Das Jahr 2022 bringt die DSGVO reloaded


Max Rahner, Sales Director DACH der Industrial-Cybersecurity-Anbieterin Claroty, fühlt sich beim neuen IT-Sicherheitsgesetz 2.0 an die Einführung der DSGVO erinnert
Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden



Wir alle kennen das Gefühl: Weihnachten kommt immer völlig überraschend. Jedes Jahr. Etwas Ähnliches war vor ein paar Jahren bei der Einführung der DSGVO zu sehen: Obwohl das Gesetz lange bekannt war und es sogar eine zweijährige Übergangsfrist gab, bevor es endgültig in Kraft trat, warteten viele Unternehmen bis zur letzten Sekunde mit der Umsetzung – beziehungsweise scheiterten daran. Ich fürchte, wir befinden uns in exakt der gleichen Situation: Am Horizont steht das IT-Sicherheitsgesetz 2.0.

Je nachdem, in welche Kategorie ein Unternehmen fällt (hier wird es schon etwas kompliziert), besteht bereits jetzt für einige akuter Handlungsbedarf. So sind Unternehmen aus dem Sektor der Gefahrstoffe seit dem 1. November 2021 dazu verpflichtet, Störungen zu melden. Andere Unternehmen, nämlich solche, "die Güter nach § 60 Absatz 1 Nummer 1 und 3 der Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen oder entwickeln", haben noch eine Schonfrist (wir erinnern uns an die DSGVO) bis zum 1. Mai 2023. Aber glauben Sie mir: Dieses Datum kommt schneller als man denkt.

Bei der dritten großen Gruppe ist es noch gar nicht klar, wer hier überhaupt einzuordnen ist. Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden. Besonderes Augenmerk verdienen auch die Zulieferer dieser Unternehmen: Sobald ein Zulieferer von wesentlicher Bedeutung ist, erstreckt sich das Gesetz auch auf diesen. Liefert er beispielsweise exklusiv ein bestimmtes Vorprodukt, ohne das ein "bedeutendes Unternehmen" nicht produzieren kann, fällt er unzweifelhaft unter diese Definition. Wie sieht es aber aus, wenn er einer von drei Supplieren ist? Sie sehen: Auch die Frage, wer für die direkt betroffenen Unternehmen von wesentlicher Bedeutung ist, ist noch ungeklärt. Der vermeintliche Hoffnungsschimmer ist, dass diese Unternehmen zwei Jahre Zeit ab der Erlassung der konkretisierenden Rechtsverordnung haben, um den Ansprüchen des IT-Sicherheitsgesetzes 2.0 gerecht zu werden. Vermeintlich nur deshalb, weil die Angreifer nicht warten werden, wie jüngste Attacken auf Automobilzulieferer, Pharma-Unternehmen und Handelsketten zeigen.

Ich befürchte, dass bis weit ins Frühjahr hinein viele Sicherheitsverantwortlichen keinen Gedanken an das IT-Sicherheitsgesetz 2.0 verschwenden werden, um dann ab Mai in eine leichte Panik zu verfallen, die sich im Laufe der Monate verstärkt. Denn in diesem Zeitraum wird ihnen klar werden, dass sich die Anforderungen aus dem neuen Gesetz nicht mit nur mit Technologie adressieren lassen, sondern auch Prozesse und Strategie im Unternehmen angepasst werden müssen.

Viele Unternehmen wissen aus genannten Gründen auch noch gar nicht, dass sie nun Teil der kritischen Infrastruktur bzw. "Unternehmen im besonderen öffentlichen Interesse" (UBI) sind bzw. werden könnten und damit unter das Gesetz fallen. Zudem erweitert das BSI seinen Fokus auch auf vernetzte Technologien jenseits der IT wie IoT, IIoT oder industrielle Steuerungssysteme / Betriebstechnik (ICS). Gerade hier sind zahlreiche Unternehmen hinter dem aktuellen Stand zurück und es fehlt an vielem, bei einigen sogar an fast allem: Bewusstsein, Prozesse und vor allem den Basics, wie etwa eine umfassende Inventarisierung. Diese Erkenntnis hat sich jedoch noch nicht allzu weit verbreitet. Hier muss die Lernkurve sehr steil sein, um den Bogen noch einigermaßen zu bekommen.

Versuchen wir dieses eine Mal wirklich aus unseren Fehlern zu lernen und die Hausaufgaben nicht bis zum letzten Abend aufzuschieben, damit wir nur noch von Weihnachten überrascht werden, aber nicht von neuen gesetzlichen Anforderungen. (Claroty: ra)

eingetragen: 06.12.21
Newsletterlauf: 09.03.22

Claroty: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Praktikabilität des Blauen Engels

    Die vom eco Verband initiierte Allianz zur Stärkung digitaler Infrastrukturen kritisiert die vom Umweltbundesamt (UBA) vorgesehenen Richtlinien-Neuerungen des Blauen Engels als weiterhin untauglich und praxisfern. Dazu sagt Dr. Béla Waldhauser, Sprecher der Allianz zur Stärkung digitaler Infrastrukturen in Deutschland: "Der Blaue Engel muss handhabbar und praktikabel für Rechenzentren werden. Bei der Überarbeitung des Umweltzeichens hat das UBA die Gelegenheit verstreichen lassen, den sehr starren Anforderungskatalog flexibler auszugestalten und die Praktikabilität des Blauen Engels zu stärken."

  • "Was erlauben DSK?"

    Vor 25 Jahren gab es die Wutrede von Herrn Trapattoni mit dem Ausruf: "Was erlauben Strunz?" Jeder mag sich seine Meinung zu Microsoft 365 bilden, aber heute müsste der Ausruf lauten: "Was erlauben DSK?" In einem Artikel der FAZ vom 13. Januar 2023 beginnen die Autoren Kristin Benedikt, Thomas Kranig und Professor Dr. Rolf Schwartmann ihren Beitrag mit: "Die deutschen Datenschutzaufsichtsbehörden haben Ende November 2022 eine Stellungnahme zu Microsoft 365 veröffentlicht, die es in sich hat. Microsoft-Kunden können danach einen rechtmäßigen Einsatz der Software nicht nachweisen, mit anderen Worten: Microsoft 365 ist rechtswidrig."

  • BGH zur Haftung für Affiliate-Links

    In seinem Urteil vom 26. Januar 2023 - I ZR 27/22 hat der BGH entschieden, dass Online-Händler für Werbelinks auf Partnerseiten nicht haften. Bei Affiliate-Links können Teilnehmende eines Partnerprogramms auf eigenen Seiten einen Link zu Produkten eines Online-Händlers setzen und bekommen dafür eine Provision.

  • Bitkom zur EU-Richtlinie zur Plattformarbeit

    Das EU-Parlament hat ihre Position zur geplanten Richtlinie zur Regulierung der Plattformarbeit festgelegt. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Plattformarbeit braucht einen EU-weit einheitlichen Regulierungsrahmen, der unerwünschte Entwicklungen verhindert, ohne diese neue Form der Arbeit abzuwürgen. Wer über digitale Arbeitsplattformen arbeitet, muss genau wissen, welche arbeitsrechtlichen und sonstigen Bedingungen gelten. Und wer über Plattformen Aufträge, Aufgaben oder Jobs anbietet, muss die juristischen Konsequenzen schnell und sicher erfassen können. Dies muss auch das Ziel der anstehenden Trilog-Verhandlungen sein."

  • Datenschutzpflichten für Unternehmen verschärft

    In seinem Urteil hat der Europäische Gerichtshof (EuGH) geklärt, inwieweit Verbrauchern ein Auskunftsrecht zu von Unternehmen verarbeiteten Daten nach der DSGVO zusteht. Konkret betraf dies die Frage, ob ein Unternehmen die genauen Kontaktdaten offenlegen muss, an die es die Daten des Betroffenen weitergegeben hat oder lediglich eine Kategorie, wie zum Beispiel NGO, IT-Unternehmen oder ähnliches ausreicht.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen