotizen, Risiken, Aufgaben und Nachweise bilden gemeinsam einen belastbaren Arbeitsstand. Entscheidend ist, dass die Dokumentation der tatsächlichen Umsetzung entspricht.
Was das Framework nicht verspricht
Das imatics Security Framework unterstützt die strukturierte Umsetzung und Dokumentation grundlegender Sicherheitsmassnahmen. Es prüft weder alle Datenbearbeitungen noch branchenspezifische Pflichten und gibt keine Rechtsberatung.
Bei besonders schützenswerten Daten, hohen Risiken, regulierten Tätigkeiten oder komplexen Auftragsbearbeitungen ist eine fachliche Datenschutz- und Rechtsprüfung sinnvoll.