Illustration Absmeier foto freepik

Was mit der DSGVO begann, setzt die EU mit NIS2 und DORA konsequent fort. Sie reglementiert die Datenindustrie und die digitalen Prozesse vieler Firmen, um Daten und Netze robuster zu machen gegen Angriffe. Gleichzeitig lassen sich aus der Einführung der DSGVO einige wichtige Schlüsse zum Umgang mit den neuen Regeln für Unternehmen ziehen. Welche das sind und warum das auch Bußgelder betrifft, erläutert Mark Molyneux, EMEA CTO bei Cohesity.

Und der Haifisch, der hat Zähne und Mekki Messer hat ein Messer. Aber ob die DSGVO Zähne haben wird oder die Folgen für Firmen eher unsichtbar sein werden, wenn sie gegen die Vorgaben verstoßen? Das war die große Frage bei der Einführung am 24. Mai 2018. Werden die angekündigten Sanktionen durchgesetzt und wenn ja, wie streng?

Nach sechs Jahren gibt der Enforcement Tracker ein deutliches Bild ab [1]. Er listet alle bisherigen Verfahren und verhängten Bußgelder auf. 4,5 Milliarden Euro Bußgelder wurden bisher im Jahr 2024 ausgesprochen, eine halbe Milliarde mehr als 2023 zur gleichen Zeit. Ein Anstieg von 11 Prozent innerhalb von 12 Monaten. Die globale Anwaltskanzlei DLA Piper geht in ihrer jährlichen Studie vom Januar 2024 zu Bußgeldern und Datenschutzverletzungen sogar von einem Anstieg von 14 Prozent aus [2]. DLA Piper hat darin ebenfalls festgestellt, dass sich der Trend der vergangenen Jahre fortsetzt: Wurden in Deutschland 2022 durchschnittlich 328 Verstöße pro Tag gemeldet, waren es im vergangenen Jahr 335 Meldungen – ein konstant hoher Wert. Wenn Firmen die personenbezogenen Daten der EU-Bürger unsachgemäß verarbeiten, werden sie gemeldet und im Ernstfall abgestraft.

Aktuell will die EU mit weiteren neuen Regelungen dafür sorgen, dass Firmen nicht nur ihren Umgang mit Daten optimieren, sondern auch ihre IT operativ besser aufstellen, um Cyberangriffen stärker zu widerstehen. Mit dem Digital Operational Resilience Act (DORA), auf die Finanzindustrie fokussiert, und der »NIS 2 Directive« sind Regelwerke entwickelt worden, um von Firmen in Europa mehr operative Cyberresilienz zu fordern [3] [4].

DORA wird am 17. Januar 2025 scharf geschaltet, während NIS2 bereits bis spätestens 17. Oktober 2024 relevant wird. Einige europäische Länder sind bereits weit fortgeschritten und werden ihre lokalen Gesetze vor diesem Stichtag verabschieden. Wer als Firma in diesen europäischen Ländern geschäftlich aktiv ist, muss also früher auf die Vorgaben reagieren, auch wenn die deutsche Gesetzgebung noch nicht fertig ist.

Die EU hat wie bei der DSGVO auch bei diesen neuen Regelwerken signifikante Bußgelder für Verstöße vorgesehen. Kommen Firmen ihren DORA-Verpflichtungen nicht nach, drohen Bußgelder von bis zu 10 Millionen EUR oder 5 % des weltweiten Vorjahresumsatzes. Die Strafen bei NIS2 sind nochmal schärfer und nehmen die Geschäftsleitung nun stärker ins Visier. Die Geldbußen können von 100.000 Euro bis zu 20 Millionen Euro für juristische Personen erreichen. Die Bußgelder haben sich seit dem IT-Sicherheitsgesetz 2.0 aus dem Jahr 2021 bei Verstößen deutlich erhöht. Es ist zudem zu erwarten, dass die Behörden Verstöße ähnlich konsequent verfolgen werden, wie sie es bei der DSGVO tun.

Wie NIS2 und DORA zusammenhängen.

NIS2 erweitert die Menge der Industriesektoren, die der Vorgabe folgen müssen, drastisch im Vergleich zum Vorgänger von 2016. In Deutschland allein ist mit knapp 30.000 Firmen der Großteil der Wirtschaft betroffen – mit Ausnahme des Finanzmarkts. Dieser wird vorrangig von DORA reglementiert, man spricht hier von einer Lex Specialis. Wichtig ist zu wissen: In all den Fällen, in denen NIS2 Bereiche reguliert, die in DORA ausgespart wurden, ist NIS2 zu betrachten. Letztere füllt also die Aussparungen von DORA, beide hängen zusammen.

Die große Änderung bei den Vorgaben betrifft die obligatorischen Meldepflichten für Datenschutzverletzungen. Im Rahmen der Richtlinie werden die folgenden Anforderungen festgelegt:

Innerhalb von 24 Stunden muss die Organisation eine Frühwarnung geben, wenn der Verdacht besteht, dass ein schwerwiegender Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte.
Innerhalb von 72 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls muss die Frühwarnung mit einer ersten Bewertung, einschließlich seiner Schwere und Auswirkungen, aktualisiert werden. Die Organisation sollte dem nationalen CERT auch alle Indikatoren für eine Gefährdung im Zusammenhang mit dem Angriff mitteilen.
Auf Anfrage eines nationalen CERT oder einer Aufsichtsbehörde muss die Organisation Zwischenstatusaktualisierungen bereitstellen.
Innerhalb eines Monats nach Einreichung der Vorfallmeldung muss die Organisation einen Abschlussbericht vorlegen.

Von Vorarbeiten bei der DSGVO profitieren

Die DSGVO hat von Firmen bereits ein besseres Datenmanagement verlangt, indem die Firmen personenbezogene Daten strenger und sorgfältiger verwalten mussten als alle anderen Informationen. Die Auskunftspflicht wie das Recht auf Vergessen sowie die Meldepflicht bei Datenverlust haben von Unternehmen bereits Prozesse und Workflows gefordert, die in ähnlicher Weise bei NIS2 und DORA im Falle eines Angriffs greifen können. Der Einsatz einer KI-getriebenen Data-Security- und Management-Plattform kann Firmen immens helfen, diese Prozesse skalierbar und effizient im Unternehmen umzusetzen.

Dateninhalte genau kennen: Bei einer Attacke wollen die Hacker Daten stehlen, verschlüsseln oder löschen. Unternehmen müssen daher genau wissen, welche Daten sie besitzen und welchen Wert sie haben. Nur dann können sie Fragen der Governance und Compliance beantworten und beispielsweise steuern, dass bestimmte Datentypen gewisse Speicherorte nicht verlassen dürfen. Und sie werden schneller verstehen, welche Daten im Detail betroffen sind, sollten Hacker erfolgreich eingedrungen sein. Dadurch wird das Reporting für NIS2 und DORA beschleunigt und die Ergebnisse viel genauer. Im Alltag ist diese Aufgabe gigantisch und die meisten Firmen haben Berge von Informationen angehäuft, von denen sie wenig bis überhaupt nichts wissen. Auf diesem Gebiet können KI-Lösungen wie Cohesity Gaia massiv helfen und eine der komplexesten Probleme entschärfen, indem sie die Daten von Firmen automatisiert klassifizieren. Business Owner können beispielsweise direkte Fragen zu bestimmten Daten stellen und bekommen automatisch von Gaia eine entsprechende Antwort mit einer Liste aller betroffenen Dokumente. Da die Daten aus dem eigenen Backup klassifiziert, lassen sich betroffenen Daten einer Attacke genau untersuchen, selbst wenn die ursprünglichen Systeme von einem Cybervorfall betroffen sind.
Datenflüsse steuern: Sind die Daten mit den richtigen Merkmalen eingestuft und klassifiziert, lassen sich von der darunter liegenden Datenmanagement-Plattform automatisch Regeln durchsetzen, ohne dass der Data Owner eingreifen muss. Dadurch sinken die Risiken für menschliche Fehler.
So könnte eine Firma durchsetzen, dass bestimmte Daten wie Intellectual Property oder Finanzdaten niemals an andere Speicherorte oder externe KI-Module weitergegeben werden dürfen. Moderne Datenmanagement-Plattformen steuern den Zugriff auf diese Daten, indem sie diese automatisch verschlüsseln und sich Anwender per Access Controls und Multifaktor-Authentifizierung autorisieren müssen. Diese Zugriffskontrollrichtlinien sind ein Kernelement in NIS2, bei dem eine granulare rollenbasierte Zugriffskontrolle verlangt wird, um das Sicherheitsprinzip der geringsten Privilegien zu erreichen. Cohesity unterstützt hier das Konzept Quorum. Es ermöglicht einer Organisation, das Sicherheitsprinzip der Aufgabentrennung umzusetzen.
Auf Vorfälle reagieren: Damit eine Firma die Berichte für NIS2, DORA und DSGVO überhaupt erstellen kann, muss sie handlungsfähig sein. Bei Ransomware oder einem Wiper-Angriff wird das Licht in der Firma ausgeknipst, im sprichwörtlichen Sinn. Im Ernstfall funktioniert nichts mehr. Kein Telefon, keine E-Mail, keine Tür, geschweige denn die Website. Die IT-Teams der CIOs und CISOs werden auf diese Attacke nicht einmal reagieren können, da alle Sicherheitstools offline, Beweise in Logs und auf den Systemen verschlüsselt sind. Niemand wird sein Team zusammentelefonieren können, da VoIP nicht arbeitet. Auf Basis einer Data Cloud Platform dagegen können die Infrastruktur- und Seucrity-Teams gemeinsam einen isolierten Cleanroom etablieren, in dem ein Notfallset an Tools und System- und Produktionsdaten liegt, um einmal einen Notbetrieb der Gesamt-IT zu schaffen. Darin liegen alle essenziellen Tools für die Security-Teams, damit diese mit dem essenziellen Incident-Response-Prozess beginnen können. Dieser Prozess ist essenziell, um richtige und aussagekräftige Berichte für NIS2, DORA und DSGVO-Verstöße zu generieren.
Vom Cleanroom aus lässt sich übrigens die Produktionsumgebung Schritt für Schritt und eng abgestimmt mit den Infrastrukturteams wiederherstellen, und zwar mit gehärteten sauberen Systemen.

Die Regelwerke NIS2 und DORA sind wichtig für Europa und die Wirtschaft, denn sie stärken die Cyberresilienz der Firmen und Behörden. Sie spiegeln auch die Realitäten wider. KI und Service-Modelle wie Ransomware as a Service haben nicht nur die Menge von Cyberkriminalität wachsen lassen, sondern auch deren Qualität. Unsere digitale Infrastruktur muss robuster werden gegen erfolgreiche Angriffe. Dazu müssen Firmen all jene Prozesse und Workflows überarbeiten und optimieren, die mit Daten hantieren. Cohesity kann hier als zentrale sichere Plattform für Datenmanagement im Hintergrund massiv helfen, eine möglichst große operative Cyberresilienz zu gewährleisten.

[1] https://www.enforcementtracker.com/?insights

[2] https://www.dlapiper.com/de-at/news/2024/03/dla-piper-gdpr-and-data-breach-report

[3] https://www.digital-operational-resilience-act.com/

[4] https://www.NIS2-directive.com/

74 Artikel zu „DORA“

NEWS | GESCHÄFTSPROZESSE | IT-SECURITY | SERVICES | STRATEGIEN

Die Uhr für DORA-Compliance tickt – Banken sollten sich selbst und ihre Dienstleister kritisch prüfen

14. Februar 2024

Ein Kommentar von Markus Koerner, Deutschlandchef von Kyndryl: »In weniger als einem Jahr, ab dem 17. Januar 2025, gilt der Digital Operational Resilience Act (DORA) EU-weit für Finanzunternehmen und ihre IT-Partner. Da es sich um eine Verordnung der europäischen Union handelt, findet die Umsetzung in nationales Recht nicht statt. Die Zeit für betroffene Unternehmen wird…

[1] https://www.enforcementtracker.com/?insights

[2] https://www.dlapiper.com/de-at/news/2024/03/dla-piper-gdpr-and-data-breach-report

[3] https://www.digital-operational-resilience-act.com/

[4] https://www.NIS2-directive.com/

74 Artikel zu „DORA“

47 Artikel zu „NIS2“