Eine schöne Datenschutzwoche 2023!
Gerade als sich alle mehr oder weniger mit den rechtlichen Rahmenbedingungen im Bereich Datenschutz vertraut gemacht hatten und Privatpersonen sowie Unternehmen gelernt hatten, sich im Flachwasser von Anträgen betroffener Personen, Risk-Management und Folgenabschätzungen zurechtzufinden – BOOM – da kam schon die nächste Flutwelle aus regulatorischen Anforderungen und neuen Herausforderungen!
2023 ist der perfekte Zeitpunkt, um sich mit neuen Abkürzungen (machen Sie sich bereit für #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) und den dahinterstehenden Gesetzen vertraut zu machen.
Das zugrunde liegende Motiv der bevorstehenden Änderungen besteht darin, die Cybersicherheitsmaßnahmen verschiedener Organisationen zu stärken und zu verbessern sowie sich wandelnde Cyberrisiken effektiver zu bewältigen.
Hier ein Überblick über ausgewählte rechtliche Entwicklungen weltweit:
- EU – Richtlinie (EU) 2022/2555 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Niveaus der Cybersicherheit in der gesamten Union (NIS2)
- EU – Verordnung über die digitale operative Widerstandsfähigkeit im Finanzsektor (DORA)
- USA – Datenschutzgesetze auf Bundes- und Einzelstaatsebene
- Indien – Gesetzentwurf zum Schutz digitaler personenbezogener Daten (DPDPB)
- Australien – Gesetzentwurf über Datenschutzstrafen und die Überarbeitung des Datenschutzgesetzes von 1988
NIS2
Nach Angaben der ENISA liegen die Gesamtausgaben für Cybersicherheit bei Organisationen in der EU um 41 % unter denen ihrer US-amerikanischen Pendants. Mit dem Inkrafttreten der NIS2-Richtlinie wird erwartet, dass sich dieses Verhältnis verschiebt und diese enorme Lücke zumindest teilweise geschlossen wird. Vorsichtigen Schätzungen zufolge wird das Inkrafttreten der NIS2-Richtlinie über einen Zeitraum von drei bis vier Jahren zu einem Anstieg der IKT-Ausgaben um etwa 22 % führen.
NIS2 wurde kurz vor Jahresende veröffentlicht, und die EU-Mitgliedstaaten haben nun 21 Monate Zeit, die darin beschriebenen Anforderungen und Mechanismen in nationales Recht umzusetzen. Die NIS-Richtlinie von 2016 diente – trotz ihrer Mängel – als Eckpfeiler für den Ausbau der Cybersicherheitskapazitäten der Mitgliedstaaten. Nun wird die NIS2 den Anwendungsbereich und die Liste der betroffenen Organisationen erweitern. Es wird erwartet, dass bis zu 160.000 Organisationen dieser neuen Rechtsvorschrift unterliegen werden, darunter Anbieter digitaler Dienste (Plattformen und Rechenzentrumsdienste), Anbieter elektronischer Kommunikationsnetze und -dienste sowie Unternehmen aus den Bereichen Fertigung, Lebensmittel und dem öffentlichen Sektor.
NIS2 zielt darauf ab, die Cybersicherheit unter anderem durch folgende Maßnahmen zu stärken: Verbesserung der Cybersicherheits-Governance, Gewährleistung der Sicherheit von Lieferketten, Straffung der Meldepflichten (Frühwarnungen/verkürzte Meldefristen) sowie Einführung strengerer Aufsichtsmaßnahmen und strengerer Durchsetzungsanforderungen.
Was können Sie jetzt sofort tun?
- Versuchen Sie zunächst zu verstehen, welche Verpflichtungen für Ihre Organisation gelten und in welche Compliance-Kategorie Ihre Organisation fällt: „wesentliche Einrichtung“, „wichtige Einrichtung“ oder vielleicht „Sonstiges“.
- Prüfen Sie als Nächstes, ob Sie Synergien schaffen und bereits bestehende technische und organisatorische Maßnahmen nutzen können, die im Rahmen früherer Compliance-Maßnahmen (z. B. DSGVO, NIS1 usw.) umgesetzt wurden.
- Beginnen Sie mit der Suche nach den richtigen Partnern, die Ihre Compliance-Bemühungen angemessen unterstützen können. Beziehen Sie Ihre Lieferanten in die Diskussion darüber ein, welcher Ansatz am besten zu Ihrer Organisation passt.
- Zu guter Letzt sollten Sie mit der Planung erhöhter Ausgaben beginnen, um verbleibende Lücken zu schließen. Verstöße gegen die Vorschriften können zu Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes der Organisation führen.
DORA
DORA zielt darauf ab, „ein hohes gemeinsames Niveau an digitaler Betriebsresilienz“ zu erreichen, Cyberbedrohungen zu mindern und einen widerstandsfähigen Betrieb im gesamten EU-Finanzsektor sicherzustellen. Die Verordnung tritt am 17. Januar 2025 unmittelbar in Kraft. Sie betrifft den Finanzsektor (Banken, Versicherungsunternehmen, Wertpapierfirmen) und dessen IKT-Anbieter (d. h. Cloud-Plattformen) – insgesamt rund 22.000 Organisationen.
Die neuen Anforderungen von DORA laufen im Wesentlichen darauf hinaus, die Risikomanagementpraktiken zu überprüfen und anzupassen. Kunden aus dem Finanzsektor müssen so viele regulatorische Risiken wie möglich auf ihre IKT-Anbieter übertragen oder andere Strategien zur Risikominderung anwenden. In jedem Fall müssen IKT-Anbieter in der Lage sein, die Einhaltung der DORA-Anforderungen zu gewährleisten. Die gesamte Branche wird zudem ihre Vertragsbeziehungen zu Lieferanten neu bewerten müssen. DORA wird Anforderungen an Verträge zwischen Finanzunternehmen und ihren kritischen IKT-Anbietern enthalten, darunter den Ort der Datenverarbeitung, Beschreibungen der Service Level Agreements, Berichtspflichten, Zugriffsrechte sowie Umstände, die zu einer Vertragskündigung führen würden.
In einem separaten Beitrag wird das Produktteam von Commvault einen tiefergehenden technischen Einblick in die Anforderungen von DORA in Bezug auf Erkennung (Art. 10), Reaktion und Recovery (Art. 11) sowie Datensicherung (Art. 12) geben.
US-Datenschutzgesetze – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
Am 1. Januar 2023 traten die durch den California Privacy Rights Act (CPRA) vorgenommenen Änderungen des California Consumer Privacy Act von 2018 in Kraft. Viele bisher geltende vorübergehende Ausnahmeregelungen laufen aus, wodurch Unternehmen, die mit personenbezogenen Daten von Einwohnern Kaliforniens umgehen, zusätzliche Verpflichtungen auferlegt werden, z. B. in Bezug auf beschäftigungsbezogene personenbezogene Daten und das Recht auf Widerspruch gegen den Verkauf personenbezogener Daten.
2023 ist zudem das Jahr, in dem der Colorado Privacy Act (CPA), der Connecticut Data Privacy Act (CDPA), der Utah Consumer Privacy Act (UCPA) und der Virginia Consumer Data Privacy Act (VCDPA) in Kraft treten werden. Das Risiko einer Zersplitterung der Rechtsvorschriften ist unmittelbar und erheblich – und genau diese Art von Risiko hat die Europäische Union dazu veranlasst, den regulatorischen Ansatz zu harmonisieren. Es bleibt abzuwarten, ob dies im Jahr 2023 auch für den „American Data Privacy and Protection Act“ (ADPPA) gelten wird – einen Vorschlag für ein bundesweites und allgemeines Datenschutzgesetz.
Indien – DPDPB
Indische Gesetzgeber planen, noch in diesem Jahr einen sehr ehrgeizigen Gesetzentwurf zum Schutz personenbezogener Daten im digitalen Bereich (Digital Personal Data Protection Bill, DPDPB) vorzulegen. Nach seinem Inkrafttreten wird diese lang erwartete Gesetzgebung aufgrund der Rolle Indiens als Technologiemacht und globalem Outsourcing-Standort zweifellos Auswirkungen auf alle Arten von Organisationen haben.
Australien – Gesetzentwurf zu Datenschutzstrafen und Überarbeitung des Datenschutzgesetzes
Die australischen Behörden kündigten eine weitere umfassende Überarbeitung des Datenschutzgesetzes von 1988 an. Die derzeitige Gesetzgebung wurde als „veraltet und im digitalen Zeitalter nicht mehr zweckmäßig“ bezeichnet.
In der Zwischenzeit, noch im Jahr 2022, verabschiedete Australien den „Privacy Penalty Bill“, mit dem die Sanktionen im Bereich des Datenschutzes auf ein Niveau angehoben wurden, das mit den durch die DSGVO eingeführten Vorgaben vergleichbar ist (bis zu 50 Millionen AUD), und die Regulierungsbefugnisse des Office of the Australian Information Commissioner (OAIC) sowie der Australian Communications and Media Authority (ACMA) erweitert wurden.
Zusammenfassung
Die unerbittliche Compliance-Uhr hat gerade wieder zu ticken begonnen. Funktionsübergreifende Teams, bestehend aus IT-Experten, Compliance- und Datenschutzbeauftragten, Juristen und Geschäftsanalysten, werden viel Zeit damit verbringen, die Auswirkungen der Flut von Gesetzesänderungen zu analysieren, die Ende letzten Jahres einsetzte und sich im Laufe des Jahres 2023 konkretisieren wird.
Bitte beachten Sie, dass die hier vorgestellten rechtlichen Entwicklungen noch umfangreicher ausfallen könnten. Sie können jedoch sicher sein, dass sie nicht nur im Jahr 2023, sondern auch in den kommenden Jahren zu festen Gesprächsthemen werden.
