Das Jahr 2022 bringt die DSGVO reloaded


Max Rahner, Sales Director DACH der Industrial-Cybersecurity-Anbieterin Claroty, fühlt sich beim neuen IT-Sicherheitsgesetz 2.0 an die Einführung der DSGVO erinnert
Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden



Wir alle kennen das Gefühl: Weihnachten kommt immer völlig überraschend. Jedes Jahr. Etwas Ähnliches war vor ein paar Jahren bei der Einführung der DSGVO zu sehen: Obwohl das Gesetz lange bekannt war und es sogar eine zweijährige Übergangsfrist gab, bevor es endgültig in Kraft trat, warteten viele Unternehmen bis zur letzten Sekunde mit der Umsetzung – beziehungsweise scheiterten daran. Ich fürchte, wir befinden uns in exakt der gleichen Situation: Am Horizont steht das IT-Sicherheitsgesetz 2.0.

Je nachdem, in welche Kategorie ein Unternehmen fällt (hier wird es schon etwas kompliziert), besteht bereits jetzt für einige akuter Handlungsbedarf. So sind Unternehmen aus dem Sektor der Gefahrstoffe seit dem 1. November 2021 dazu verpflichtet, Störungen zu melden. Andere Unternehmen, nämlich solche, "die Güter nach § 60 Absatz 1 Nummer 1 und 3 der Außenwirtschaftsverordnung in der jeweils geltenden Fassung herstellen oder entwickeln", haben noch eine Schonfrist (wir erinnern uns an die DSGVO) bis zum 1. Mai 2023. Aber glauben Sie mir: Dieses Datum kommt schneller als man denkt.

Bei der dritten großen Gruppe ist es noch gar nicht klar, wer hier überhaupt einzuordnen ist. Welche Unternehmen "nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind", muss noch durch eine Rechtsverordnung festgelegt werden. Besonderes Augenmerk verdienen auch die Zulieferer dieser Unternehmen: Sobald ein Zulieferer von wesentlicher Bedeutung ist, erstreckt sich das Gesetz auch auf diesen. Liefert er beispielsweise exklusiv ein bestimmtes Vorprodukt, ohne das ein "bedeutendes Unternehmen" nicht produzieren kann, fällt er unzweifelhaft unter diese Definition. Wie sieht es aber aus, wenn er einer von drei Supplieren ist? Sie sehen: Auch die Frage, wer für die direkt betroffenen Unternehmen von wesentlicher Bedeutung ist, ist noch ungeklärt. Der vermeintliche Hoffnungsschimmer ist, dass diese Unternehmen zwei Jahre Zeit ab der Erlassung der konkretisierenden Rechtsverordnung haben, um den Ansprüchen des IT-Sicherheitsgesetzes 2.0 gerecht zu werden. Vermeintlich nur deshalb, weil die Angreifer nicht warten werden, wie jüngste Attacken auf Automobilzulieferer, Pharma-Unternehmen und Handelsketten zeigen.

Ich befürchte, dass bis weit ins Frühjahr hinein viele Sicherheitsverantwortlichen keinen Gedanken an das IT-Sicherheitsgesetz 2.0 verschwenden werden, um dann ab Mai in eine leichte Panik zu verfallen, die sich im Laufe der Monate verstärkt. Denn in diesem Zeitraum wird ihnen klar werden, dass sich die Anforderungen aus dem neuen Gesetz nicht mit nur mit Technologie adressieren lassen, sondern auch Prozesse und Strategie im Unternehmen angepasst werden müssen.

Viele Unternehmen wissen aus genannten Gründen auch noch gar nicht, dass sie nun Teil der kritischen Infrastruktur bzw. "Unternehmen im besonderen öffentlichen Interesse" (UBI) sind bzw. werden könnten und damit unter das Gesetz fallen. Zudem erweitert das BSI seinen Fokus auch auf vernetzte Technologien jenseits der IT wie IoT, IIoT oder industrielle Steuerungssysteme / Betriebstechnik (ICS). Gerade hier sind zahlreiche Unternehmen hinter dem aktuellen Stand zurück und es fehlt an vielem, bei einigen sogar an fast allem: Bewusstsein, Prozesse und vor allem den Basics, wie etwa eine umfassende Inventarisierung. Diese Erkenntnis hat sich jedoch noch nicht allzu weit verbreitet. Hier muss die Lernkurve sehr steil sein, um den Bogen noch einigermaßen zu bekommen.

Versuchen wir dieses eine Mal wirklich aus unseren Fehlern zu lernen und die Hausaufgaben nicht bis zum letzten Abend aufzuschieben, damit wir nur noch von Weihnachten überrascht werden, aber nicht von neuen gesetzlichen Anforderungen. (Claroty: ra)

eingetragen: 06.12.21
Newsletterlauf: 09.03.22

Claroty: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Berichtspflichten dürfen kein Selbstzweck sein

    Die Europäische Kommission hat ihre Omnibus-Initiative zur Vereinfachung der ESG-Regulierung vorgestellt. Die Deutsche Kreditwirtschaft (DK) hat bereits im Vorfeld Vorschläge gemacht, wie das Regelwerk effizienter und steuerungsrelevanter werden kann.

  • Vereinfachung von Nachhaltigkeitsvorschriften

    Die EU-Kommission legte ihr erstes sogenanntes Omnibus-Paket zur Vereinfachung von Nachhaltigkeitsvorschriften vor, um Regulierungen und Bürokratie abzubauen. Zugleich sollen mit dem Clean Industrial Deal (CID) wichtige industriepolitische Weichen gestellt werden.

  • FIDA-Einführung belastet Finanzsektor erheblich

    Die Deutsche Kreditwirtschaft (DK) fordert eine umfassende und sorgfältige Überprüfung des Vorschlags der Europäischen Kommission zur Financial Data Access Regulation (FiDA). Die Debatte um das neue Arbeitsprogramm der Europäischen Kommission bis hin zu einer Rücknahme des FiDA-Vorschlags verdeutlicht den erheblichen Klärungsbedarf in zentralen Fragen.

  • EU-Regulierung von Online-Marktplätzen

    Zur Mitteilung der EU-Kommission zu den aktuellen Herausforderungen im Bereich von E-Commerce-Plattformen erklärt Dr. Bernhard Rohleder, Bitkom-Hauptgeschäftsführer: "Die EU-Kommission schlägt mit ihrer Mitteilung den richtigen Weg ein. Wer online einkauft, muss sich auf die Sicherheit der angebotenen Produkte verlassen können. Dafür braucht es allerdings keine weiteren Regeln, sondern stärkere Importkontrollen und die Aufhebung der Zollfreigrenze von 150 Euro. Denn wenn außereuropäische Händler unter Ausnutzung dieser Grenze illegale Produkte einführen, gefährdet das nicht nur die Verbraucherinnen und Verbraucher, sondern auch europäische Anbieter."

  • Künstliche Intelligenz: Was für Unternehmen gilt

    Seit Sonntag, 2. Februar 2025 sind weitere Regelungen der europäischen KI-Verordnung (AI Act) in Kraft. Dabei handelt es sich zum einen um Verbote von bestimmten KI-Praktiken wie Social-Scoring-Systemen, manipulative KI-Techniken oder Emotionserkennung am Arbeitsplatz. Zum anderen greifen Vorgaben für KI-Kompetenzanforderungen von Beschäftigten.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen