Juristischer Leitfaden für Cybersicherheit und IT-Compliance Im Compliance-Dschungel den Überblick behalten

Anbieter zum Thema

TREND MICRO Deutschland GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Wie behält man im Geflecht aus Verordnungen, Gesetzen und Zertifikaten rund um DSGVO, NIS2, DORA, C5-Testat und Co den Überblick, ohne hohe Bußgelder zu riskieren? Im Gespräch diskutieren Richard Werner von Trend Micro und Rechtsanwalt Dr. Thomas Stögmüller die wichtigsten Neuerungen und Aspekte und erklären, wie Unternehmen ihre Compliance gewährleisten können – ohne in Verwirrung zu geraten.

Richard Werner, Trend Micro: Datenschutzgrundverordnung, NIS2, DORA und so weiter – selbst Experten verlieren bei den ständigen Neuerungen schnell den Durchblick, vor allem wenn es um tiefere Detailfragen geht. Deshalb war es höchste Zeit, unseren juristischen Leitfaden für Cybersicherheit und IT-Compliance im Unternehmen zu überarbeiten und zu aktualisieren. Und wir sind natürlich froh, Sie auch für die achte Auflage wieder als Partner gewonnen zu haben.

Thomas Stögmüller, TCI Rechtsanwälte: Herzlichen Dank. In der Tat ist juristische Klarheit für die Sicherheitsverantwortlichen äußerst wichtig – gerade in Bezug auf Datenschutz und Compliance. Das prägnanteste Thema, das die Branche gerade umtreibt, ist wohl NIS2. Aus IT-Security-Sicht ist man sich jedoch, denke ich, generell einig, dass die überarbeiteten Anforderungen sinnvoll und angemessen sind.

Werner: Dem stimme ich zu. Rein technisch gesehen beinhaltet die neue Regulierung auch nicht viel Neues. Im Grunde geht es um Systeme und Werkzeuge zur Angriffserkennung und die Implementierung von Cyberrisikomanagement. Das sollte eigentlich alles bereits Standard sein. Das heißt jedoch nicht, dass diese Anforderungen so manches Unternehmen nicht doch vor gewisse Herausforderungen stellen können. Hat man aber IT-Security in den letzten drei bis vier Jahren gewissenhaft betrieben und moderne Technologien sinnvoll implementiert, hat man auch den Großteil der Anforderungen bereits abgedeckt. Wenn nicht, sollte man sich schleunigst daransetzen.

Stögmüller: Aus juristischer Perspektive finde ich vor allem erwähnenswert, dass die bereits bestehende Geschäftsführerhaftung weiter verschärft wurde. Zudem können nun, selbst wenn keine konkreten Sicherheitsvorfälle passiert sind, empfindliche Bußgelder ausgesprochen werden. Aus dem Grund, dass sozusagen die „Verkehrstüchtigkeit“ der IT-Umgebung nicht gegeben ist – also eine Art TÜV für die IT-Security. Dass die Unternehmensleitungen zudem aufgefordert werden, sich selbst fortzubilden, um im Bereich Cybersecurity informierte Entscheidungen treffen zu können, ist ebenfalls ein bemerkenswerter Schritt, den ich sehr begrüße. Speziell für den Finanzsektor und seine IKT-Dienstleister gilt zudem ab dem 17. Januar 2025 die neue DORA-Verordnung. Auch in diesem Bereich haben wir den juristischen Leitfaden aktualisiert, immerhin sieht diese Gesetzgebung hier noch wesentlich strengere Regeln vor.

Werner: Etwas, was nicht nur die Finanzbranche, sondern alle Unternehmen betrifft, die Cybersecurity betreiben müssen, ist natürlich die Datenschutzgrundverordnung. Denn diese gilt auch für den Einsatz von Cybersicherheitslösungen. Hier herrscht regelmäßig große Verunsicherung. Der Konflikt zwischen Datenschutzbeauftragten und IT-Teams führt oft schnell zu dicken Hälsen. Sicherheitsverantwortliche verstehen häufig die Problemstellungen der Datenschützer nicht und man kann sich somit leicht auf „verlorenem Posten“ fühlen. Dadurch kommt es vor, dass sinnvolle Geschäfts­entscheidungen wie zum Beispiel der Umstieg auf eine SaaS-Lösung verzögert oder gar verhindert werden, weil man etwa bei Fragen wie „Sind da dann unsere Daten in der Cloud?“ ins Schlingern kommt. Was noch dazu kommt: Moderne Cybersecurity-Lösungen wie Extended Detection and Response (XDR) sammeln personen­bezogenen Daten wie etwa verdächtige Web-Aktivitäten oder Dateizugriffshistorien. Diese Daten müssen selbstverständlich nach den Grundsätzen des Datenschutzes verarbeitet werden. Unternehmen sollten dabei die Integrität und Vertraulichkeit der personenbezogenen Daten durch geeignete technische und organisatorische Maßnahmen gewährleisten können. Auch hier herrscht also einiges an Verunsicherung, was in Hinsicht auf Compliance zu leisten ist.

Stögmüller: In der Tat war es uns wichtig, bei der Konfliktzone Cybersecurity – Datenschutz mehr Klarheit zu schaffen. Immerhin ist, wie Sie richtig angesprochen haben, die Verarbeitung von personenbezogenen Daten nur unter bestimmten Voraussetzungen zulässig. Auch wenn es um Cybersecurity geht. Hier muss eine Interessenabwägung stattfinden. Das Unternehmen kann dabei aber sehr wohl ein berechtigtes Interesse beanspruchen, wenn es um die Gewährleistung der Netz- und Informationssicherheit, die Abwehr von Angriffen, Störungen, widerrechtlichen Eingriffen und Betrugs und den Schutz vor Beeinträchtigung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit geht. Die DSGVO einzuhalten, hat natürlich Priorität, aber die IT-Sicherheit steht dem ja auch nicht entgegen! Sie ist vielmehr Mittel zum Zweck. Um diese beiden Aspekte in Einklang zu bringen, braucht es neben rechtlicher Klarheit vor allem eine gute Kommunikation zwischen den Abteilungen.

Werner: Ein weiteres wichtiges Thema bezüglich Compliance und Datenschutz ist die Cloud. Cloud-Computing gilt mittlerweile als Standard in vielen Unternehmen, wird aber datenschutz- und sicherheitstechnisch oft kritisch gesehen. Es ist also kaum verwunderlich, dass auch hier der Gesetzgeber strikte Vorgaben umsetzen will.

Stögmüller: Hier spielt der Cloud Computing Compliance Criteria Catalogue (C5) eine immer wichtigere Rolle. Dieser Kriterienkatalog des BSI spezifiziert Mindestanforderungen an sicheres Cloud-Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter sowie deren Prüfer und Kunden. Als Mindestanforderung ist C5 inzwischen für Gesundheitseinrichtungen und Bundesbehörden Vorschrift.

Werner: Der Katalog erfüllt aus der Perspektive der Cybersecurity eine nützliche Übersichtsfunktion, würde ich sagen. Er katalogisiert praktisch alle wichtigen Fragen, die Kunden in Zusammenhang mit Compliance stellen müssen und standardisiert sowie dokumentiert deren Beantwortung. Das nimmt insbesondere größeren Unternehmen viel Arbeit ab. Abschließend möchte ich mich noch einmal bei Ihnen bedanken, dass wir Sie wieder als Partner für dieses wichtige Projekt gewinnen konnten und dass Sie auch Zeit für dieses Gespräch hatten.

Stögmüller: Ich bedanke mich bei Ihnen.

Zwei Experten im Gespräch

(ID:50145081)