Happy 2023 Data Privacy Week!
Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!
2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.
Das zugrunde liegende Motiv der bevorstehenden Änderungen besteht darin, die Cybersicherheitsmaßnahmen verschiedener Organisationen zu stärken und zu verbessern sowie sich wandelnde Cyberrisiken effektiver zu bewältigen.
Hier ein Überblick über ausgewählte rechtliche Entwicklungen weltweit:
- EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
- EU – Regulation on digital operational resilience for the financial sector (DORA)
- US – State & Federal privacy laws
- India – Digital Personal Data Protection Bill (DPDPB)
- Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988
NIS2
According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.
NIS2 wurde kurz vor Jahresende veröffentlicht, und die EU-Mitgliedstaaten haben nun 21 Monate Zeit, die darin beschriebenen Anforderungen und Mechanismen in nationales Recht umzusetzen. Die NIS-Richtlinie von 2016 diente – trotz ihrer Mängel – als Eckpfeiler für den Ausbau der Cybersicherheitskapazitäten der Mitgliedstaaten. Nun wird die NIS2 den Anwendungsbereich und die Liste der betroffenen Organisationen erweitern. Es wird erwartet, dass bis zu 160 000 Organisationen dieser neuen Rechtsvorschrift unterliegen werden, darunter Anbieter digitaler Dienste (Plattformen und Rechenzentrumsdienste), Anbieter elektronischer Kommunikationsnetze und -dienste sowie Unternehmen aus den Bereichen Fertigung, Lebensmittel und dem öffentlichen Sektor.
NIS2 zielt darauf ab, die Cybersicherheit unter anderem durch folgende Maßnahmen zu stärken: Verbesserung der Cybersicherheits-Governance, Gewährleistung der Sicherheit von Lieferketten, Straffung der Meldepflichten (Frühwarnungen/verkürzte Meldefristen) sowie Einführung strengerer Aufsichtsmaßnahmen und strengerer Durchsetzungsanforderungen.
Was kannst du jetzt sofort tun?
- First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
- Prüfen Sie als Nächstes, ob Sie Synergien schaffen und bereits bestehende technische und organisatorische Maßnahmen nutzen können, die im Rahmen früherer Compliance-Maßnahmen (z. B. DSGVO, NIS1 usw.) umgesetzt wurden.
- Beginnen Sie mit der Suche nach den richtigen Partnern, die Ihre Compliance-Bemühungen angemessen unterstützen können. Beziehen Sie Ihre Lieferanten in die Diskussion über den Ansatz ein, der am besten zu Ihrer Organisation passt.
- Zu guter Letzt sollten Sie mit der Planung erhöhter Ausgaben beginnen, um verbleibende Lücken zu schließen. Verstöße gegen die Vorschriften können zu Bußgeldern von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes der Organisation führen.
DORA
DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.
Die neuen Anforderungen von DORA laufen im Wesentlichen darauf hinaus, die Risikomanagementpraktiken zu überprüfen und anzupassen. Kunden aus dem Finanzsektor müssen so viele regulatorische Risiken wie möglich auf ihre IKT-Anbieter übertragen oder andere Strategien zur Risikominderung anwenden. In jedem Fall müssen IKT-Anbieter in der Lage sein, die Einhaltung der DORA-Anforderungen zu gewährleisten. Die gesamte Branche wird zudem ihre Vertragsbeziehungen zu Lieferanten neu bewerten müssen. DORA wird Anforderungen an Verträge zwischen Finanzunternehmen und ihren kritischen IKT-Anbietern enthalten, darunter den Ort der Datenverarbeitung, Beschreibungen der Service Level Agreements, Berichtspflichten, Zugriffsrechte sowie Umstände, die zu einer Vertragskündigung führen würden.
In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).
US-Datenschutzgesetze – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.
2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.
India – DPDPB
Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.
Australia – Privacy Penalty Bill & overhaul of the Privacy Act
Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”
In der Zwischenzeit, noch im Jahr 2022, verabschiedete Australien den „Privacy Penalty Bill“, mit dem die Sanktionen im Bereich des Datenschutzes auf ein Niveau angehoben wurden, das mit den durch die DSGVO eingeführten Vorgaben vergleichbar ist (bis zu 50 Millionen AUD), und die Regulierungsbefugnisse des Office of the Australian Information Commissioner (OAIC) sowie der Australian Communications and Media Authority (ACMA) erweitert wurden.
Summary
Die unerbittliche Compliance-Uhr hat gerade wieder zu ticken begonnen. Funktionsübergreifende Teams, bestehend aus IT-Experten, Compliance- und Datenschutzbeauftragten, Juristen und Geschäftsanalysten, werden viel Zeit damit verbringen, die Auswirkungen der Flut von Gesetzesänderungen zu analysieren, die Ende letzten Jahres aufkam und sich im Laufe des Jahres 2023 konkretisieren wird.
Bitte beachten Sie, dass die hier vorgestellten gesetzlichen Entwicklungen noch umfassender ausfallen könnten. Sie können jedoch sicher sein, dass sie nicht nur im Jahr 2023, sondern auch in den kommenden Jahren zu festen Gesprächsthemen werden.
