Das Jahr 2022 bringt die DSGVO reloaded


Max Rahner, Sales Director DACH der Industrial-Cybersecurity-Anbieterin Claroty, fühlt sich beim neuen IT-Sicherheitsgesetz 2.0 an die Einführung der DSGVO erinnert
Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden



Wir alle kennen das Gefühl: Weihnachten kommt immer völlig überraschend. Jedes Jahr. Etwas Ähnliches war vor ein paar Jahren bei der Einführung der DSGVO zu sehen: Obwohl das Gesetz lange bekannt war und es sogar eine zweijährige Übergangsfrist gab, bevor es endgültig in Kraft trat, warteten viele Unternehmen bis zur letzten Sekunde mit der Umsetzung – beziehungsweise scheiterten daran. Ich fürchte, wir befinden uns in exakt der gleichen Situation: Am Horizont steht das IT-Sicherheitsgesetz 2.0.

Je nachdem, in welche Kategorie ein Unternehmen fällt (hier wird es schon etwas kompliziert), besteht bereits jetzt für einige akuter Handlungsbedarf. So sind Unternehmen aus dem Sektor der Gefahrstoffe seit dem 1. November 2021 dazu verpflichtet, Störungen zu melden. Andere Unternehmen, nämlich solche, "die Güter nach § 60 Absatz 1 Nummer 1 und 3 der Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen oder entwickeln", haben noch eine Schonfrist (wir erinnern uns an die DSGVO) bis zum 1. Mai 2023. Aber glauben Sie mir: Dieses Datum kommt schneller als man denkt.

Bei der dritten großen Gruppe ist es noch gar nicht klar, wer hier überhaupt einzuordnen ist. Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden. Besonderes Augenmerk verdienen auch die Zulieferer dieser Unternehmen: Sobald ein Zulieferer von wesentlicher Bedeutung ist, erstreckt sich das Gesetz auch auf diesen. Liefert er beispielsweise exklusiv ein bestimmtes Vorprodukt, ohne das ein "bedeutendes Unternehmen" nicht produzieren kann, fällt er unzweifelhaft unter diese Definition. Wie sieht es aber aus, wenn er einer von drei Supplieren ist? Sie sehen: Auch die Frage, wer für die direkt betroffenen Unternehmen von wesentlicher Bedeutung ist, ist noch ungeklärt. Der vermeintliche Hoffnungsschimmer ist, dass diese Unternehmen zwei Jahre Zeit ab der Erlassung der konkretisierenden Rechtsverordnung haben, um den Ansprüchen des IT-Sicherheitsgesetzes 2.0 gerecht zu werden. Vermeintlich nur deshalb, weil die Angreifer nicht warten werden, wie jüngste Attacken auf Automobilzulieferer, Pharma-Unternehmen und Handelsketten zeigen.

Ich befürchte, dass bis weit ins Frühjahr hinein viele Sicherheitsverantwortlichen keinen Gedanken an das IT-Sicherheitsgesetz 2.0 verschwenden werden, um dann ab Mai in eine leichte Panik zu verfallen, die sich im Laufe der Monate verstärkt. Denn in diesem Zeitraum wird ihnen klar werden, dass sich die Anforderungen aus dem neuen Gesetz nicht mit nur mit Technologie adressieren lassen, sondern auch Prozesse und Strategie im Unternehmen angepasst werden müssen.

Viele Unternehmen wissen aus genannten Gründen auch noch gar nicht, dass sie nun Teil der kritischen Infrastruktur bzw. "Unternehmen im besonderen öffentlichen Interesse" (UBI) sind bzw. werden könnten und damit unter das Gesetz fallen. Zudem erweitert das BSI seinen Fokus auch auf vernetzte Technologien jenseits der IT wie IoT, IIoT oder industrielle Steuerungssysteme / Betriebstechnik (ICS). Gerade hier sind zahlreiche Unternehmen hinter dem aktuellen Stand zurück und es fehlt an vielem, bei einigen sogar an fast allem: Bewusstsein, Prozesse und vor allem den Basics, wie etwa eine umfassende Inventarisierung. Diese Erkenntnis hat sich jedoch noch nicht allzu weit verbreitet. Hier muss die Lernkurve sehr steil sein, um den Bogen noch einigermaßen zu bekommen.

Versuchen wir dieses eine Mal wirklich aus unseren Fehlern zu lernen und die Hausaufgaben nicht bis zum letzten Abend aufzuschieben, damit wir nur noch von Weihnachten überrascht werden, aber nicht von neuen gesetzlichen Anforderungen. (Claroty: ra)

eingetragen: 06.12.21
Newsletterlauf: 09.03.22

Claroty: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Inkasso: Transparenz und Rechtssicherheit

    Das Bundesjustizministerium will die Inkasso-Aufsicht zentralisieren und greift mit seinem neuen Gesetzentwurf eine langjährige Forderung des BDIU auf. "Die Stärkung der Aufsicht ist ein so notwendiger wie überfälliger Schritt", kommentiert Kirsten Pedd, Präsidentin des BDIU, das Vorhaben in einer ersten Stellungnahme. "Das schafft Transparenz und Rechtssicherheit für alle am Inkasso Beteiligten, natürlich auch für Verbraucherinnen und Verbraucher."

  • Rechtssicherheit und bürokratische Entlastung

    Derzeit wird im Innenausschuss des Bundesrats ein Antrag verhandelt, der das Datenschutzrecht in Deutschland reformieren will. Auf Antrag des Bundeslandes Bayern soll unter dem Titel "Entschließung des Bundesrates zur Evaluierung des Datenschutz-Anpassungs- und Umsetzungsgesetzes EU" sowohl die vom Bundesinnenministerium durchgeführte Evaluierung des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz- Anpassungs- und Umsetzungsgesetz EU, DSAnpUG-EU) erweitert als auch eine Anpassung des Bundesdatenschutzgesetzes (BDSG) vorgenommen werden. Ziel des Vorschlags sind die Erhöhung der Rechtssicherheit und die bürokratische Entlastung von KMU.

  • Vier Jahre DSGVO: Eine Bilanz

    Jeder Nutzer und jede Aktivität im Netz, ob privat oder beruflich hinterlässt Daten. Diese haben einen großen Nutzwert, werden vielseitig eingesetzt und sind deshalb sehr wertvoll. Folglich werden sie gesammelt, gespeichert und gehandelt.

  • Schutz von Hinweisgeber ein Fiasko

    Die Antikorruptionsorganisation Transparency Deutschland übt scharfe Kritik am Referentenentwurf für das Hinweisgeberschutzgesetz. Das Bundesjustizministerium hatte Verbände eingeladen, bis zum 11. Mai 2022 zu dem im April vorgelegten Referentenentwurf Stellung zu nehmen.

  • Herausforderungen der EU-Urheberrechtsrichtlinie

    Der Europäische Gerichtshof hat über die Klage Polens gegen Artikel 17 der EU-Urheberrechtsrichtlinie geurteilt. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Das Urteil des EuGH betrifft Internetnutzerinnen und Internetnutzer ebenso wie die Betreiber sozialer Medien und Urheberinnen und Urheber. Uploadfilter bleiben faktisch bestehen, was dem Grundgedanken des freien Internet diametral gegenübersteht."

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen