Zweck und Aufbau
Dieses Handbuch richtet sich an Leitungen kleiner und mittlerer Betriebe, die keine IT-Abteilung haben und keinen Sicherheitsbeauftragten — die Werkstatt mit sechs Beschäftigten, die Kanzlei mit zwei Partnern und einer Assistenz, die Ordination, die Agentur, den Handelsbetrieb, das Ein-Personen-Unternehmen. Die Rechner laufen, die E-Mail funktioniert, ein IT-Betreuer kommt, wenn etwas nicht geht. Und irgendwann stellt jemand eine Frage, auf die niemand im Haus eine Antwort hat: der Versicherer im Fragebogen, der Großkunde in seiner Lieferantenabfrage, der Steuerberater nach dem Ausfall eines Rechners, oder — am schlechtesten Tag — die eigene Belegschaft, wenn morgens nichts mehr aufgeht.
Es beantwortet vier Fragen in dieser Reihenfolge: Was muss in einem Betrieb stehen, bevor KI, Cloud oder ein Großkunde überhaupt ein Thema sein können? Wer fragt danach, und warum fragen alle dasselbe? Was davon ist Pflicht, und was ist Empfehlung? Und wie macht man es — mit den Mitteln, die ein Betrieb ohne IT-Abteilung hat?
Die Reihenfolge ist bewusst gewählt. Dieses Handbuch ist das einzige der Reihe, das überwiegend Handwerk beschreibt und nicht Rechtslage. Es sagt deshalb an vielen Stellen „machen Sie das so“ — und an jeder dieser Stellen steht darunter, worauf die Empfehlung beruht: auf einer Empfehlung des deutschen Bundesamts für Sicherheit in der Informationstechnik, der Agentur der Europäischen Union für Cybersicherheit, des österreichischen Computer-Notfallteams, der Wirtschaftskammer, des Bundeskriminalamts, oder auf dem, was Prüfkataloge und Versicherer abfragen. Eine Empfehlung ist kein Gebot. Wo ein Rechtsakt etwas verlangt, steht das gesondert, mit Fundstelle, und es sind wenige Stellen.
Aufbau
Das Handbuch gliedert sich in vier Teile. Teil I erklärt, worum es geht: warum Grundschutz vor jedem KI-Einsatz kommt, was die Prüfkataloge und Versicherer abfragen und warum sie sich gleichen, und was davon Pflicht ist. Teil II führt die vier Handgriffe aus — Zugänge, Sicherung, Geräte und Updates, E-Mail — und dazu die Frage, wer im Betrieb dafür zuständig ist. Teil III beschreibt den Notfall: die erste Stunde und den ersten Tag, die Meldewege und Anlaufstellen in Österreich und in der Union, und was ein Betrieb von seinem IT-Dienstleister verlangen darf. Teil IV enthält eine Selbstbewertung, die gesammelten Unsicherheiten, das Glossar und das Quellenverzeichnis.
Jeder Abschnitt in Teil II und III endet mit einem Kasten „Woran Sie erkennen, dass es getan ist“. Das ist der Satz, den Sie in einen Fragebogen schreiben können, wenn er stimmt.
Geltungsbereich
Das Handwerk ist überall dasselbe; die Anlaufstellen sind es nicht. Wo dieses Handbuch eine Behörde, eine Telefonnummer oder eine Frist nennt, ist Österreich das Beispiel und als solches gekennzeichnet. Für Betriebe in anderen Mitgliedstaaten der Europäischen Union gilt: Die Datenschutz-Grundverordnung gilt dort genauso, das nationale Computer-Notfallteam findet sich über die Karte der Agentur der Union (Abschnitt 11.6), und die Empfehlungen des deutschen Bundesamts sind als Beispiel für behördliche Empfehlungen herangezogen, nicht als deutsche Vorschrift. Die Schweiz ist nicht Gegenstand dieses Handbuchs.
Umgang mit Quellen
Jede Empfehlung, jede Zahl und jede rechtliche Aussage ist mit Quelle und Abrufdatum belegt. Belegzeilen stehen unmittelbar unter der jeweiligen Aussage; das vollständige Verzeichnis findet sich in Abschnitt 16. Wörtliche Zitate sind als solche gesetzt und tragen ihre Fundstelle.
Wo eine Angabe nicht belegbar war, ist dies ausdrücklich vermerkt — als nicht ermittelbar mit Angabe des Grundes, nicht als Schätzung. Diese Stellen sind in Abschnitt 14 gesammelt. Zwei Einschränkungen betreffen das ganze Handbuch und stehen deshalb hier: Erstens konnten die Seiten der Behörden, Kammern und Prüfstellen für dieses Handbuch überwiegend nur in Auszügen gelesen werden, wie eine Suchmaschine sie zurückgibt; der Inhalt ist damit belegt, der Wortlaut Zeichen für Zeichen nicht, und wo das Handbuch trotzdem zitiert, sagt es, dass es aus einem Auszug zitiert. Zweitens wurden die Rechtstexte der Union aus Kopien des Amtsblatts gelesen, die nicht amtlich sind; die Lesung am amtlichen Text steht aus.
Zwischen dem, was ein Gesetz verlangt, dem, was eine Behörde empfiehlt, und dem, was ein Prüfkatalog oder ein Versicherer abfragt, wird durchgehend unterschieden. Ein Fragebogen ist eine Vertragsfrage. Er ist kein Gesetz.
Dieses Handbuch ist ein Ratgeber. Es ist kein rechtlich verbindliches Dokument, ersetzt keine Rechtsberatung und keine Versicherungsberatung. Es empfiehlt kein Produkt und nennt kein Werkzeug beim Namen; es sagt, welche Eigenschaften ein Werkzeug haben soll, damit Sie selbst entscheiden können. Es führt keine Norm ein und ersetzt keine. Es prüft nicht, ob Ihr Betrieb unter ein Gesetz fällt. Und es enthält keine Zahlen über Vorfälle, Schäden oder Strafen, weil solche Zahlen in diesem Themenfeld häufig ohne ihre Grundgesamtheit weitergereicht werden — dieses Handbuch reicht sie nicht weiter.