Navigieren durchs Regeldickicht 8 Regulierungen zur Cybersicherheit, die Sie kennen müssen!

Anbieter zum Thema

uniscon - A member of TÜV Süd

Fsas Technologies GmbH

netfiles GmbH

Cloudgermany.de GmbH

Eine Vielzahl von Verordnungen, Richtlinien und Gesetzesinitiativen auf EU-Ebene und international zielt darauf ab, die Resilienz gegenüber Cyber-Bedrohungen zu erhöhen. Sich in diesem Dschungel aus regulatorischen Vorschriften zurechtzufinden, ist jedoch gar nicht so einfach.

2024 steht für Unternehmen im Zeichen verstärkter Regulierungen in der IT-Sicherheit, getrieben durch eine wachsende Zahl an Bedrohungen wie Cyberattacken und die Notwendigkeit, digitale Infrastrukturen zu sichern. Im Folgenden gehen wir auf jede von ihnen ein und bringen Licht in das Regeldickicht.

1. NIS2

NIS2 ist der Nachfolger der EU-Richtlinie NIS1 und zielt darauf ab, ein einheitliches Cybersicherheitsniveau in allen Mitgliedsstaaten herzustellen sowie kritische Infrastrukturen (KRITIS) vor Hackerangriffen zu schützen. Im Gegensatz zu NIS1 definiert NIS2 klarer, welche Sektoren und Unternehmen zu KRITIS zählen und teilt diese in „wesentliche“ und „wichtige“ Einrichtungen ein. Zu den wesentlichen Einrichtungen gehören z. B. Energieversorger, Gesundheitseinrichtungen und digitale Infrastrukturen. Wichtige Einrichtungen umfassen u. a. Postdienste, Abfallwirtschaft und chemische Hersteller.

NIS2 betrifft alle kritischen Einrichtungen in der EU mit mindestens 50 Beschäftigten oder einem Jahresumsatz ab 10 Millionen EUR. Diese müssen sicherstellen, dass ihr Betrieb bei Cyberattacken aufrechterhalten bleibt und Bedrohungen schnell begegnet wird, z. B. durch Risikoanalysen, Krisenmanagementpläne und IT-Sicherheitsmaßnahmen. NIS2 ist seit dem 16. Januar 2023 in Kraft und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland hat das Bundeskabinett die NIS2-Umsetzung bereits auf den Weg gebracht; der Digitalverband Bitkom rechnet allerdings mit Verzögerungen und weist auf dringend nötige Anpassungen hin.

2. CER Directive

Die CER-Richtlinie (Critical Entities Resilience) stärkt die Widerstands­fähigkeit kritischer Infrastrukturen in der EU gegen physische und digitale Bedrohungen. Anders als NIS2 umfasst sie auch den Schutz vor Naturkatastrophen, Terror- und Sabotageakten sowie menschlichem Versagen. Die Richtlinie gilt seit dem 16. Januar 2023 und wird in Deutschland durch das KRITIS-Dachgesetz in nationales Recht umgesetzt.

3. KRITIS-Dachgesetz

Das KRITIS-Dachgesetz setzt die EU-Richtlinie CER in Deutschland um und tritt am 1. Januar 2026 in Kraft. Es definiert bundesweit, welche Einrichtungen als „kritische Infrastrukturen“ gelten und stärkt deren Sicherheit gegenüber Bedrohungen. Das Gesetz umfasst Sektoren wie Energie, Transport, Finanzwesen, Gesundheitswesen, Wasserversorgung, IT, Telekommunikation und öffentliche Verwaltung.

Betroffen sind Einrichtungen, die mehr als 500.000 Einwohner versorgen. KRITIS-Betreiber müssen Risikoanalysen durchführen, Resilienzpläne erstellen und Technologien wie virtuelle Datenräume nutzen, um Daten vor unbefugtem Zugriff zu schützen.

4. DORA

Der Digital Operations Resilience Act (DORA) ist eine EU-Verordnung zur Erhöhung der Robustheit des Finanzsektors gegenüber Cyberbedrohungen. Ziel ist es, bestehende Regelungen zu harmonisieren und einen einheitlichen Rahmen für die Bewältigung von Cybersicherheitsrisiken in der Informations- und Kommunikationstechnologie zu schaffen. DORA betrifft Zahlungs- und Kreditinstitute, Wertpapierfirmen, Versicherungsunternehmen und IKT-Dienstleister.

DORA unterliegende Unternehmen müssen Maßnahmen ergreifen, um ihren Geschäftsbetrieb bei Cyberangriffen aufrechtzuerhalten. Dazu gehören u. a.:

• der Aufbau stabiler IT-Systeme,

• die Überwachung von IT-Risikoquellen,

• die Implementierung von Notfallplänen,

• die Durchführung von Penetrationstests und

• die Dokumentation und Meldung von IKT-Vorfällen.

DORA gilt seit dem 16. Januar 2023 und ist unmittelbar in allen EU-Mitgliedstaaten anwendbar bzw. umzusetzen. Anpassungen in landesspezifischen Gesetzen können erforderlich sein. In Deutschland z. B. unterstützt das Finanzmarktdigitalisierungsgesetz (FinmadiG) die Umsetzung von DORA. Ab dem 17. Januar 2025 ist die Verordnung vollständig anwendbar.

Cybersicherheit wird zur Chefsache

Persönliche Haftungsrisiken aus der EU-Richtlinie NIS2

5. Cyber Resilience Act

Der Cyber Resilience Act (CRA) schafft einen konsistenten rechtlichen Rahmen innerhalb der EU, um Nutzer von Produkten mit digitalen Elementen, gegen Cyberangriffe zu schützen. Betroffen sind Hardware- und Softwareprodukte mit Datenverarbeitungs- oder Steuerungsfunktionen, wie Smartwatches oder IoT-Geräte.

Hersteller, Importeure und Distributoren müssen die Cybersicherheit über den gesamten Produktlebenszyklus gewährleisten, regelmäßige Sicherheitsupdates durchführen und Schwachstellen managen. Sicherheitsvorfälle sind an die Europäische Agentur für Cybersicherheit (ENISA) und die Nutzer zu melden.

Der CRA trat am 12. März 2024 in Kraft; Hersteller haben 36 Monate Zeit, die Anforderungen zu erfüllen. Ab 2027 dürfen Produkte ohne entsprechende Sicherheitsaspekte nicht mehr in der EU angeboten werden. Verstöße können zu Geldstrafen bis zu 15 Millionen Euro oder 2,5 Prozent des globalen Jahresumsatzes führen; in schweren Fällen ist außerdem eine Marktrücknahme möglich.

6. Data Governance Act

Der EU Data Governance Act (DGA) zielt darauf ab, den Datenaustausch innerhalb der EU zu erleichtern, um altruistische Projekte wie Klimaschutz, Gesundheitsversorgung und Verkehrskonzepte zu fördern. Er stärkt das Vertrauen in den freiwilligen Datenaustausch und bietet einen sicheren Rahmen für das Teilen von Informationen, indem technische Hürden für die Wiederverwendung beseitigt werden.

Der DGA betrifft Datenintermediäre, öffentliche Stellen und Unternehmen, die Daten des öffentlichen Sektors nutzen möchten. Diese müssen Datenschutz- und Datensicherheits­anforderungen erfüllen, die Rechte Dritter wahren und transparente Prozesse für einen fairen und sicheren Informationshandel etablieren. Der Act steuert auch die Aktivitäten von Datenvermittlungsdiensten, die den Austausch zwischen Dateninhabern und -nutzern ermöglichen.

7. EU Data Act

Der EU Data Act, der am 11. Januar 2024 in Kraft trat und ab dem 12. September 2025 EU-weit gilt, zielt auf eine gerechtere Verteilung der von vernetzten Geräten generierten Daten ab. Ziel ist es, sowohl den Dateninhabern (meist die Produkthersteller) als auch den Nutzern und Drittparteien Zugang zu den gesammelten Informationen zu gewähren.

Der Data Act betrifft alle Unternehmen in der EU, die Informationen vernetzter Geräte sammeln und nutzen. Er fordert Transparenz und Kontrolle über die Daten und verlangt von Dateninhabern, diese dem Endverbraucher, einem von diesem genannten Dritten oder behördlichen Stellen zur Verfügung zu stellen.

Bei Nichteinhaltung drohen Strafen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, ausgenommen Kleinstunternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro.

8. US Cloud Act

Der US Cloud Act erlaubt US-Behörden weltweit den Zugriff auf Daten, die bei US-Unternehmen und deren Tochtergesellschaften gespeichert sind, selbst wenn diese Daten in Rechenzentren außerhalb der USA, etwa in der EU, aufbewahrt werden. Dies betrifft auch Unternehmen, die Dienste US-basierter Anbieter nutzen.

Der Cloud Act steht im Widerspruch zur europäischen Datenschutz-Grundverordnung (DSGVO). Unternehmen müssen daher abwägen, ob sie den Cloud Act befolgen und gegen die DSGVO verstoßen oder umgekehrt. Technologien wie Confidential Computing können den Schutz sensibler Daten gewährleisten und den Zugriff seitens US-Behörden verhindern. Rechenzentren in Ländern mit starkem Datenschutz wie Deutschland bieten zusätzliche Sicherheit.

Fazit: Proaktivität ist nun gefragt

Unternehmen müssen neue und aktualisierte Sicherheitsvorschriften beachten und proaktiv Maßnahmen ergreifen, um Risiken zu minimieren und Sanktionen zu vermeiden. Innovative Technologien wie Confidential Computing und virtuelle Datenräume helfen dabei, Compliance-Anforderungen zu erfüllen und umfassende Datensicherheit zu gewährleisten.

* Der Autor Louis Woisetschläger ist Compliance und Audit Specialist bei idgard, wo er für die Überwachung und Einhaltung aller relevanten rechtlichen, regulatorischen und internen Anforderungen verantwortlich ist.

(ID:50203495)