Informationssicherheit im Arbeitsverhältnis

Die wachsenden Bedrohungen aus Cyberangriffen und die stetig steigende Zahl an Sicherheitsvorfällen, haben die Informationssicherheit (InfoSec) längst aus der Nische der kritischen Infrastrakturen und Sicherheitsunternehmen geholt. Unter der Cybersicherheitsstrategie der EU im Eiltempo erlassene Rechtsakte, wie NIS2 und der Cyber Resilience Act (CRA), verpflichten zahlreiche Unternehmen auf Mindestsicherheitstandards. Unter anderem mit der Einrichtung und dem Betrieb eines SIEM (Security Information and Event Management) und/oder eines SOC (Security Operation Center) versuchen Unternehmen, ihren Pflichten nachzukommen und ihre Assets (etwa Geschäftsgeheimnisse, Infrastruktur) vor Risiken gegen Cyberangriffe zu schützen. Überwachen Unternehmen zur Gewährleistung der Informationssicherheit zugleich Leistung und Verhalten der Arbeitnehmer/-innen, kann es zu Konflikten mit dem Arbeitsrecht und dem Datenschutzrecht kommen. Denn einerseits sollen Arbeitnehmer/-innen vor den Risiken aus einer nicht erforderlichen Datenverarbeitung – ggf. auch gestützt auf Künstliche Intelligenz und weitreichend automatisiert getroffene Entscheidungen – geschützt werden, andererseits müssen Unternehmen ihren (Sorgfalts)Pflichten für eine ausreichende Informationssicherheit nachkommen und haben ein berechtigtes Interesse am effektiven Schutz ihrer Assets. Das Spannungsfeld der rechtlichen Vorgaben sowie unternehmerischen Interessen, die daraus resultierenden Zielkonflikte sowie mögliche Lösungsansätze sind Gegenstand des Seminars.