DSGVO, NIS2, CRA Cybersecurity-Gesetze: Missachtung wird teuer

Anbieter zum Thema

SEP AG

Bundesamt für Sicherheit i.d.Informationstechnik

Securepoint GmbH

Fsas Technologies GmbH

cyberintelligence.institute GmbH

DSGVO, NIS2 und der EU-Cyber Resilience Act (CRA) sollen den Datenschutz sicherstellen. Dennoch hat ein Drittel der KMU keinen Plan, welche Konsequenzen eine Missachtung hat. Ein Whitepaper von SEP in Kooperation mit einem Rechtsanwalt klärt auf.

Dass Cybercrime-Fälle zunehmen, ist leider keine News mehr. Laut Bitkom haben sich die finanziellen Schäden von 2019 bis 2021 auf 223,5 Milliarden Euro verdoppelt. Gemessen am Bruttoinlandsprodukt sind die Schäden in Deutschland im Bereich Wirtschaftsspionage und Cyberkriminalität am höchsten. Um dem entgegenzuwirken, gibt es einige Gesetze, die den Datenschutz verstärken sollen: die DSGVO, das neue Cyber- und IT-Sicherheitsrecht gemäß der NIS2-Richtlinie, eine EU-Resilienz-Richtlinie sowie der EU-Cyber Resilience Act (CRA).

Doch vor allem bei kleinen und mittelständischen Unternehmen hapert es mit der Umsetzung. Außerdem ist ihnen oft nicht bewusst sind, mit welchen Konsequenzen sie bei Nichtbeachtung rechnen müssen. In welche Haftungsfallen KMU tappen können und was für Strafen fällig werden, hat Dr. Jens Bücking, Rechtsanwalt und Fachanwalt für IT-Recht, gemeinsam mit dem plattformunabhängigen Backup- und Disaster-Recovery-Anbieter SEP herausgearbeitet.

DSGVO: Verschärfte Sanktionen

Die DSGVO ergänzt das im Jahr 2021 überarbeitete deutsche IT-Sicherheitsgesetz von 2015 und die Richtlinien der EU für ein einheitliches Datenschutz-/Datensicherheitsrecht in Europa. Sie enthält unter anderem technische Vorschriften, die ein entsprechendes Schutzniveau gewährleisten müssen. Betroffen sind alle privatwirtschaftlichen Unternehmen sowie Behörden, die private Daten sammeln, verarbeiten und speichern. Eine Datenschutzverletzung muss innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden. Die DSGVO soll die Rolle des betrieblichen Datenschutzbeauftragten stärken. „Die DSGVO auferlegt den betrieblichen Datenschutzbeauftragten (bDSB) eine Kontroll-/ Überwachungsfunktion gegenüber dem Management anstelle der bisherigen (bloßen) Hinweispflicht“, führt Dr. Bücking in einem Whitepaper aus.

Werden die Vorgaben der DSGVO nicht ordnungsgemäß umgesetzt, drohen den Verantwortlichen (Unternehmen und natürliche Personen) im Haftungsfall zivilrechtliche und öffentlich-rechtliche Sanktionen wie Geld- und Freiheitsstrafen (bis zu drei Jahre), Schadenersatzzahlungen sowie Ordnungsmaßnahmen, die bis zur Stilllegung des Betriebs führen können. Berechnet werden die Bußgelder anhand des weltweiten Konzernumsatzes.

NIS2: KRITIS-Einrichtungen

Die EU-Cybersecurity-Richtlinie, die so genannte NIS2-Richtlinie, betrifft KRITIS-Unternehmen, wie Post- und Kurierdienste, Abfallbewirtschaftung, Medizinprodukte, Maschinenbau, Kraftwagen, Anbieter digitaler Dienste sowie Forschungseinrichtungen. Neben dem Katalog an Cybersicherheitsmaßnahmen enthält NIS2 auch einen Maßgabenkatalog zur Zertifizierung kritischer Komponenten, ebenso wie Berichtspflichten bei IT-Sicherheitsvorfällen und mögliche Bußgelder bei Verstößen. Umzusetzen ist sie bis zum 17.10.2024. Für die betroffenen Unternehmen ist das mit höheren Kosten verbunden, weiß Dr. Brücking: „Die von NIS2 betroffenen Einrichtungen werden nach bisherigen Schätzungen ihr Cybersicherheitsbudget um rund 22 Prozent erhöhen müssen im Vergleich zu den von NIS1 betroffenen Einrichtungen mit dem dortigen Kostenanstieg von 12 Prozent.“

Im Schadensfall fällige Geldbußen können allerdings deutlich höher sein: maximal zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

IT-Sicherheitsgesetz für KRITIS-Betreiber

Betreiber kritischer Infrastrukturen müssen dem Gesetz zufolge „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen KRITIS vor dem Hintergrund der Schutzziele Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit von IT-Systemen und Prozessen maßgeblich sind“, erklärt Dr. Brücking. Anforderungsmaßstab sei der jeweilige Stand der Technik. Je nach Schwere des Verstoßes kann das BSI hier Geldbußen zwischen 50.000 und 100.000 Euro ansetzen.

Für geschäftsmäßige Internetdienste wurden die IT-sicherheitsspezifischen Vorgaben und Strafen verschärft. Sie müssen, so Dr. Brücking im Whitepaper, technische und organisatorische Vorkehrungen zum Schutz des Zugriffs auf ihre Angebote – wiederum nach dem Stand der Technik – erfüllen. Insgesamt drohen bei Sicherheitsvorfällen Bußgelder bis zu 20 Millionen Euro. Zudem kann das BSI die Dienste untersagen oder sperren. „Haftungsrechtlich bestehen gegenüber den Nutzern Schadensersatzpflichten aus Vertragsverletzung und – außerhalb einer vertraglichen Beziehung – aus unerlaubter Handlung aufgrund so genannter ‚Verkehrssicherungspflichtverletzung‘“, so Dr. Brücking.

KRITIS-Dachgesetz

Das KRITIS-Dachgesetz gibt kritischen Einrichtungen Mindestvorgaben im Bereich der physischen und Cyber-Sicherheit an die Hand. Diese sollen deren Schutzniveau und Resilienz stärken. „Wie das IT-Sicherheitsgesetz erhält auch das KRITIS-Dachgesetz ein Meldesystem“, erläutert Dr. Brücking. „Für die effiziente Durchsetzung gilt analog der Sanktionenkatalog der NIS2-Richtlinie und der DSGVO. Die Strafen müssen hiernach wirksam, verhältnismäßig und abschreckend sein.“ Außerdem nimmt das Gesetz eine Erweiterung der KRITIS auf mindestens elf Sektoren vor. Das Gesetz soll ebenfalls im Jahr 2024 in Kraft treten.

Produkthaftung: Übertragung auf Cybersicherheit

Bereits am 13. September 2022 stellte die EU den Cyber Resilience Act (CRA) vor, der eine Lücke in der europäischen Digitalgesetzgebung schließen soll und den Produktlebenszyklus regelt. Werden die vier spezifischen Ziele (s. Kasten) nicht eingehalten, drohen Geldbußen bis maximal 15 Millionen Euro beziehungsweise bis zu 35 Prozent des gesamten weltweiten Jahresumsatzes im vorausgegangenen Geschäftsjahr. Auch geringfügigere Verstöße werden geahndet: mindestens fünf Millionen Euro bzw. ein Prozent des gesamten weltweiten Jahresumsatzes im vorausgegangenen Geschäftsjahr werden dabei fällig. Nach der Übergangsfrist von 24 Monaten betrifft das Gesetz alle Akteure der Lieferkette.

Eine ausführliche Beschreibung der gesetzlichen Vorgaben und der Strafmaße finden Sie im Whitepaper von Dr. Brücking und SEP zum Download als pdf.

In einem kostenfreien Webinar fasst der Rechtsanwalt die wichtigsten Aspekte zusammen.

(ID:49324705)