Datensicherheitsbeauftragter

Hallo zusammen,

Zum Problem:
Die Leitung meiner Einrichtung hat mich zum Datensicherheitsbeauftragten gemacht. Normalerweise nickt man so etwas als Arbeitnehmer ja nicht unbesehen ab (Theorie), denkt jedoch oft und gerne an die Sicherung des eigenen Arbeitsplatzes und tut es - "erst mal" - doch (Praxis). Soweit, so schlecht und mir so passiert.

Nach umfangreicher Suche im Netz habe ich dann jede Menge Juristisches und Bundesgesetze zum DatenSCHUTZbeauftragten gefunden (inklusive der guten zweiteiligen Anleitung hier), jedoch keine einheitlichen Bestimmungen für den DatenSICHERHEITSbeauftragten.

1. Gibt es überhaupt gesetzliche Vorgaben zu Rechten und Pflichten eines Datensicherheitsbeauftragten? Oder legt jede Firma selbst fest, was der Datensicherheitsbeauftragte tut?

2. Wenn es gesetzliche Vorgaben gibt, wo finde ich diese?

3. Kennt jemand im Netz Empfehlungen/Erfahrungsberichte von Datensicherheitsbeauftragten aus deren Praxis? (Was ist in eigener Firma durchzusetzen, Software/Hardware, übliche Probleme... die Liste läßt sich fortsetzen.)

Leider gibt es in meiner Einrichtung keine konkreten Tätigkeitsvorgaben außer "ist für die Datensicherheit verantwortlich", auch Datensicherheitsvorgaben muß/kann ich selbst aufstellen. Und: Ja, ich sehe in diesem Fall wie alle hier, daß da jemand zum Datensicherheitsbeauftragten gemacht wurde, um bei einer Prüfung/einem Sicherheitsfall jemanden zu haben, den man a) vorzeigen und b) verantwortlich machen kann.
Ich sehe allerdings die Notwendigkeit der Einrichtung eines Datensicherheitsbeauftragten durchaus als gegeben an und versuche nun, das Beste für die Einrichtung, die Mitarbeiter und mich daraus zu machen! Daß ich mir dabei meine Tätigkeiten/Verantwortlichkeiten selbst zusammensuchen muß und meine Chefs keine Ahnung von der ganzen Sache haben, ist nicht schön...aber gibt's hier jemanden der DAS nicht kennt??

Jetziges Tätigkeitsfeld:
Ich bin in unserer Einrichtung der IT-Admin und habe noch einen Kollegen, der sich um DB-Administration und Intranetportal-Programmierung und -betreuung kümmert. Useranzahl etwa 300, Clients ca. 150, 6 kleinere Server, 5 Außenstellen. Einige Client-Server-Anwendungen (Lohnbuchhaltung, Finanzbuchhaltung, Verwaltung). Mehrere SQL-DB, Intranet, Zeiterfassung. Als Betreuungseinrichtung erstellen und verarbeiten wir personenbezogene Daten.

Zeit für Extraeinarbeitung Tätigkeitsfeld Datensicherheitsbeauftragter:
eigentlich keine , Extrastunden gibt's auch nicht

Konkret ist mir das Fehlen offizieller Vorgaben aufgestoßen, als in der letzten Planunskonferenz ein Abteilungsleiter mein erstes kleines Konzept für die Einführung einer Devicemanagement-Software (Stichwort USB-Medien) mit den Worten zerrissen hat: "Wozu brauchen wir das? Macht nur Ärger und Probleme, wenn ich mal eben schnell einen USB-Stick irgendwo anstecken will. Und MIT dieser Software verhindern wir den Datenab- und zufluß durch berechtigte Personen in's Intranet auch nicht. Zu teuer, kaum Nutzen, nur Probleme."
Meine Geschäftsleitung ist der Auffassung, mit einer Dienstanweisung a la "Kein Mitarbeiter darf firmeneigene Daten mit nach Hause nehmen bzw. Privatmedien am Dienstrechner nutzen." sind sie rechtlich auf der sicheren Seite. Und ich habe - außer meinen fachliche Argumenten - keine Gesetzestexte oder offiziellen Vorgaben, die meinen Anspruch an Datensicherheit untermauern könnten.

Vielleicht kann mir ja jemand mit Tipps, Links oder Ähnlichem helfen hier.

Gruß, Guck