TOMs nach Art. 32 DSGVO mit KI erstellen, aus Ihren NIS2 Unterlagen

Was Art. 32 DSGVO von Ihren TOMs verlangt

TOMs sind die technischen und organisatorischen Maßnahmen, mit denen Sie personenbezogene Daten schützen. Art. 32 Abs. 1 DSGVO verlangt von Verantwortlichen und Auftragsverarbeitern ein Schutzniveau, das dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessen ist. Zu berücksichtigen sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos.

Die Maßnahmen schließen nach dem Gesetz „gegebenenfalls unter anderem“ ein. Buchstabe a: „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“. Buchstabe b: „die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen“.

Buchstabe c: „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Buchstabe d: „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung“.

Art. 32 Abs. 1 DSGVO

Welche Unterlagen im NIS 2 Durchgang dazu passen

Die folgende Zuordnung ist unsere eigene; eine Aufsichtsbehörde hat sie nicht bestätigt. Zu Buchstabe a: 9.1 hält Ihre zugelassenen Verfahren und Ihr Kryptokonzept fest, also womit und wo Sie verschlüsseln und wie Sie mit Schlüsseln umgehen. Zur Pseudonymisierung enthält der Durchgang nichts.

Zu Buchstabe b: Das Konzept in 10.1 regelt, wer an was kommt, wer zur Vertraulichkeit verpflichtet wird und was beim Austritt passiert. Punkt 11.1 hält fest, wo ein zweiter Faktor die Anmeldung schützt, und 4.2, welche Abläufe ohne IT weiterlaufen müssen.

Zu Buchstabe c: 4.4 nennt für jedes Sicherungssystem, wie oft es sichert und wann eine Wiederherstellung zuletzt funktioniert hat. Der Notfallplan in 4.2 sagt, wer die Systeme wiederherstellt.

Zu Buchstabe d: Die Managementbewertung in 7.3 hält fest, wann die Geschäftsführung auf den Stand geschaut hat, wer dabei war und was sie entschieden hat. NIS 2 verlangt dazu Verfahren, mit denen Sie die Wirksamkeit der Maßnahmen bewerten (Art. 21 Abs. 2 Buchst. f).

Art. 21 Abs. 2 Buchst. c, f, h, i und j NIS 2 · § 30 Abs. 2 BSIG

Was Ihre NIS 2 Unterlagen nicht abdecken

Art. 21 NIS 2 schützt Netz- und Informationssysteme, ob darin personenbezogene Daten liegen oder nicht. Art. 32 DSGVO fragt nach dem Risiko für die Menschen, deren Daten Sie verarbeiten. Viele Maßnahmen dienen beidem, die Frage dahinter ist eine andere.

Die Bewertung in 2.3 schätzt, wie oft etwas eintritt und wie groß der Schaden wäre. Die Beispiele dazu in 2.1 meinen den Schaden für den Betrieb, etwa einen Tag ohne Versand. Nach dem Risiko für die betroffenen Personen fragt der Durchgang nicht ausdrücklich.

Es fehlen außerdem die Pseudonymisierung und die Frage, welche Maßnahme für welche Verarbeitung gilt. Ein Entwurf aus dem Durchgang deckt deshalb nur einen Teil von Art. 32 ab, und Ihr Unternehmen ergänzt den Rest.

So schreibt ein Assistent den Entwurf

Ein KI Assistent verbindet sich über MCP (Model Context Protocol), einen offenen Standard, mit Ihrem Unternehmen in nisd2.eu. Mit dem Werkzeug get_walkthrough liest er die Punkte in den Bereichen, die der verbindenden Person zugewiesen sind, auch abgeschlossene und freigegebene.

Den Entwurf schreibt er außerhalb des Durchgangs, als Antwort im Chat oder als Datei. Das Dokument gehört Ihrem Unternehmen, und Sie legen es dort ab, wo Sie Ihre Datenschutzunterlagen führen. Für TOMs hat der Durchgang keinen Bildschirm.

Lassen Sie jede Aussage mit dem Punkt belegen, aus dem sie stammt, und jede Lücke markieren. Ein Auftrag an den Assistenten kann so lauten:

Lies mit get_walkthrough die Punkte 9.1, 10.1, 11.1, 4.2, 4.4 und 7.3. Entwirf daraus eine Beschreibung unserer technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO, gegliedert nach den Buchstaben a bis d. Nenne bei jeder Aussage den Punkt, aus dem sie stammt. Markiere jeden Buchstaben, zu dem der Durchgang nichts enthält. Trage nichts in den Durchgang ein.

Was Ihr Unternehmen danach prüft

Ob eine Maßnahme dem Risiko angemessen ist, entscheidet Ihr Unternehmen als Verantwortlicher (Art. 32 Abs. 1). Prüfen Sie zuerst, ob jede Aussage im Entwurf in Ihrem Betrieb stimmt. Der Durchgang enthält, was Menschen oder ein Assistent eingetragen haben.

Die Freigabe der Geschäftsführung in 7.3 gilt den NIS 2 Dokumenten des Durchgangs. Ihren Entwurf der TOMs gibt sie damit nicht frei. Den prüft Ihr Unternehmen gesondert, mit Ihrem Datenschutzbeauftragten, wenn einer benannt ist.

Ändert sich später etwas im Durchgang, etwa das Datum in 4.4 nach einer neuen Probe, ändert sich der Entwurf nicht mit. Die DSGVO verlangt, Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren (Art. 24 Abs. 1).

Art. 24 Abs. 1 · Art. 32 Abs. 1 DSGVO