Informationssicherheit als Grundlage für Patent- und Innovationsschutz

Autor: Malte Stock

Für Patente gilt in Deutschland der absolute Neuheitsbegriff, das heißt patentierbar sind nur Erfindungen, die zum Zeitpunkt der Patentanmeldung der Öffentlichkeit unbekannt sind. Um dies zu gewährleisten, müssen geeignete Maßnahmen getroffen werden. Dies können sowohl organisatorische Maßnahme wie Verpflichtungen der Mitarbeitenden, als auch technische Maßnahmen sein.

Anforderungen

Rechtlicher Hintergrund
Das Patentgesetz (PatG) definiert in § 3 Abs. 1 eine Erfindung als neu, wenn sie nicht zum Stand der Technik gehört. Dieser umfasst alle Kenntnisse, die vor dem Tag der Anmeldung des Patents in irgendeiner Weise der Öffentlichkeit zugänglich gemacht worden sind. Folglich ist es im Interesse jedes Erfinders, angemessen Maßnahmen zu treffen, um die Erfindung vor einer vorzeitigen Kenntnisnahme durch die Öffentlichkeit zu schützen.
Eine weitere Anforderung an Schutzmaßnahmen findet sich im Geschäftsgeheimnisgesetz (GeschGehG). So ist eine Information nur dann ein Geschäftsgeheimnis, wenn sie gem. § 2 Nr. 1 lt. b Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber ist.
Hierzu geeignet können Maßnahmen aus den Bereichen der Zugangs-, Datenträger-, Speicher-, Benutzer-, Zugriffs-, Übertragungs-, Eingabe-, Transport-, Auftrags- und Verfügbarkeitskontrolle sein, wie sie auch § 64 BDSG (neu) anführt. Die Möglichkeiten sind vielfältig, sie gehen von einer Gebäudeabsicherung über zutrittsgeschützte Bereiche, bis hin zu Protokollierungen der Zugriffe auf Server. Bei allen Möglichkeiten muss die Angemessenheit der Geheimhaltungsmaßnahmen beurteilt werden. Das Ziel des Datenschutzes ist der Schutz von personenbezogenen Daten. Dies sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Oftmals sind dies auch technische Zeichnungen und Patentdaten, da sie i.d.R. einen Urheber/einen Erfinder enthalten.
Weitere Anforderungen an Schutzmaßnahmen ergeben sich aus vertraglichen Vereinbarungen mit Kooperationspartnern, Kunden und Lieferanten. Oftmals verlangen diese im Rahmen der Zusammenarbeit Erklärungen über ein geeignetes Schutzniveau und enthalten bei Verstoß hohe Vertragsstrafen.
Die Absicherung des Unternehmens gegen Cyber-Risiken ist nur möglich, wenn das Unternehmen grundlegende Schutzmaßnahmen nach dem Stand der Technik umgesetzt hat. Der Gesamtverband der Deutschen Versicherungswirtschaft e.V. (GDV) hat diese in den Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber) definiert.
Wie können vor dem Hintergrund dieser verschiedenen Anforderungen geeignete Maßnahmen ergriffen werden?

Informationssicherheit
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat als Ziel der Informationssicherheit den Schutz von Informationen definiert. Dabei können Informationen sowohl auf Papier, auf Rechnern oder auch in Köpfen gespeichert sein. Die IT-Sicherheit ist lediglich ein Teil der Informationssicherheit, sie beschäftigt sich ausschließlich mit der Sicherheit der Informationstechnik. Die Schutzziele oder auch Grundwerte der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit.
Vertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein.
Integrität bezeichnet die Sicherstellung, dass die schützenswerten Daten vollständig und unverändert sind. Gerade bei neuen Erfindungen kommt diesem Schutzziel eine hohe Bedeutung zu. So muss sichergestellt sein, dass die technischen Skizzen unverändert sind, wie auch, dass der Urhebername und das Datum der Erfindung eindeutig ist. Die Verfügbarkeit von Informationen in den für die Verarbeitung erforderlichen Systemen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.

Umsetzung nach dem Stand der Technik
Die Umsetzung geeigneter Schutzmaßnahmen muss nach dem Stand der Technik erfolgen. Es bietet sich an, hierzu auf ein etabliertes Managementsystem zurückzugreifen. Für den Bereich des Qualitätsmanagements ist dies die ISO 9001, für Informationssicherheit sind dies die Normen der ISO 27000 Reihe. Während die ISO 27001 normative Anforderungen an das Informationssicherheitsmanagementsystems (ISMS) beschreibt, ergänzt die ISO 27002 dies durch wenig konkrete Umsetzungsvorschläge. Die ISO 27002 hat lediglich informativen Charakter.

Umsetzung der ISO 27001 auf Basis von IT-Grundschutz
Das BSI hat mit dem IT-Grundschutz eine konkrete Vorgehensweise publiziert, die Unternehmen und Behörden die Umsetzung der ISO 27001 mit klar beschriebenen Anforderungen ermöglicht. Diese sind im BSI IT-Grundschutz Kompendium beschrieben.

IT-Grundschutz-Kompendium
Das IT-Grundschutz-Kompendium wird von dem BSI herausgegeben und ist über die Webseite des BSI kostenlos verfügbar. Das IT-Grundschutz-Kompendium ist in sogenannte IT-Grundschutz-Bausteine gegliedert. Jeder Baustein betrachtet einen bestimmten Bereich der Informationssicherheit. So gibt es Bausteine für allgemeine Gebäude, aber auch Bausteine für Serverräume, Verteilerräume, Informationssicherheit auf Auslandsreisen und den Einsatz Industrieller IT-Komponenten. Das IT-Grundschutz-Kompendium wird jährlich im Februar in einer neuen Edition veröffentlicht. Die 97 Bausteine der Edition 2021 wurden zur Edition 2022 um sieben Bausteine erweitert, es stehen nun 104 Bausteine zur Verfügung. Mit dieser kontinuierlichen Weiterentwicklung, sowohl durch die Anpassung der bestehenden Bausteine wie auch der Veröffentlichung neuer Bausteine, reagiert das BSI auf neue Anforderungen der Informationssicherheit. Das IT-Grundschutz-Kompendium kann als Stand der Technik in der Informationssicherheit bezeichnet werden.
Die Umsetzung kann in verschiedenen Absicherungsniveaus – Basis-, Kern- und Standardabsicherung – erfolgen. Die Basisabsicherung ist der Einstieg in ein ISMS, die Kernabsicherung betrachtet lediglich besonders schützenswerte Informationen (dies können Patente sein), während die Standardabsicherung ein komplettes ISMS mit der Möglichkeit einer Zertifizierbarkeit gem. ISO 27001 bietet. Maßnahmen gem. § 64 BDSG (neu) werden durch ein solches ISMS nicht nur erfüllt, auch die Wirksamkeit kann im Rahmen des Managementsystems belegt werden. Hierfür wird i.d.R. ein Plan-, Do-, Check-, Act-Zyklus (PDCA) durchlaufen, mit dem Ziel, das ISMS kontinuierlich zu prüfen und zu verbessern.

Umfassender Schutz

Der Blick auf den Patent- und Innovationsschutz (PATINS) sollte nicht auf die einschlägigen Gesetze begrenzt sein. Gerade bei der Umsetzung eines strukturellen Unterbaus für die Innovationsprozesse in einem Unternehmen, sollte auf einen Best-Practice-Ansatz zurückgegriffen werden. Diesen stellt der BSI IT- Grundschutz dar. Neben Fortbildungen wie dem PATINS-Zertifikat, sollten Interessierte auf die Informationen des BSI zurückgreifen. Diese sind unabhängig und bieten eine sichere Orientierung im Bereich der Informationssicherheit.

Bewertung

Ohne ein ISMS besteht die Gefahr, dass Schutzansprüche nicht umgesetzt werden können. Der Datenschutz stellt hier Anforderungen, diese sind jedoch auf Daten mit Personenbezug begrenzt. Jedoch lässt sich aus der Forderung nach einem angemessenen Schutz der Daten, wie z.B. im GeschGehG, der Bedarf nach einem ISMS auch für nicht-personenbezogene Daten, wie neue Erfindungen und Geschäftsgeheimnisse ableiten. Ein ISMS sollte daher durch jedes Unternehmen umgesetzt werden: Als Basis für einen wirksamen Patent- und Innovationsschutz.

Über den Autor

Unser Autor und PATINS-Student Malte Stock hat diesen Beitrag eigenständig recherchiert und formuliert. Dank seines erlernten Wissens kann er nun auf dem Gebiet der Informationssicherheit wertvolle Praxis-Tipps geben. Weiter so!

PATINS hilft

Wenn es um das geistige Eigentum geht, ist mehr als nur eine brillante Idee nötig, um einer Erfindung zum Erfolg zu verhelfen. Ohne geeignete Schutzmaßnahmen schafft es kaum eine Erfindung nicht vorzeitig von der Öffentlichkeit wahrgenommen zu werden. Unsere PATINS-Studierenden lernen in nur zwei Semestern den rechtssicheren Umgang mit Schutzmaßnahmen auf dem Gebiet des geistigen Eigentums. Weitere Informationen zu unserem flexiblen Fernstudienangebot finden Sie hier auf dieser Seite.