Cyber Resilienz ist kein Sprint

Cyber-Resilienz: Kein Sprint, sondern ein Marathon – Ein umfassender Leitfaden zur nachhaltigen Cyber-Sicherheit

In einer Ära, in der Cyberangriffe zunehmend ausgeklügelter und allgegenwärtiger werden, reicht es nicht mehr, punktuelle oder halbherzige Sicherheitsmaßnahmen zu ergreifen. Cyber-Resilienz erfordert einen ganzheitlichen, kontinuierlichen Ansatz, der alle Ebenen eines Unternehmens umfasst – beginnend beim Management bis hin zu den operativen Teams. Es geht darum, aus jedem Vorfall zu lernen und immer wieder in die Verbesserung der Sicherheitsstrategie zu investieren.

Die neuen Herausforderungen in der digitalen Welt

Unternehmen sehen sich heute komplexen Bedrohungsszenarien gegenüber, die nicht nur technische Systeme, sondern auch Geschäftsprozesse, die Unternehmenskultur und das Vertrauen von Kunden und Partnern betreffen. Cyberangriffe können:

Betriebsunterbrechungen
Datenverluste
Rufschädigungen und
Erhebliche finanzielle Schäden

verursachen. Angesichts dieser Risiken ist es unerlässlich, nicht nur auf Prävention zu setzen, sondern auch auf schnelle und effektive Reaktionsstrategien. Dabei ist klar: Wer sich auf einige Dokumente verlässt, um eine Zertifizierung zu erlangen und danach in Sicherheit zu wiegen, irrt gewaltig – denn potenzielle Angreifer werden technisch immer perfekter und ihre Methoden immer ausgefeilter und professioneller.

Die zentrale Rolle und Haftung des Managements

Das Management ist der entscheidende Treiber einer erfolgreichen Cyber-Resilienz-Strategie. Nur wenn die Führungsebene Sicherheit als strategischen Wettbewerbsvorteil versteht und aktiv vorlebt, dass es nicht ausreicht, Maßnahmen und Anforderungen halbherzig zu definieren oder umzusetzen, können nachhaltige und robuste Sicherheitskonzepte etabliert werden. Dabei trägt das Management nicht nur die strategische Verantwortung, sondern auch die rechtliche Haftung für Cyber- und Informationssicherheit im Unternehmen.

Verantwortliche Manager müssen:

Prioritäten setzen: Sicherheit als festen Bestandteil der Unternehmensstrategie integrieren.
Ressourcen bereitstellen: Investitionen in modernste Technologien, Schulungen und kontinuierliche Weiterentwicklung sicherstellen.
Kultur prägen: Ein Umfeld schaffen, in dem Sicherheit als Gemeinschaftsaufgabe verstanden und gelebt wird.
Verantwortung und Haftung übernehmen: Sicherstellen, dass alle notwendigen Maßnahmen umgesetzt werden, um im Falle eines Angriffs die gesetzlichen Anforderungen zu erfüllen. Fehlende oder unzureichende Sicherheitsvorkehrungen können zu erheblichen rechtlichen Konsequenzen führen, da das Management für die Informationssicherheit und den Schutz der Unternehmensdaten haftbar gemacht wird.
Kontinuierliche Verbesserung vorantreiben: Regelmäßige Audits, Simulationen und Reviews initiieren, um bestehende Maßnahmen kritisch zu hinterfragen und zu optimieren.

Cyber-Resilienz als ganzheitlicher Ansatz

Cyber-Resilienz umfasst weit mehr als die reine Abwehr von Angriffen. Sie basiert auf vier zentralen Säulen:

1. Prävention

Risikobewertung: Identifikation kritischer Systeme und Daten.
Schutzmaßnahmen: Einsatz modernster Technologien wie Firewalls, Verschlüsselung und Intrusion Detection Systeme.
Regelmäßige Updates: Permanente Aktualisierung der Systeme, um neue Schwachstellen zu schließen.

2. Erkennung

Monitoring: Kontinuierliche Überwachung der IT-Infrastruktur zur frühzeitigen Identifikation von Anomalien.
Automatisierte Alarmierung: Einsatz von KI-gestützten Systemen, die ungewöhnliche Aktivitäten sofort melden.
Analyse-Tools: Nutzung von Forensik und Datenanalysen zur schnellen Identifikation des Angriffsvektors.

3. Reaktion

Incident-Response-Pläne: Ausarbeitung klar definierter Reaktionsstrategien, die im Ernstfall sofort in Kraft treten.
Koordination: Enge Zusammenarbeit zwischen IT-Abteilung, Management und externen Partnern.
Transparente Kommunikation: Offener Informationsfluss zu allen Stakeholdern, um Vertrauen zu erhalten und weiteren Schaden zu minimieren.

4. Wiederherstellung

Backup-Strategien: Regelmäßige und geprüfte Backups, die eine schnelle Wiederherstellung ermöglichen.
Systemtests: Simulierte Angriffe (Penetrationstests), um die Wirksamkeit der Wiederherstellungsprozesse zu überprüfen.
Lessons Learned: Detaillierte Analysen nach jedem Vorfall, um zukünftige Risiken zu minimieren und Prozesse zu optimieren.

Best Practices und kontinuierliche Verbesserungsprozesse

Cyber-Resilienz ist kein statischer Zustand, sondern ein fortlaufender Prozess der Verbesserung. Unternehmen sollten:

Regelmäßig Schulungen und Sensibilisierungsmaßnahmen für alle Mitarbeiter durchführen, um das Bewusstsein für Cybergefahren zu stärken.
Technologische Entwicklungen fortlaufend beobachten und innovative Sicherheitslösungen integrieren.
Zusammenarbeit mit Experten und Teilnahme an branchenspezifischen Netzwerken fördern, um stets auf dem neuesten Stand zu bleiben.
Notfallübungen organisieren, um im Ernstfall rasch und effektiv reagieren zu können.

Die Gefahr halbherziger Maßnahmen

Es reicht nicht, Sicherheitsvorgaben nur auf dem Papier zu haben. Wer glaubt, dass das Erstellen einiger Dokumente und das Erreichen einer Zertifizierung ausreichen, um sich vor den immer raffinierteren Angriffsmethoden zu schützen, begeht einen schwerwiegenden Fehler. Cyber-Angreifer entwickeln ihre Taktiken ständig weiter – und Unternehmen, die sich nach einem Audit in Sicherheit wiegen, laufen Gefahr, schnell unvorbereitet zu sein. Eine konsequente, ganzheitliche und vor allem kontinuierliche Umsetzung von Sicherheitsmaßnahmen ist der einzige Weg, um der ständigen Dynamik im Cyber-Bereich gerecht zu werden.

Ausblick: Cyber-Resilienz als Wettbewerbsvorteil

Investitionen in Cyber-Resilienz sind Investitionen in die Zukunft des Unternehmens. Ein robustes Sicherheitskonzept stärkt nicht nur den Schutz vor Angriffen, sondern erhöht auch das Vertrauen von Kunden, Partnern und Investoren. Unternehmen, die Cyber-Resilienz ernst nehmen und ihre Sicherheitsstrategie kontinuierlich optimieren, positionieren sich langfristig als verlässliche und innovative Marktteilnehmer.

Fazit: Der Weg zu einer widerstandsfähigen Organisation

Die digitale Landschaft ist im stetigen Wandel – und so müssen auch unsere Sicherheitsstrategien kontinuierlich weiterentwickelt werden. Cyber-Resilienz bedeutet, sich nicht von Rückschlägen entmutigen zu lassen, sondern aus ihnen zu lernen und gestärkt hervorzugehen. Es geht darum, flexibel und vorbereitet zu sein, um auch in Krisenzeiten handlungsfähig zu bleiben. Die Führungsebene trägt hierbei eine Schlüsselrolle: Nur mit konsequenter, engagierter und ganzheitlicher Umsetzung aller Sicherheitsmaßnahmen und unter Übernahme der rechtlichen Verantwortung und Haftung kann ein Unternehmen den Herausforderungen der modernen Cyberwelt standhalten.

Warten ist keine Strategie: NIS-2 fordert jetzt Taten, nicht Ausreden!

Warten ist keine Strategie

NIS-2 fordert jetzt Taten, nicht Ausreden!

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete Version der ursprünglichen NIS-Richtlinie. Sie soll die Cybersicherheit in Europa weiter stärken und bringt insbesondere für kritische und wichtige Sektoren deutlich verschärfte Anforderungen mit sich. In diesem Artikel erfährst du, auf welche Themen sich IT-Teams jetzt fokussieren sollten, um die neuen Vorgaben rechtzeitig und effektiv umzusetzen. Außerdem erhältst du einen Schritt-für-Schritt-Maßnahmenplan, wie du schnell sichtbare und spürbare Verbesserungen in der Informationssicherheit deines Unternehmens erzielen kannst.

1. Was ist neu an NIS-2?

Erweiterter Anwendungsbereich: NIS-2 umfasst nicht mehr nur klassische „kritische Infrastrukturen“ (KRITIS), sondern auch viele weitere Unternehmen, die in essenziellen Bereichen tätig sind (z. B. Logistik, Finanzdienstleistungen, Abfallwirtschaft, digitale Infrastrukturen, Gesundheitswesen, usw.)
Höhere Anforderungen an Sicherheitsmaßnahmen: Artikel 21 der NIS-2-Richtlinie definiert klare Vorgaben für Risikomanagement, Incident Response, Business Continuity und mehr
Strengere Durchsetzung und Sanktionen: Artikel 89 sieht deutlich höhere Bußgelder und die persönliche Haftung von Geschäftsführungen und Managementebenen vor
Verantwortlichkeit des Managements: Das Top-Management kann sich nicht mehr aus der Verantwortung ziehen. Sie müssen aktiv für die Umsetzung der Sicherheitsanforderungen sorgen

2. Relevante Themen für IT-Teams

2.1 Risikomanagement und Governance

Risikobewertung: Identifiziere die größten Gefahrenquellen für dein Unternehmen (z. B. Cyberangriffe, Systemausfälle, Lieferkettenrisiken)
Maßnahmenableitung: Definiere passende Gegenmaßnahmen und priorisiere diese nach dem zu erwartenden Schadenspotenzial
Kontinuierliche Überprüfung: Führe regelmäßig Risiko-Assessments durch, da sich Bedrohungslage und Technologie ständig ändern

2.2 Incident Response und Notfallmanagement

Klare Prozesse: Lege fest, wer im Krisenfall welche Aufgaben übernimmt und wie die Kommunikation (intern/extern) verläuft
Übungen und Tests: Führe Notfallübungen durch (z. B. Penetrationstests, Table-Top-Exercises), um die Reaktionsfähigkeit zu erhöhen
Dokumentation: Stelle sicher, dass alle relevanten Prozesse und Verantwortlichkeiten schriftlich festgehalten sind

2.3 Business Continuity & Disaster Recovery

Redundanzen: Schaffe Ausweichmöglichkeiten bei Ausfällen (z. B. Backup-Rechenzentrum, Cloud-Fallback)
Wiederanlaufpläne: Definiere, wie Systeme im Ernstfall schnellstmöglich wiederhergestellt werden können
Regelmäßige Tests: Überprüfe deine Notfallkonzepte und Wiederherstellungspläne in definierten Abständen

2.4 Lieferketten- und Cloud-Sicherheit

Vertragliche Regelungen: Stelle sicher, dass auch Lieferanten, Dienstleister und Cloud-Anbieter deine Sicherheitsanforderungen einhalten
Audit und Monitoring: Führe regelmäßige Sicherheits-Audits durch und überprüfe die Wirksamkeit der Maßnahmen in der Lieferkette
Schnittstellen- und Zugriffsmanagement: Kontrolliere genau, welche Daten an externe Partner fließen und wer darauf zugreifen kann

2.5 Schulung und Sensibilisierung

Regelmäßige Trainings: Schule deine Mitarbeiter (inklusive Management) zu Themen wie Phishing, Passwortsicherheit und Meldewegen bei Vorfällen
Awareness-Kampagnen: Erhöhe das Sicherheitsbewusstsein durch kurze Lernvideos, Newsletter oder Workshops
Kultur der Offenheit: Fördere eine Kultur, in der Sicherheitsvorfälle schnell gemeldet und besprochen werden können, ohne Schuldzuweisungen

2.6 Kontinuierliche Überwachung und Reporting

Monitoring-Tools: Implementiere SIEM-Systeme (Security Information and Event Management) oder andere Monitoring-Lösungen, um Anomalien frühzeitig zu erkennen
Reporting: Dokumentiere alle Vorfälle, Maßnahmen und Ergebnisse von Prüfungen, um im Ernstfall gegenüber Behörden und Auditoren aussagefähig zu sein

3. Schritt-für-Schritt-Maßnahmenplan zur Einführung eines ISMS (und Erfüllung der NIS-2-Anforderungen)

Schritt 1: Management Commitment sicherstellen

Sensibilisierung des Top-Managements: Stelle in einer Präsentation oder einem Workshop klar heraus, welche Risiken drohen und welche Haftungsrisiken (persönlich und finanziell) entstehen können
Budget und Ressourcen: Kläre, welche finanziellen Mittel und personellen Kapazitäten für die Umsetzung erforderlich sind

Schritt 2: Geltungsbereich (Scope) definieren

Identifikation der kritischen Assets: Welche Systeme, Daten und Prozesse sind besonders schützenswert?
Festlegung der Verantwortlichkeiten: Wer ist wofür zuständig (IT, Fachabteilungen, Lieferanten)?
Grenzen und Schnittstellen: Definiere, wo das ISMS beginnt und endet, und welche externen Partner einbezogen werden

Schritt 3: Risikoanalyse durchführen

Bedrohungen und Schwachstellen ermitteln: Verwende etablierte Methoden (z. B. nach ISO/IEC 27005, BSI-Standards)
Risikobewertung: Ordne den identifizierten Risiken eine Priorität zu (z. B. hoch, mittel, niedrig)
Maßnahmenplanung: Leite aus der Risikoanalyse konkrete Sicherheitsmaßnahmen ab (z. B. Hardening von Systemen, Netzsegmentierung, Backup-Strategie)

Schritt 4: Sicherheitskonzept entwickeln und dokumentieren

Technische und organisatorische Maßnahmen: Lege verbindlich fest, welche Maßnahmen umgesetzt werden (z. B. Passwortpolicy, Patch-Management, Netzwerk- und Zugriffsrechte)
Notfallpläne und Prozesse: Definiere Vorgehensweisen bei Sicherheitsvorfällen (Incident Response, Krisenkommunikation, Wiederanlauf)
Richtlinien und Policies: Erstelle dokumentierte Regeln (z. B. Acceptable Use Policy, BYOD-Richtlinie, Lieferantenmanagement-Richtlinie)

Schritt 5: Schulung und Sensibilisierung

Mitarbeiter-Trainings: Führe verpflichtende Schulungen durch, um grundlegendes Sicherheitswissen zu vermitteln (Phishing-Erkennung, Meldewege, etc.)
Awareness-Kampagnen: Nutze regelmäßige Erinnerungen (E-Mail, Intranet) und kurze E-Learning-Einheiten, um das Thema präsent zu halten
Führungskräfte einbinden: Auch das Management und Abteilungsleiter müssen geschult werden, um als Vorbilder zu agieren

Schritt 6: Technische Umsetzung und Quick Wins

Schnelle Erfolge: Identifiziere einfache Maßnahmen, die rasch umzusetzen sind (z. B. Multi-Faktor-Authentifizierung, regelmäßige Sicherheitsupdates, Segmentierung besonders sensibler Netzbereiche)
Monitoring und SIEM: Implementiere oder verbessere bestehende Monitoring-Systeme, um Angriffe frühzeitig zu erkennen
Regelmäßige Audits: Prüfe in kurzen Abständen (z. B. quartalsweise) den Fortschritt der Umsetzung und passe Maßnahmen an

Schritt 7: Kontinuierlicher Verbesserungsprozess (KVP)

Review und Reporting: Lege fest, wie oft das ISMS überprüft wird (z. B. jährlich oder halbjährlich)
Korrektur- und Vorbeugemaßnahmen: Reagiere auf neue Bedrohungen und Lessons Learned aus Vorfällen
Zertifizierung (optional): Überlege, ob eine Zertifizierung nach ISO/IEC 27001 sinnvoll ist, um den Reifegrad eures ISMS offiziell zu belegen

4. Sichtbare und spürbare Effekte für dein Unternehmen

Reduzierung von Sicherheitsvorfällen: Durch klare Prozesse und Schulungen sinkt die Wahrscheinlichkeit erfolgreicher Angriffe
Schnellere Reaktionszeiten: Ein etabliertes Incident-Response-Team kann Angriffe oder Störungen früher erkennen und effizienter abwehren
Höheres Vertrauen: Kunden, Geschäftspartner und Behörden gewinnen mehr Vertrauen in die Zuverlässigkeit und Professionalität deines Unternehmens
Transparenz und Compliance: Mit einem ISMS bist du in der Lage, auf Anfragen von Auditoren und Aufsichtsbehörden schnell und nachvollziehbar zu reagieren
Besserer Geschäftsschutz: Kontinuierliche Sicherheitsmaßnahmen und eine nachhaltige Sicherheitskultur sichern langfristig das Geschäft und reduzieren finanzielle Risiken

5. Fazit

Die NIS-2-Richtlinie ist ein deutlicher Weckruf für Unternehmen, ihre Cybersicherheit auf ein neues Niveau zu heben. Für IT-Teams bedeutet dies, jetzt die Initiative zu ergreifen und gemeinsam mit dem Management ein strukturiertes, wirksames Informationssicherheitsmanagementsystem (ISMS) aufzubauen. Durch einen klaren Maßnahmenplan, kontinuierliche Schulung und Sensibilisierung sowie regelmäßige Überprüfungen können schnell sichtbare und spürbare Effekte erreicht werden. So lassen sich die Anforderungen aus NIS-2 nicht nur erfüllen, sondern auch die Widerstandsfähigkeit des Unternehmens gegen Cyberbedrohungen signifikant erhöhen.

Tipp: Warte nicht, bis die Richtlinie in nationales Recht umgesetzt wird. Die Zeit bis zur verbindlichen Umsetzung vergeht schnell, und eine frühzeitige Vorbereitung verschafft dir nicht nur Sicherheit, sondern auch einen Wettbewerbsvorteil.

EHDS

European Health Data Space (EHDS)

Einleitung

Gesundheitsdaten gelten als besonders sensibel und schützenswert. Dennoch sind sie für Wissenschaft, Forschung, Politik und Wirtschaft von zentraler Bedeutung, um medizinische Fortschritte zu erzielen, Pandemiesituationen vorherzusagen und gesundheitspolitische Entscheidungen zu treffen.

Der European Health Data Space (EHDS), auf Deutsch Europäischer Gesundheitsdatenraum, ist eine tragende Säule der Strategie für den EU-Datenbinnenmarkt. Er soll einen sicheren und regulierten Austausch von Gesundheitsdaten zwischen verschiedenen Akteuren ermöglichen. Dabei spielen Datenschutz und Cybersicherheit eine entscheidende Rolle.

Rechtlicher Rahmen

Der EHDS steht in engem Zusammenhang mit anderen gesetzlichen Regelungen, insbesondere:

Datenschutz-Grundverordnung (DSGVO)
NIS2-Richtlinie
Data Act
Data Governance Act

Im März 2024 wurde eine grundsätzliche Einigung über den EHDS innerhalb der EU erzielt, allerdings ist er noch nicht in Kraft getreten.

Ziele des EHDS

Der EHDS verfolgt drei Hauptziele:

1. Infrastruktur und Technologie

Durch Harmonisierungsmaßnahmen soll der grenzüberschreitende Zugang zu Gesundheitsdienstleistungen innerhalb der EU erleichtert werden. Ein Beispiel ist das Einlösen von Rezepten in jeder Apotheke innerhalb der EU-Grenzen.

2. Datenqualität und Interoperabilität

Gesundheitsdaten sollen legal, länderübergreifend ausgetauscht und genutzt werden dürfen. Um dabei eine hohe Datenqualität zu gewährleisten, sollen EU-weite Standards geschaffen werden.

3. Definition der Datenverwaltung (Governance)

Basierend auf einer Analyse der nationalen Gesundheitssysteme sollen Regeln für die Zusammenarbeit auf EU-Ebene entwickelt werden.

Primärnutzung von Gesundheitsdaten

Der EHDS soll einen EU-weiten Rechtsanspruch auf einen schnellen und einfachen Zugang zu den eigenen elektronischen Gesundheitsdaten schaffen. Dies betrifft unter anderem:

Elektronische Patientenakten
Röntgenbilder
Impfnachweise
Rezepte

Gesundheitsberufe sollen ebenfalls Zugriff auf diese Daten erhalten, wobei Patientinnen und Patienten darüber informiert werden.

Zur Umsetzung dieser Vorgaben wird eine zentrale EU-Plattform für digitale Gesundheitsdienste eingerichtet, die mit nationalen Kontaktstellen zusammenarbeitet. Darüber hinaus soll ein einheitliches europäisches Austauschformat für elektronische Patientenakten eingeführt werden.

Jeder EU-Mitgliedstaat muss eine digitale Gesundheitsbehörde bestimmen, die für die Durchsetzung der EHDS-Vorgaben verantwortlich ist. Sie wird auch Patientenbeschwerden bearbeiten.

Sekundärnutzung von Gesundheitsdaten

Die EHDS-Verordnung regelt auch die sogenannte Sekundärnutzung von Gesundheitsdaten. Dies betrifft die datenschutzkonforme Nutzung durch:

Wissenschaft
Forschung
Bildung
Wirtschaft
Öffentliche Einrichtungen

Für die Nutzung anonymisierter oder pseudonymisierter Gesundheitsdaten ist ein Antragsverfahren vorgesehen. Eine Zugangsstelle für Gesundheitsdaten in jedem EU-Mitgliedstaat prüft, ob die Sekundärnutzung einem legitimen Zweck dient, z. B.:

Wissenschaftliche Forschung
Entwicklung von Medizinprodukten
Training von KI-Systemen

Bestimmte Nutzungszwecke sind jedoch ausdrücklich ausgeschlossen, darunter:

Werbung
Anpassung von Versicherungsprämien

Patientinnen und Patienten haben ein Widerspruchsrecht, sodass sie entscheiden können, ob ihre Daten für Forschungszwecke genutzt werden dürfen oder nicht.

Nationale Regelungen

Ergänzende Vorschriften finden sich in Deutschland in folgenden Gesetzen:

Digitalgesetz
Gesundheitsdatennutzungsgesetz (seit 26. März 2024 in Kraft)
Patientendatenschutzgesetz (seit Oktober 2020 in Kraft)

Gemäß EHDS können EU-Mitgliedstaaten ein spezifisches Widerspruchsrecht in Bezug auf die Verarbeitung elektronischer Patientenakten einführen. Die in Deutschland bestehende Opt-out-Lösung bleibt somit erhalten.

Fazit

Der European Health Data Space (EHDS) bietet zahlreiche Möglichkeiten für einen sicheren und effizienten Umgang mit Gesundheitsdaten in der EU. Durch die Harmonisierung von Datenstandards und rechtlichen Rahmenbedingungen wird eine bessere Interoperabilität erreicht. Gleichzeitig bleiben Datenschutz und individuelle Entscheidungsfreiheit der Patientinnen und Patienten zentrale Elemente des Systems.

DSGVO

Datenschutzgrundverordnung (DSGVO) und IT-Sicherheit

Die Datenschutzgrundverordnung (DSGVO) regelt den richtigen Umgang mit personenbezogenen Daten. Da es sich hierbei um einen weitreichenden Begriff handelt, begegnen uns personenbezogene Daten in fast allen Bereichen des Arbeitsalltags. Anonyme Daten wie reine Statistiken oder Maschinendaten fallen nicht in den Anwendungsbereich der DSGVO. Sobald jedoch ein Personenbezug besteht, greifen die datenschutzrechtlichen Vorgaben.

Ein zentraler Aspekt der DSGVO ist der Schutz der Daten durch angemessene Maßnahmen. Besonders relevant ist hier Artikel 32 DSGVO, der technische und organisatorische Maßnahmen (TOMs) zur Absicherung der Datenverarbeitung fordert. Ziel ist es, ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Technische und organisatorische Maßnahmen (TOMs) nach Artikel 32 DSGVO

Artikel 32, Absatz 1 DSGVO beschreibt verschiedene Schutzmaßnahmen, die Unternehmen und Organisationen umsetzen müssen:

Pseudonymisierung und Verschlüsselung von Daten.
Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste zur Datenverarbeitung.
Schnelle Wiederherstellung der Verfügbarkeit der Daten und des Zugangs zu ihnen bei einem physischen oder technischen Zwischenfall.
Regelmäßige Überprüfung, Bewertung und Evaluierung der TOMs, um deren Wirksamkeit sicherzustellen.

Allerdings enthält die DSGVO – abgesehen von Pseudonymisierung und Verschlüsselung – keine konkreten Maßnahmen, sondern beschreibt allgemeine Gewährleistungsziele. Jede verantwortliche Stelle muss selbst entscheiden, welche spezifischen TOMs erforderlich sind.

Risikobasierter Ansatz für IT-Sicherheit

Gemäß Artikel 32 DSGVO müssen verschiedene Faktoren bei der Auswahl und Implementierung der TOMs berücksichtigt werden:

Stand der Technik
Implementierungskosten
Art, Umfang, Umstände und Zwecke der Datenverarbeitung
Eintrittswahrscheinlichkeit und Schwere des Risikos

Dabei steht nicht das Risiko des Unternehmens im Vordergrund, sondern das Risiko für die betroffenen Personen, deren Daten verarbeitet werden. Es gilt zu verhindern, dass Daten verloren gehen, verändert werden oder unbefugten Dritten zugänglich sind.

Praktische Beispiele für TOMs

Folgende Maßnahmen können zur Umsetzung der Anforderungen aus Artikel 32 DSGVO beitragen:

Aktuelle Betriebssysteme und regelmäßige Updates
Antivirus-Software und Firewalls
Sichere Backup-Strategien
Passwortrichtlinien und Multi-Faktor-Authentifizierung
Physische Schutzmaßnahmen (Alarmanlagen, Überwachungskameras, Zugangskontrollen)
Schulungen und Sensibilisierung der Mitarbeiter
Datenschutzrichtlinien und Betriebsvereinbarungen

Die konkrete Auswahl und Umsetzung dieser Maßnahmen sollte auf einem risikobasierten Ansatz beruhen:

Welche Werte müssen geschützt werden?
Welche Risiken bestehen?
Welche Maßnahmen sind erforderlich?
Wie wird die Wirksamkeit der Maßnahmen überprüft?

Unterstützung durch etablierte Standards

Unternehmen müssen nicht alle Sicherheitsmaßnahmen selbst definieren, sondern können sich an bewährten Sicherheitsstandards orientieren:

IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI)
Standard-Datenschutzmodell (SDM) der deutschen Datenschutzaufsichtsbehörden
ISO 27001 (Informationssicherheitsmanagement)
ISO 27701 (Datenschutzmanagementsystem als Ergänzung zur ISO 27001)

Datenschutz und IT-Sicherheit – Ein gemeinsames Ziel

Die Einhaltung der DSGVO führt nicht nur zur Erfüllung gesetzlicher Vorgaben, sondern trägt auch zur allgemeinen IT-Sicherheit eines Unternehmens bei. Sichere personenbezogene Daten bedeuten auch besseren Schutz für Geschäftsgeheimnisse und andere sensible Informationen. Neben der DSGVO gibt es hierzu ergänzende gesetzliche Regelungen wie das Geschäftsgeheimnisgesetz (GeschGehG).

Fazit

Unternehmen, Behörden und Vereine müssen die Anforderungen von Artikel 32 DSGVO einhalten und geeignete TOMs zur Absicherung personenbezogener Daten implementieren. Ein umfassender, risikobasierter Ansatz und die Nutzung etablierter Sicherheitsstandards sind essenziell, um Datenschutz und IT-Sicherheit wirksam umzusetzen.

CER-Richtlinie

Corporate Environmental Responsibility

Die CER-Richtlinie (Richtlinie (EU) 2022/2557) zielt darauf ab, die Resilienz kritischer Einrichtungen in der Europäischen Union zu stärken. Sie wurde am 14. Dezember 2022 verabschiedet und ersetzt die frühere EPSKI-Richtlinie von 2008. Die Mitgliedstaaten sind verpflichtet, diese Richtlinie bis Oktober 2024 in nationales Recht umzusetzen. (siehe eur-lex.europa.eu )

Anwendungsbereich der CER-Richtlinie

Die CER-Richtlinie betrifft Einrichtungen, die wesentliche Dienste für die Gesellschaft erbringen. Zu den Sektoren, die unter die Richtlinie fallen, gehören:

Energie: Elektrizität, Fernwärme, Öl, Gas, Wasserstoff
Transport: Luft-, Schienen-, Wasser- und Straßenverkehr sowie öffentlicher Personennahverkehr
Bankwesen: Kreditinstitute
Finanzmarktinfrastrukturen: z. B. Börsen
Gesundheitswesen: medizinische Labore, Medizinforschung, Pharmazeutik, Medizingeräte
Trinkwasserversorgung: Wasserversorgungssysteme
Abwasserentsorgung: Abwassersysteme
Digitale Infrastruktur: Domain-Name-Server, Cloud-Provider, Rechenzentren
Öffentliche Verwaltung: Einrichtungen der Zentralregierung
Raumfahrt: Bodeninfrastrukturen
Ernährung: Herstellung, Verarbeitung und Handel von Lebensmitteln

Diese Sektoren wurden ausgewählt, da ein Ausfall oder eine Beeinträchtigung ihrer Dienste erhebliche Auswirkungen auf die Gesellschaft und Wirtschaft haben könnte.

Pflichten der Betreiber kritischer Einrichtungen

Betreiber, die unter die CER-Richtlinie fallen, sind verpflichtet, geeignete und verhältnismäßige technische und organisatorische Maßnahmen zu ergreifen, um ihre Resilienz gegenüber verschiedenen Bedrohungen zu gewährleisten. Zu den zentralen Maßnahmen gehören:

Risikomanagement: Durchführung regelmäßiger Risikobewertungen, um potenzielle Bedrohungen zu identifizieren und zu bewerten.
Physischer Schutz: Implementierung von Sicherheitsmaßnahmen wie Zugangskontrollen, Überwachungssystemen und physischen Barrieren zum Schutz sensibler Bereiche.
Krisenmanagement: Entwicklung und Implementierung von Notfallplänen und Krisenmanagementstrategien, um auf Vorfälle effektiv reagieren zu können.
Schulung und Sensibilisierung: Regelmäßige Schulungen für Mitarbeiter, um das Bewusstsein für Sicherheitsrisiken zu schärfen und angemessenes Verhalten in Krisensituationen zu fördern.
Meldepflichten: Einführung von Prozessen zur unverzüglichen Meldung signifikanter Störungen oder Vorfälle an die zuständigen Behörden.

Diese Maßnahmen sollen sicherstellen, dass kritische Einrichtungen in der Lage sind, Bedrohungen wie Naturkatastrophen, Terroranschläge oder Sabotage effektiv zu begegnen und ihre essenziellen Dienste aufrechtzuerhalten.

Umsetzung in nationales Recht: Das KRITIS-Dachgesetz

In Deutschland wird die CER-Richtlinie durch das sogenannte KRITIS-Dachgesetz umgesetzt. Dieses Gesetz legt fest, welche Einrichtungen als kritisch eingestuft werden und welche spezifischen Resilienzmaßnahmen sie ergreifen müssen. Zudem definiert es Meldepflichten für erhebliche Störungen und regelt die Zusammenarbeit zwischen Betreibern und Behörden. ( siehe bmi.bund.de )

Das KRITIS-Dachgesetz ergänzt bestehende Regelungen zur IT-Sicherheit, wie das IT-Sicherheitsgesetz, und erweitert den Fokus auf den physischen Schutz kritischer Infrastrukturen. Es zielt darauf ab, die Widerstandsfähigkeit der deutschen Gesellschaft und Wirtschaft gegenüber vielfältigen Bedrohungen zu stärken.

Fazit

Die CER-Richtlinie und ihre nationale Umsetzung durch das KRITIS-Dachgesetz stellen einen bedeutenden Schritt zur Erhöhung der Resilienz kritischer Infrastrukturen dar. Betreiber solcher Einrichtungen sollten sich frühzeitig mit den neuen Anforderungen vertraut machen und entsprechende Maßnahmen implementieren, um den gesetzlichen Vorgaben gerecht zu werden und die Kontinuität ihrer essenziellen Dienste sicherzustellen.

NIS-2-Richtlinine

NIS2-Richtlinie (NIS2): Ein umfassender Überblick

Die Digitalisierung hat in den letzten Jahren rasant an Bedeutung gewonnen. Ein unachtsamer Moment, ein Klick zu viel – schon kann es passieren: Das eigene IT-System ist gehackt, verschlüsselt oder sogar komplett außer Betrieb. Von ärgerlich bis existenzbedrohend reicht die Bandbreite der möglichen Auswirkungen eines Cyberangriffs. Deshalb ist es für Unternehmen – egal ob groß oder klein – unerlässlich, sich frühzeitig und umfassend gegen derartige Bedrohungen zu schützen. In einigen Bereichen ist dies nicht nur sinnvoll, sondern auch gesetzlich verpflichtend. Hier kommt die NIS2-Richtlinie ins Spiel.

1. Grundlagen der NIS2-Richtlinie

Im Jahr 2016 trat die ursprüngliche EU-Richtlinie zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen – kurz NIS-Richtlinie – in Kraft. Diese sollte ein hohes Sicherheitsniveau für systemkritische und sensible Infrastrukturen (KRITIS) in den EU-Mitgliedsstaaten gewährleisten. Angesichts der zunehmenden Digitalisierung und stetig wachsender Bedrohungen für die Cybersicherheit wurde diese Regelung weiterentwickelt.

Im November 2022 wurde die sogenannte NIS2-Richtlinie beschlossen, um den europäischen Rechtsrahmen zu modernisieren und den neuen Herausforderungen gerecht zu werden. Die NIS2-Richtlinie ist seit dem 16. Januar 2023 in Kraft und muss bis spätestens 17. Oktober 2024 in nationales Recht umgesetzt werden. Obwohl die Umsetzung in einigen Ländern, wie beispielsweise in Deutschland, aktuell noch verzögert erfolgt, wird NIS2 flächendeckend Wirkung zeigen. Unternehmen und Behörden sollten sich daher so früh wie möglich mit den neuen Vorgaben auseinandersetzen.

Ergänzend zu NIS2 regelt die CER-Richtlinie Vorgaben hinsichtlich der physischen Sicherheit und Resilienz von kritischen und wichtigen Einrichtungen. Diese beiden Regelwerke ergänzen sich und tragen zusammen zu einem robusten europäischen Cyber-Sicherheitsniveau bei.

Die NIS2-Richtlinie legt Maßnahmen fest, die in der gesamten EU ein hohes, einheitliches Cyber-Sicherheitsniveau sicherstellen sollen. Zu diesen Maßnahmen gehören unter anderem:

Nationale Cyber-Sicherheitsstrategien: Alle EU-Staaten müssen nationale Strategien entwickeln und zuständige Behörden, Cyber-Krisenmanagement-Teams, zentrale Anlaufstellen für Cybersicherheit sowie Computer-Notfallteams benennen oder einrichten.
Cyber-Sicherheitsrisikomanagement und Berichtspflichten: Betroffene Einrichtungen müssen angemessene Maßnahmen ergreifen, um Risiken zu minimieren und Cyber-Sicherheitsvorfälle zu melden.
Austausch von Cyber-Sicherheitsinformationen: Vorgaben zum Informationsaustausch sollen helfen, Bedrohungen frühzeitig zu erkennen und zu bekämpfen.
Aufsichts- und Durchsetzungspflichten: Die nationalen Behörden erhalten erweiterte Befugnisse zur Überwachung und Durchsetzung der NIS2-Vorgaben.

Die NIS2-Pflichten erstrecken sich nicht nur auf die primär betroffenen Einrichtungen, sondern auch auf Dienstleistungsunternehmen, die in deren Auftrag tätig sind. Dies betrifft somit die gesamte Lieferkette.

2. Anwendungsbereich der NIS2-Richtlinie

Die NIS2-Richtlinie legt klar fest, welche Einrichtungen von den neuen Vorgaben erfasst werden. Dabei wird zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) unterschieden.

Wesentliche Einrichtungen

Diese betreffen Organisationen in den folgenden Sektoren:

Energie: Elektrizität, Fernwärme, Erdöl, Erdgas und Wasserstoff.
Transport: Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr.
Bankenwesen: Kreditinstitute.
Finanzmärkte: Handelsplätze für Finanzprodukte.
Gesundheit: Gesundheitsdienstleister, Labore, Medizinforschung, Pharmazeutik und Medizingeräte.
Trinkwasser und Abwasserwirtschaft
Digitale Infrastrukturen: DNS-Anbieter, Top-Level-Domain-Registrare, Cloud Provider, Rechenzentren, Content Delivery Networks sowie Anbieter elektronischer Kommunikationssysteme.
IT-Service Anbieter
Öffentliche Verwaltung: Insbesondere Zentralregierungen.
Weltraumsektor: Nicht Satelliten, sondern die zugehörige Bodeninfrastruktur.

Wichtige Einrichtungen

Diese werden in folgenden Sektoren angesiedelt:

Post und Kurierdienste
Abfallwirtschaft
Chemikalien: Produktion, Herstellung und Handel.
Lebensmittel: Produktion, Herstellung und Handel.
Herstellung bestimmter industrieller Produkte: Dazu gehören Medizinprodukte, Computer, Elektronik, Optik, elektrische Ausrüstung, Maschinenbau oder Kraftfahrzeuge.
Digitale Dienste: Online-Marktplätze, Suchmaschinen, soziale Netzwerke.
Forschung

Die 18 Sektoren werden in den Anhängen 1 und 2 der NIS2-Richtlinie detailliert erläutert. Grundsätzlich fällt eine Einrichtung in den Anwendungsbereich von NIS2, wenn sie in einem dieser Sektoren tätig ist und bestimmte Schwellenwerte überschreitet:

Wesentliche Einrichtungen: Mindestens 250 Beschäftigte oder ein Jahresumsatz von über 50 Millionen Euro sowie eine Bilanzsumme von mehr als 43 Millionen Euro.
Wichtige Einrichtungen: Bereits ab 50 Beschäftigten oder einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.

Einrichtungen, die unter diesen Schwellenwerten bleiben, sind von NIS2 nicht erfasst – auch wenn sie in einen der 18 Sektoren fallen. Es gibt außerdem Sonderfälle, wie etwa Telekommunikationsanbieter oder Vertrauensdiensteanbieter (z. B. Anbieter qualifizierter elektronischer Signaturen gemäß der eIDAS-Verordnung 2.0), die unabhängig von den Sektoren erfasst werden. Zudem gelten für den Finanzsektor spezielle Regelungen, wie die DORA-Verordnung.

3. Maßnahmen der NIS2-Richtlinie

Wer unter den Anwendungsbereich der NIS2-Richtlinie fällt, muss eine Reihe von Cyber-Sicherheitsmaßnahmen umsetzen. Diese Maßnahmen gelten sowohl für wesentliche als auch für wichtige Einrichtungen und erstrecken sich über die gesamte Lieferkette. Zu den zentralen Anforderungen zählen:

Erstellung und Umsetzung von Informationssicherheitsrichtlinien: Unternehmen müssen klare Richtlinien für das Risikomanagement und die Informationssicherheit entwickeln.
Prävention, Detektion und Meldung von Sicherheitsvorfällen: Es müssen Maßnahmen implementiert werden, um Cyber-Sicherheitsvorfälle zu verhindern, frühzeitig zu erkennen und schnell zu melden. Die Meldung an die zuständigen Behörden erfolgt in drei Schritten:
- Erste Meldung: Innerhalb von 24 Stunden, sobald ein Verdacht auf einen Sicherheitsvorfall besteht oder ein solcher bestätigt wird.
- Folgemeldung: Innerhalb von maximal 72 Stunden müssen detailliertere Informationen übermittelt werden.
- Abschlussmeldung: Spätestens nach einem Monat erfolgt eine umfassende Abschlussmeldung, die den Vorfall, die Ursachen, den Schweregrad und die ergriffenen Maßnahmen detailliert beschreibt.
Betrieb eines Business Continuity Management Systems: Dies schließt Maßnahmen für Backup und Krisenmanagement ein, um den Geschäftsbetrieb auch im Notfall aufrechtzuerhalten.
Sicherstellung der Sicherheit bei IT-Beschaffungen: Unternehmen müssen sicherstellen, dass IT- und Netzwerksysteme bereits bei der Beschaffung den Sicherheitsanforderungen entsprechen.
Vorgaben für Kryptografie und Verschlüsselung: Es müssen geeignete Verschlüsselungstechniken und Sicherheitsprotokolle eingesetzt werden.
Umsetzung von Zugangskontrollen: Der Zugang zu kritischen Systemen und Daten muss streng kontrolliert werden.
Sichere Kommunikationssysteme: Der Einsatz von sicheren Sprach-, Video- und Textkommunikationssystemen sowie Notfallkommunikationssystemen ist verpflichtend.
Überprüfung der Sicherheitsmaßnahmen in der Lieferkette: Unternehmen müssen sicherstellen, dass auch ihre Zulieferer und Dienstleister den Sicherheitsanforderungen genügen.
Schulung und Sensibilisierung der Mitarbeiter: Regelmäßige Schulungen zur Cyber-Sicherheit sind essenziell, um das Bewusstsein für potenzielle Bedrohungen zu schärfen.

Die NIS2-Richtlinie sieht zudem erhebliche Sanktionen vor, um die Einhaltung der Vorgaben sicherzustellen. Bei Verstößen können für wesentliche Einrichtungen Geldbußen von bis zu 10 Millionen Euro oder 2 % des Vorjahresumsatzes verhängt werden, während für wichtige Einrichtungen Maximalstrafen von bis zu 7 Millionen Euro oder 1,4 % des Umsatzes gelten – sofern der Umsatz 500 Millionen Euro übersteigt. Verantwortliche Führungspersonen können zudem persönlich haftbar gemacht werden, wenn sie ihre Pflichten vernachlässigen.

4. Fazit

Die NIS2-Richtlinie markiert einen wichtigen Schritt in Richtung einer sichereren digitalen Infrastruktur in Europa. Sie modernisiert den bestehenden Rechtsrahmen und stellt klare Vorgaben für den Umgang mit Cyber-Sicherheitsrisiken. Unternehmen und Behörden, die in den Anwendungsbereich fallen, müssen umfangreiche Maßnahmen ergreifen, um den Schutz ihrer IT-Systeme und Daten zu gewährleisten – und das nicht nur intern, sondern entlang der gesamten Lieferkette.

Es ist ratsam, sich frühzeitig mit den neuen Anforderungen auseinanderzusetzen, die eigenen Cyber-Sicherheitsstrategien zu überprüfen und gegebenenfalls anzupassen. Eine Orientierung an internationalen Standards wie der ISO 27001 kann hierbei hilfreich sein. Letztendlich dienen die Vorgaben der NIS2-Richtlinie nicht nur dem Schutz vor Cyber-Angriffen, sondern auch der Sicherstellung des reibungslosen Funktionierens des europäischen Binnenmarktes im digitalen Zeitalter.

Unternehmen sollten also nicht zögern, in ihre Cyber-Sicherheitsmaßnahmen zu investieren und damit langfristig ihre Widerstandsfähigkeit (Resilienz) gegenüber Cyberbedrohungen zu stärken.

Bleiben Sie informiert, schulen Sie Ihre Mitarbeiter und überprüfen Sie regelmäßig Ihre IT-Sicherheitsmaßnahmen – so stellen Sie sicher, dass Ihr Unternehmen auch in Zeiten zunehmender Digitalisierung und wachsender Bedrohungen gut geschützt ist.

Überblick EU-Datenräume

Die EU-Datenstrategie verfolgt das Ziel, eine datengesteuerte Wirtschaft zu schaffen und einen Binnenmarkt für Daten zu etablieren. Dies umfasst sowohl personenbezogene als auch nicht-personenbezogene Daten sowie sensible Geschäftsdaten, die im Einklang mit den EU-Vorschriften und Werten sicher und nahtlos über Grenzen und Sektoren hinweg fließen können. Dies soll Unternehmen und Bürgern gleichermaßen zugutekommen.

Ein rechtlicher Rahmen für den Datenaustausch wird insbesondere durch den Data Act und den Data Governance Act gesetzt. Weitere wichtige Regelwerke sind der Digital Markets Act und der Digital Services Act, die große Online-Plattformen regulieren, sowie die Open Data Richtlinie, die die Weiterverwendung öffentlicher Daten ermöglicht.

Hauptmerkmale des EU-Datenraums

Sichere und datenschutzfreundliche Infrastruktur für die Zusammenführung, Nutzung und Verarbeitung von Daten.
Fairer, transparenter und nicht diskriminierender Zugang zu Daten.
Vertrauenswürdige Datenverwaltungsmechanismen, unter Berücksichtigung europäischer Vorschriften und Werte.
Schutz personenbezogener Daten durch die DSGVO und das Bundes- sowie Landesdatenschutzgesetz.
Regulierung der Cybersicherheit durch die NIS2-Richtlinie, das NIS-2-Umsetzungsgesetz, das IT-Sicherheitsgesetz 2.0, den Cyber Resilience Act, den Cybersecurity Act und das Geschäftsgeheimnisgesetz.
Schutz kritischer Infrastrukturen durch die CER-Richtlinie und das KRITIS-Dachgesetz.
Sicherstellung der Finanzmarktstabilität durch DORA und die Mindestanforderungen an das Risikomanagement (MaRisk).
Normen für die Automobilbranche durch TISAX.
Regulierung von Online-Plattformen durch den Digital Services Act und den Digital Markets Act.
Künstliche Intelligenz und Produktsicherheit durch die KI-Verordnung, die KI-Haftungsrichtlinie, die Produkthaftungsrichtlinie und die Produktsicherungsverordnung.
Verbraucherschutz für digitale Inhalte und Waren durch die Richtlinie über digitale Inhalte und die Warenverkaufsrichtlinie.
Zertifizierungsanforderungen für ISMS durch den BSI IT-Grundschutz.
Regulierung der digitalen Identität durch die eIDAS-Verordnung 2.0.
Stärkung der Cyberresilienz durch den Cyber Solidarity Act.

Sektorale EU-Datenräume

Um die Datenstrategie umzusetzen, entwickelt die EU Datenräume in 14 Sektoren:

Landwirtschaft
Kulturerbe
Energie
Finanzen
Green Deal (Umwelt)
Gesundheit
Sprache
Industrie (verarbeitendes Gewerbe)
Medien
Mobilität
Öffentliche Verwaltung
Forschung und Innovation
Qualifikationen
Tourismus

Die Implementierung dieser Datenräume erfordert sowohl technische als auch gesetzliche Voraussetzungen, die durch spezifische Vorschriften geregelt werden. Besonders im Gesundheitsdatenraum gibt es bereits erste Initiativen. Generell legt die EU verstärkt Wert auf Sicherheitsaspekte in ihren gesetzlichen Regelungen.

KI-Gesetz in Deutschland

Das KI-Gesetz in Deutschland: Chancen, Herausforderungen und Auswirkungen auf Wirtschaft und Gesellschaft

Die Künstliche Intelligenz (KI) revolutioniert unsere Welt in rasantem Tempo. Von autonom fahrenden Autos bis hin zu personalisierten Medizinlösungen – KI-Technologien sind aus unserem Alltag nicht mehr wegzudenken. Angesichts dieser Entwicklung stellt sich die Frage: Wie reagiert Deutschland rechtlich auf diese Veränderungen? Gibt es ein spezifisches KI-Gesetz, und welche Fragestellungen ergeben sich daraus für verschiedene Zielgruppen?

Aktueller Stand der KI-Regulierung in Deutschland

Obwohl es in Deutschland bislang kein spezifisches "KI-Gesetz" gibt, arbeiten sowohl nationale als auch europäische Institutionen intensiv an Regulierungsrahmen, um den Einsatz von KI verantwortungsvoll zu gestalten. Besonders hervorzuheben ist der Entwurf der Europäischen Union für eine KI-Verordnung, bekannt als EU AI Act, der direkte Auswirkungen auf Deutschland haben wird.

Der EU AI Act: Ein Überblick

Der EU AI Act zielt darauf ab, einen harmonisierten Rechtsrahmen für KI innerhalb der Europäischen Union zu schaffen. Er sieht eine risikobasierte Regulierung vor, die KI-Anwendungen je nach ihrem potenziellen Risiko für die Gesellschaft in verschiedene Kategorien einteilt:

Unvertretbares Risiko: KI-Anwendungen, die als Bedrohung für Sicherheit, Lebensunterhalt oder Rechte von Personen angesehen werden, sollen verboten werden (z. B. Social Scoring durch Regierungen)
Hohes Risiko: Anwendungen, die in kritischen Bereichen wie Gesundheit, Verkehr oder Justiz eingesetzt werden, unterliegen strengen Auflagen
Geringes oder minimales Risiko: Für die meisten KI-Systeme gelten weniger strenge oder keine spezifischen Anforderungen

Interessante Fragestellungen

Wie wird ethische Verantwortung sichergestellt?
- Die Frage der ethischen KI-Nutzung ist zentral. Wie können Algorithmen diskriminierungsfrei und transparent gestaltet werden?
Welche Pflichten haben Unternehmen?
- Unternehmen müssen Compliance-Anforderungen erfüllen, darunter Risikobewertungen, Dokumentationspflichten und Transparenzvorgaben
Wie beeinflusst die Regulierung Innovation?
- Es besteht die Sorge, dass zu strenge Regeln die Innovationskraft hemmen könnten. Wie kann ein Gleichgewicht zwischen Sicherheit und Fortschritt gefunden werden?
Welche Sanktionen drohen bei Verstößen?
- Geplant sind erhebliche Bußgelder, die sich an denen der DSGVO orientieren und bis zu 6% des weltweiten Jahresumsatzes betragen können
Wie werden personenbezogene Daten geschützt?
- Inwieweit überschneiden sich KI-Regulierung und Datenschutz, und wie können synergetische Effekte genutzt werden?

Relevante Zielgruppen

Unternehmen und Start-ups: Besonders solche, die KI entwickeln oder einsetzen, müssen sich auf neue Compliance-Anforderungen einstellen
Öffentliche Einrichtungen: Behörden, die KI für Verwaltungszwecke nutzen, sind ebenfalls betroffen, insbesondere im Bereich der automatisierten Entscheidungsfindung
Verbraucherinnen und Verbraucher: Sie profitieren von erhöhtem Schutz, müssen aber auch über ihre Rechte informiert werden
Wissenschaft und Forschung: Forschungsinstitute müssen abwägen, wie offene Innovation mit regulatorischen Anforderungen vereinbart werden kann

Antworten auf die Fragestellungen

Ethische Verantwortung sicherstellen
- Unternehmen sollten Ethik-Richtlinien entwickeln und ethische Aspekte bereits in der Entwicklungsphase berücksichtigen ("Ethics by Design"). Interdisziplinäre Teams können helfen, blinde Flecken zu vermeiden
Pflichten für Unternehmen
- Es ist ratsam, ein Compliance-Management-System einzuführen, das speziell auf KI-Anwendungen zugeschnitten ist. Dazu gehören regelmäßige Audits und Schulungen für Mitarbeitende
Einfluss auf Innovation
- Durch Investitionen in Forschung und Entwicklung sowie die Förderung von "Regulatory Sandboxes" können Unternehmen Innovation fördern und gleichzeitig regulatorischen Anforderungen gerecht werden
Sanktionen bei Verstößen
- Um Bußgelder zu vermeiden, sollten Unternehmen frühzeitig rechtlichen Rat einholen und interne Prozesse an die neuen Anforderungen anpassen
Schutz personenbezogener Daten
- Die Integration von Datenschutzkonzepten wie "Privacy by Design" ist essenziell. KI-Systeme sollten so konzipiert sein, dass sie nur die notwendigsten Daten verarbeiten

Ausblick und Empfehlungen

Die Regulierung von KI stellt eine wichtige Weichenstellung für die Zukunft dar. Sie bietet die Chance, Vertrauen in neue Technologien zu schaffen und gleichzeitig Innovation zu fördern. Unternehmen und Institutionen sollten die kommenden Regelungen nicht als Hürde, sondern als Möglichkeit sehen, nachhaltige und verantwortungsvolle KI-Lösungen zu entwickeln.

Empfehlungen:

Frühzeitige Auseinandersetzung: Informieren Sie sich proaktiv über aktuelle Entwicklungen und passen Sie Ihre Strategien entsprechend an.
Interdisziplinäre Zusammenarbeit: Technik, Recht und Ethik sollten Hand in Hand gehen, um ganzheitliche Lösungen zu erarbeiten.
Transparenz fördern: Offene Kommunikation über KI-Einsatz stärkt das Vertrauen von Kunden und Partnern.

Interessante Fakten

Künstliche Intelligenz wird immer mehr zu einem entscheidenden Wirtschaftsfaktor. Länder, die frühzeitig auf die richtigen Rahmenbedingungen setzen, können einen Wettbewerbsvorteil erzielen.
Deutschland investiert verstärkt in KI-Forschung und -Entwicklung, um im globalen Vergleich eine führende Position einzunehmen.

Fazit

Das kommende KI-Regulierungsumfeld, sowohl auf EU- als auch auf nationaler Ebene, wird einen tiefgreifenden Einfluss auf verschiedene Bereiche haben. Es liegt an den Akteuren, die Herausforderungen anzunehmen und die Chancen zu nutzen, um eine verantwortungsvolle und zukunftsorientierte KI-Landschaft in Deutschland zu gestalten.

Wussten Sie schon? Die Diskussion um KI-Regulierung ist nicht nur eine rechtliche, sondern auch eine gesellschaftliche Aufgabe. Jeder von uns kann dazu beitragen, indem wir uns informieren und aktiv am Diskurs teilnehmen.

Cyber-Resiliente IT -Infrastrukturen

Cyber-Resiliente IT-Infrastrukturen

Der Schlüssel zu einer sicheren digitalen Zukunft

Cyber-Resilienz – mehr als nur ein Buzzword In einer Welt, die immer stärker digital vernetzt ist, reicht es nicht mehr aus, lediglich präventive Maßnahmen zu ergreifen. Angesichts der steigenden Anzahl und Komplexität von Cyberangriffen müssen Unternehmen ihre IT-Infrastrukturen so gestalten, dass sie nicht nur Angriffe abwehren, sondern auch schnell darauf reagieren und sich erholen können. Das Zauberwort: Cyber-Resilienz.

Warum Cyber-Resilienz entscheidend ist:

Zunahme von Cyberangriffen: Laut aktuellen Studien erleben Unternehmen weltweit im Durchschnitt alle 39 Sekunden einen Cyberangriff.
Hohe Folgekosten: Datenlecks und Systemausfälle können nicht nur finanziell, sondern auch reputationsschädigend sein.
Regulatorische Anforderungen: Standards wie ISO 27001, NIS2 oder die DSGVO verlangen robuste Sicherheitsmaßnahmen und Notfallkonzepte.

Best Practices für cyber-resiliente Infrastrukturen:

1️⃣ Zero Trust Prinzipien umsetzen:Vertrauen Sie niemandem – weder innerhalb noch außerhalb des Netzwerks – ohne vorherige Authentifizierung und Autorisierung.

2️⃣ Automatisierung und KI:Nutzen Sie Technologien wie SIEM- und SOAR-Systeme, um Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren.

3️⃣ Schulungen und Awareness: Mitarbeitende sind die erste Verteidigungslinie – regelmäßige Schulungen machen den Unterschied.

4️⃣ Notfallpläne und Simulationen:Entwickeln Sie Wiederherstellungsstrategien und testen Sie diese regelmäßig mit Simulationen.

5️⃣ Cloud-Sicherheit stärken: Besonders in hybriden Umgebungen müssen Cloud-Dienste speziell geschützt werden, um Datenverlust und -missbrauch zu verhindern.

🌟 Mein persönliches Fazit: Cyber-Resilienz ist kein Ziel, sondern ein kontinuierlicher Prozess. Unternehmen, die heute investieren, werden morgen in der Lage sein, schneller und effektiver auf Sicherheitsvorfälle zu reagieren.

Was sind eure Erfahrungen mit dem Aufbau cyber-resilienter IT-Infrastrukturen?

Welche Maßnahmen haben für euch den größten Unterschied gemacht? Lasst uns in den Kommentaren darüber diskutieren!

Update ISO 27001:2022

Von ISO 27001:2013 zu ISO 27001:2022

Herausforderungen und Lösungen bei der Umstellung eines ISMS

Die Aktualisierung eines ISMS von ISO 27001:2013 auf ISO 27001:2022 ist ein wichtiger Schritt, um moderne Sicherheitsanforderungen zu erfüllen. Doch ohne Unterstützung des Managements und ausreichende Ressourcen stoßen selbst die besten Konzepte an Grenzen. In diesem Beitrag teile ich wesentliche Herausforderungen und praktische Lösungsansätze.

Die Rolle des Managements

Der Erfolg eines ISMS hängt davon ab, wie stark das Management Sicherheitsmaßnahmen unterstützt. Entscheidend sind:

Priorisierung: Sicherheitsziele als geschäftskritisch behandeln.
Ressourcen: Genügend Mittel bereitstellen.
Sicherheitskultur: Sensibilisierung aller Mitarbeitenden.

Warum die Umstellung?

ISO 27001:2022 bringt folgende Neuerungen:

Neue Steuerungsmaßnahmen wie Threat Intelligence und Cloud Security.
Flexiblere Strukturen zur besseren Anpassung an Unternehmensprozesse.
Stärkere Resilienz gegenüber Sicherheitsvorfällen.

Typische Herausforderungen

Unklare Anforderungen: Integration neuer Kontrollen wie Cloud Security.
Veraltete Dokumentation: Bestehende Systeme sind oft zu unflexibel.
Know-how-Lücken: Fehlende Schulungen für Mitarbeitende.
Zeit- und Ressourcenmangel: Besonders in KMUs ein häufiges Problem.
Prüfung alter Kontrollen: Harmonisierung mit neuen Anforderungen.

Lösungsansätze

1. Gap-Analyse

Bewerten Sie, welche Anforderungen bereits erfüllt sind und wo Anpassungen notwendig sind.

2. Team-Schulungen

Organisieren Sie Workshops, um neue Anforderungen zu vermitteln.

3. Priorisierung

Erstellen Sie einen Plan, der Änderungen nach Wichtigkeit ordnet.

4. Automatisierung

Nutzen Sie ISMS-Tools, um Dokumentation und Prozesse zu vereinfachen.

5. Externe Expertise

Berater können Know-how-Lücken effizient schließen.

6. Kontinuierliche Verbesserung

Nutzen Sie die Umstellung, um Prozesse nachhaltig zu optimieren.

Praxisbeispiele

Energiebranche: Ein mittelständischer Versorger steigerte durch die Umstellung nicht nur die Compliance, sondern auch die IT-Resilienz.
Produzierendes Gewerbe: Ein Automobilzulieferer identifizierte Sicherheitslücken und reduzierte Prozesszeiten um 30 %.

Fazit

Die Umstellung auf ISO 27001:2022 ist eine Herausforderung, aber auch eine Chance, Sicherheitsstandards und Resilienz zu stärken. Mit klarer Strategie, geschultem Team und den richtigen Tools kann sie erfolgreich gemeistert werden.

Thomas Kühn

Cybersecurity | Lizenzmanagement und IT-Strategie | SAP Basis | KI, Python, Data Science, Englisch/Französisch/Deutsch