Eine europaweite Maßnahme zur Steigerung des Gesamtniveaus der Cybersicherheit in der EU

Haben Sie schon mal von der NIS-2-Richtlinie gehört?

Dabei handelt es sich um eine europäische Richtlinie, die das Ziel hat die Gesetzgebung bezüglich Cybersicherheit in allen europäischen Staaten zu vereinfachen und zu erhöhen.

Doch was bedeutet das konkret für mein Unternehmen? Bereits am 24.10.2024 wird NIS-2 in deutsches Recht überführt werden und besitzt damit für alle deutschen Unternehmen die unter die Richtlinie fallen rechtliche Gültigkeit. Dabei greift NIS-2 deutlich weiter und betrifft rund 15-Mal mehr Unternehmen als die Vorgängerrichtlinie.

Erfahren Sie jetzt in unserem Paper ob Ihr Unternehmen betroffen ist und was es zu tun gilt.

Organisationen benötigen ein Business Continuity Management (BCM), um ihre Fähigkeit zur Bewältigung von Störungen und Krisen zu verbessern und ihre Geschäftstätigkeit aufrechtzuerhalten.

1. Kontinuität der Geschäftstätigkeit: Ein BCM hilft Organisationen dabei, sich auf mögliche Störungen vorzubereiten und sicherzustellen, dass sie auch in Krisensituationen weiterhin effektiv arbeiten können.
2. Risikominderung: Ein BCM unterstützt Organisationen dabei, Risiken zu identifizieren und Maßnahmen zu ergreifen, um diese Risiken zu minimieren oder zu vermeiden.
3. Rechtliche und regulatorische Anforderungen: In einigen Branchen sind Organisationen gesetzlich oder durch regulatorische Vorgaben verpflichtet, ein BCM zu implementieren.
4. Reputationsmanagement: Ein effektives BCM kann dazu beitragen,den Ruf einer Organisation zu schützen.

Bereits mit dem BSI-Standard 100-4 hat das Bundesamt für Sicherheitin der Informationstechnik (BSI) einen systematischen Weg aufgezeigt,wie ein Notfallmanagement in einer Behörde oder einem Unternehmen aufgebaut werden kann, um die Kontinuität des Geschäftsbetriebs sicherzustellen.

Der Standard 100-4 ist durch den neuen Standard 200-4 ersetzt wor-den. Dieser soll passgenau und modular die verschiedenen Bedürfnisse unterschiedlich großer Anwender berücksichtigen. Der modernisierteBSI-Standard 200-4 gibt eine praxisnahe Anleitung, um ein Business Continuity Management System (BCMS) in der eigenen Institution aufzubauen und zu etablieren.

Wie aktuell der neue Standard ist, zeigt sich beispielsweise daran, dass die Weiterentwicklung des etablierten BSI-Standards 100-4 zahlreiche Neuerungen enthält, die auf den aktuellen Erkenntnissen im Bereich Business Continuity sowie auf den jüngsten Erfahrungen aus der Corona-Pandemie basieren.

Die finale Version des BSI-Standards 200-4 enthält auch eine detailliertere Ausarbeitung von Teilen der Methodik mit umfangreichen Hilfestellungen, z. B. zur Etablierung der Besonderen Aufbauorganisation (Stabsstruktur), im Soll-Ist-Vergleich, in der Geschäftsfortführungsplanung oder Wiederanlaufplanung.

Nach einem aktuellen Urteil des Bundesarbeitsgerichts besteht grundsätzlich kein Verwertungsverbot für Aufzeichnungen aus einer Videoüberwachung, wenn sie offen gestaltet ist und ein vorsätzlich vertragswidriges Verhalten des Arbeitnehmers in Raum steht. Dies gilt selbst dann, wenn die Überwachungsmaßnahme des Arbeitgebers nicht vollständig im Einklang mit den Vorgaben des Datenschutzrechts steht.

BAG Urteil

Active Sourcing ist eine Personalbeschaffungsstrategie, bei der Unterneh-
men proaktiv nach qualifizierten Kandidaten suchen, anstatt passiv auf Be-
werbungen zu warten. Bei dieser Methode geht es darum, potenzielle Kan-
didaten direkt anzusprechen und zu rekrutieren, anstatt sich ausschließlich
auf traditionelle Stellenanzeigen und Bewerbungen zu verlassen.

Beim Active Sourcing nutzen Unternehmen verschiedene Techniken und Ka-
näle, um geeignete Kandidaten zu identifizieren und mit ihnen in Kontakt zu
treten. Dazu gehören beispielsweise die Nutzung von Online-Jobportalen, so-
zialen Netzwerken wie LinkedIn oder XING, das Durchsuchen von beruflichen
Netzwerken, das Sammeln von Informationen aus Fachveröffentlichungen
und die Kontaktaufnahme per E-Mail oder über direkte Nachrichten.
Aus der Perspektive des Datenschutzes stellt sich bereits die Frage nach
einer belastbaren Rechtsgrundlage, wenn ein Unternehmen Active Sour-
cing betreiben möchte.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
geht in seinem 51. Tätigkeitsbericht zum Datenschutz auf die datenschutz-
rechtlichen Feinheiten dieser Personalbeschaffungsstrategie ein (Ziffer 11.3).

Am 10. Juli 2023 hat die Europäische Kommission mit dem EU-U.S. Data Privacy Framework eine Nachfolgeregelung für den 2020 vom Europäischen Gerichtshof aufgehobenen Privacy Shield angenommen und in Kraft gesetzt.

Auf der Grundlage dieser neuen Angemessenheitsentscheidung im Sinne von Artikel 45 DS-GVO ist künftig ein Transfer personenbezogener Daten an alle Stellen in den USA möglich, die den hierfür erforderlichen Selbstzertifizierungsprozess durchlaufen haben. Diese Selbstzertifizierung geschieht auf einer vom US-Handelsministerium betriebenen Internetseite für das Data Privacy Framework, auf der eine Liste der zertifizierten Unternehmen geführt wird – allerdings ist zu beachten, dass diese Webseite erst noch seitens des US-Handelsministeriums eingerichtet werden muss. Der Großteil der öffentlichen Stellen in den USA sowie Banken, Luftverkehrs- und Versicherungsunternehmen sind von einer Zertifizierung ausgenommen. Dass die benannten Organisationen von einer Zertifizierung ausgenommen sind, bedeutet, dass diese nicht unter das Framework fallen, da dieses nur für zertifizierte Organisationen gilt.

Anders als bei einer – weiterhin möglichen – Übermittlung personenbezogener Daten in die USA auf der Grundlage der Standarddatenschutzklauseln der Europäischen Kommission oder verbindlicher Unternehmensrichtlinien ist für Übermittlungen auf Basis der Angemessenheitsentscheidung weder eine Analyse der Rechtslage im Empfängerland (sog. transfer impact assessment) erforderlich, noch müssen die Daten durch ergänzende Maßnahmen, wie z.B. Verschlüsselung, in den USA vor staatlichem Zugriff besonders geschützt werden.

Die Regelungen verpflichten importierende Stellen in den USA zur Einhaltung von an die DS-GVO angelehnten Datenschutzgrundsätzen (z. B. dem Erforderlichkeitsgrundsatz und dem Transparenzgrundsatz) einschließlich der Erfüllung von Betroffenenrechten wie Auskunfts- und Löschungsansprüchen. Wenn EU-Bürger der Auffassung sind, dass diese Vorgaben keine Beachtung finden, können Sie sich an die für sie zuständige europäische Datenschutzaufsichtsbehörde wenden. Die nationale Datenschutzbehörde leitet die Beschwerde an den Europäischen Datenschutzausschuss weiter, der sie an die für die Bearbeitung der Beschwerde zuständigen US-Behörden übermittelt. Außerdem stehen Betroffenen Rechtsbehelfe vor unabhängigen Schiedsstellen in den USA offen.

Durch ein flankierendes Dekret der US-Regierung wurden die Nachrichtendienste der USA auf die Beachtung bestimmter datenschutzrechtlicher Grundsätze und Vorgaben (z.B. Verbot grundloser Massenüberwachungen, Erforderlichkeit und Verhältnismäßigkeit, Ausschluss bestimmter Ziele wie z. B. Industriespionage) eingeschworen, deren Beachtung Betroffene von neu eingerichteten unabhängigen Stellen in den USA im Einzelfall überprüfen lassen können.

Für die bereits unter der Vorgängerregelung – dem Privacy Shield Framework – zertifizierten Datenimporteure in den USA sind Übergangsregelungen zur Umstellung auf die neuen Vorgaben vorgesehen. Der Neuregelung gehen mehrjährige Verhandlungen zwischen der Europäischen Kommission und der amerikanischen Regierung voraus; zuletzt hatte sich der Europäische Datenschutzausschuss, das Kooperationsgremium der Datenschutzaufsichtsbehörden der europäischen Mitgliedsstaaten, wohlwollend kritisch und das Europäische Parlament ablehnend gegenüber der Neuregelung geäußert.

Detailliertere Anmerkungen zur neuen Angemessenheitsentscheidung sowie eine Überarbeitung der Orientierungshilfe Internationaler Datentransfer folgen in Kürze.

Weitere Informationen zu Datenschutz und Informationsfreiheit finden Sie im Internet unter www.baden-wuerttemberg.datenschutz.de oder unter www.datenschutz.de