Diese Kodifizierung des Datenschutzes verändert die Art und Weise, wie Unternehmen ihre Geschäftstätigkeit ausüben sollen. Es steht nicht mehr zur Debatte, was passiert, wenn ein Unternehmen nicht in ein Cybersicherheitsprogramm investiert, und wer dafür verantwortlich ist. Werfen wir einen kurzen Blick darauf, was dieses Jahr prägend sein wird.
Maßnahmen im Zusammenhang mit US-Datenschutzvorschriften: CCPA, NYDFS und SEC aktualisieren ihre Anforderungen
Der CCPA könnte geändert werden. Derzeit läuft im Rahmen des CCPA ein öffentliches Konsultationsverfahren dazu, wie sich Audits in den CCPA einfügen. Darüber hinaus werden wir bald Urteile in Fällen rund um den CCPA sehen, die Aufschluss darüber geben, mit welchen konkreten Verlusten bei Nichteinhaltung zu rechnen ist. Für alle, die sich gemeinsam mit uns auf dem Laufenden halten möchten: Perkins Coie bietet einen hervorragenden Tracker an.
Die NYDFS-Vorschriften werden voraussichtlich geändert. Die Stellungnahmen der Branche werden derzeit geprüft. Sobald das DFS seine Empfehlungen vorgelegt hat, wird der Gesetzgebungsprozess in Gang gesetzt. Wichtige Erkenntnisse:
- „Sowohl der CISO als auch die oberste Führungskraft der betroffenen Unternehmen sind verpflichtet, eine Konformitätsbescheinigung zu unterzeichnen, und dem NYDFS muss jährlich eine Konformitätsmitteilung übermittelt werden.“ – Morgan Lewis.
- Hier geht es um mehr als nur ein Datenschutzgesetz – es geht auch um die Widerstandsfähigkeit von Unternehmen und einen sicheren Betrieb.
Die SEC möchte, dass ihre neuen Vorschriften so schnell wie möglich in Kraft treten. Dazu gehören Bestimmungen zu den Meldepflichten im Bereich Cybersicherheit sowie die Prüfung von Vorschriften, die die Einführung von Standardverfahren vorschreiben. Wie bei allen Bundesvorschriften könnte auch dies einige Zeit in Anspruch nehmen. Andere Bestimmungen, insbesondere im Zusammenhang mit der Berichterstattung zum CO₂-Fußabdruck, scheinen für Reibungen zu sorgen. Es bleibt abzuwarten, ob die SEC ihren Zeitplan einhalten kann.
100 Millionen Dollar Strafe wegen Verstößen gegen das BIPA. Im Jahr 2022 wurden Fälle im Zusammenhang mit dem BIPA aus Louisiana abgeschlossen, wobei erhebliche Strafen verhängt wurden. Nun geht es ans Eingemachte, und die Haftungsrisiken sind Realität. Lesen Sie mehr dazu im „Data Protection Report“.
Warum Führungskräfte Cybersicherheits-Know-how priorisieren müssen
Angesichts dieser starken gesetzgeberischen Bestrebungen sind nun konkrete Haftungsrisiken zu erwarten. Führungskräfte können die Empfehlungen der Sicherheitsteams nicht länger ignorieren. Die Realität sieht so aus, dass die meisten Unternehmen noch nicht darauf vorbereitet sind. Ein kurzer Auszug aus Forbes veranschaulicht dies perfekt:
„Unsere Analyse hat ergeben, dass nur 51 % der Fortune-100-Unternehmen ein Vorstandsmitglied mit einschlägiger Erfahrung im Bereich Cybersicherheit haben. Bei den Fortune-200- und Fortune-500-Unternehmen ist die Lage noch besorgniserregender: Nur 9 % verfügen über Vorstandsmitglieder mit Fachkenntnissen im Bereich Cybersicherheit. Noch schlechter sieht es bei den Unternehmen im Russell 3000 aus, die kleiner sind als die der Fortune 500: Nur 8 % haben Vorstandsmitglieder mit Fachkenntnissen im Bereich Cybersicherheit. Insgesamt fehlen in allen Unternehmen des Russell 3000 insgesamt 2.724 Vorstandsmitglieder mit Fachkenntnissen im Bereich Cybersicherheit.“ – Forbes
Um diese Positionen erfolgreich zu besetzen, müssen Führungskräfte im Sicherheitsbereich eine klare Vorstellung davon haben, welche rechtlichen Veränderungen sich abzeichnen, wie sich diese auf die Unternehmensstrategie auswirken und wie das Unternehmen in Märkten mit sich wandelnden regulatorischen Rahmenbedingungen neue Chancen erschließen kann.
Kurz gesagt: CISOs müssen in jede strategische Diskussion auf Vorstandsebene einbezogen werden. Ein aktiver CISO kann sogar einen Wettbewerbsvorteil darstellen. Diese aktiven Führungskräfte verstehen die Geschäftsdaten, wissen, wie man sie für Marktvorteile nutzt, und meistern neue regulatorische Herausforderungen. Unternehmen, die den sich wandelnden regulatorischen Rahmenbedingungen immer einen Schritt voraus sind, werden höhere Erträge erzielen. Unternehmen, die Compliance lediglich als eine Aufgabe betrachten, die abgehakt werden muss, werden ins Hintertreffen geraten.
Die Einhaltung von Compliance-Vorschriften ist für den Geschäftsbetrieb Ihres Unternehmens von entscheidender Bedeutung, muss jedoch keinen überproportionalen Teil Ihrer Ressourcen in Anspruch nehmen. Clumio unterstützt Sie dabei, die Compliance zu automatisieren, die Verwaltung zu vereinfachen und gleichzeitig Ihre Kosten für den Datenschutz zu senken. Kontaktieren Sie uns für eine individuelle Beratung.
