Einfachere Einhaltung gesetzlicher Vorschriften

Mehrere Gesetze und Vorschriften betrachten Datensicherung, Recovery und Ausfallsicherheit als wesentliche Bestandteile eines guten Cybersicherheitsprogramms. Dazu gehören die Datenschutz-Grundverordnung (DSGVO), der Health Insurance Portability and Accountability Act (HIPAA), die Datensicherheitsstandards der Zahlungskartenindustrie (PCI DSS), die Richtlinie über Netz- und Informationssicherheit 2 (NIS2), das New Yorker Cybersicherheitsgesetz (NYCRR 500), der California Consumer Privacy Act (CCPA) und der Digital Operational Resilience Act (DORA). Wir empfehlen Ihnen, sich mit Ihren Compliance- und Rechtsabteilungen zu beraten, um festzustellen, welche dieser Vorschriften für Ihr Unternehmen gelten könnten.

Zu den bekannten Vorschriften zählen die Datenschutz-Grundverordnung (DSGVO), der California Consumer Privacy Act (CCPA) und der Health Insurance Portability and Accountability Act (HIPAA).

Jede Organisation sollte sich hinsichtlich spezifischer Vorschriften von Rechtsanwälten und Wirtschaftsprüfern beraten lassen. Ein guter Ausgangspunkt für ein Programm wäre jedoch die Durchführung regelmäßiger Bewertungen und Audits der Datenschutzpraktiken, die Implementierung und Überwachung von Sicherheitskontrollen sowie die Einbeziehung von IT- und Sicherheitsexperten (entweder aus den eigenen Reihen oder über Dienstleister), um zu überprüfen, ob Sicherheitsmaßnahmen angewendet werden und ordnungsgemäß funktionieren. Empfehlenswert ist zudem ein risikobasierter Ansatz, bei dem Organisationen die regulatorischen Anforderungen und das mögliche Verlustrisiko im Falle einer Datenschutzverletzung oder Nichteinhaltung der Vorschriften gegen den Aufwand abwägen, der für die Umsetzung der Kontrollmaßnahmen erforderlich ist.

Der „Digital Operational Resilience Act“ (DORA) ist eine EU-Verordnung, die sich an Banken und Finanzinstitute richtet und erlassen wurde, um Standards für Cybersicherheit und Cyberresilienz festzulegen. Wir haben beobachtet, dass viele Compliance-Teams DORA branchenunabhängig als Leitfaden nutzen; wenden Sie sich jedoch an Ihre Rechts- und Compliance-Teams, um geeignete Leitlinien für Ihr Unternehmen zu erhalten.

Beginnen Sie damit, die Arten von Daten und Risiken in Ihrem Unternehmen zu erfassen, und achten Sie dabei besonders auf sensible und regulierte Daten. Anschließend können Sie klare, messbare Sicherheitsziele festlegen, die dazu beitragen, diese Risiken zu mindern und zu minimieren. Auf dieser Grundlage können Sie Richtlinien zur Daten-Governance entwickeln und anwenden, die sich auf die Zuständigkeit, den Umgang und den Lebenszyklus von Daten beziehen. Dazu gehören beispielsweise Zugriffskontrollen für Personen oder Gruppen, die Art und Weise, wie Daten geschützt, weitergegeben und gesichert werden, sowie die Löschung von Daten, sobald diese nicht mehr relevant oder erforderlich sind.

E-Discovery bezeichnet die Identifizierung, Sicherung, Erfassung, Verarbeitung, Überprüfung und Vorlage elektronisch gespeicherter Informationen (ESI) im Rahmen von Rechtsstreitigkeiten, Ermittlungen oder anderen rechtlichen Anfragen. Dazu gehört das Suchen, Analysieren und Extrahieren relevanter Daten aus Live- und Backup-Datenquellen sowie die Kontrolle dieser Daten, um zu verhindern, dass sie verändert oder gelöscht werden.