Wichtigste Problempunkte der Betreiber von Telekommunikationseinrichtungen und Datenschutz-Behörden identifiziert

[datensicherheit.de, 14.01.2011] Die enisa hat am 14. Januar 2011 einen Bericht über Meldungen von Verletzungen der Datensicherheit veröffentlicht. Die Forderung der EU nach der Meldung von Verletzungen der Datensicherheit im Bereich der elektronischen Kommunikation nach der EG-Richtlinie zur „e-Privacy“ (2002/58/EG) trage demnach entscheidend zur langfristigen Verbesserung der Datensicherheit in Europa bei. Die enisa hat die aktuelle Situation unter die Lupe genommen und in ihrem neuen Bericht die wichtigsten Problempunkte sowohl der Betreiber von Telekommunikationseinrichtungen als auch der Datenschutz-Behörden identifiziert.
Das Vertrauen der Bürger zu gewinnen und zu erhalten, dass ihre Daten sicher und geschützt sind, sei ein wichtiger Faktor für die zukünftige Entwicklung und die Einführung neuer Technologien und Internet-Dienstleistungen in ganz Europa, so der Geschäftsführende Direktor der enisa, Prof. Udo Helmbrecht.

Zu den wichtigsten Problempunkten gehören unter anderem:

• Risikopriorisierung – die Schwere der Verletzung sollte das Niveau der Antwort bestimmen.
• Kommunikationskanäle – die Betreiber müssen die Sicherheit haben, dass die Meldeanforderungen ihre Marken nicht negativ beeinflussen.
• Ressourcen – manche Aufsichtsbehörden sind schon mit anderen Aufgaben beschäftigt, denen sie Priorität einräumen.
• Durchsetzung – die Datenschutz-Behörden haben angeführt, dass die Ermächtigung zur Auferlegung von Sanktionen sie befähigt, die Regelungen besser durchzusetzen.
• Zu starke Verzögerungen bei der Berichterstattung – die Aufsichtsbehörden wollen kurze Fristsetzungen für das Melden von Verletzungen durchsetzen.
• Inhalt der Meldungen – die Betreiber wollen sicherstellen, dass die Inhalte der Meldungen sich nicht negativ auf ihre Kundenbeziehungen auswirken.

Im Jahr 2011 wird die enisa Ausführungsanweisungen für die technischen Implementierungsmaßnahmen und die Verfahren aufstellen, wie sie in §4 der EG-Richtlinie 2002/58/EC enthalten sind, und sie wird die Möglichkeit analysieren, die allgemeine Pflicht zur Meldung von Verletzungen der Datensicherheit (Data Breach Notification) auf andere Bereiche auszudehnen, z.B. auf den Finanzsektor, das Gesundheitswesen und Kleinunternehmen.

Weitere Informationen zum Thema:

enisa
Data breach notifications / Review of the current situation in the implementation of data breach notifications requirement, set up by the Article 4 of the reviewed ePrivacy Directive

enisa
Data Breach Notifications in Europe – The way forward / Workshop organised by ENISA on the future of notifications about data breaches