Von der DSGVO bis NIS-2: Zukunftssicherer Datenschutz in einer vernetzten Welt

In einer zunehmend vernetzten Welt rückt der Schutz sensibler Daten mehr und mehr in den Fokus von Unternehmen, Behörden sowie der Gesellschaft insgesamt. Die Datenschutz-Grundverordnung (DSGVO) und die NIS-2-Richtlinie sind bedeutende regulatorische Vorgaben für den Umgang mit personenbezogenen Daten und die Cybersicherheit in Europa.

Diese Regulierungen schaffen klare Anforderungen, die Unternehmen sowohl als Herausforderung als auch als Chance betrachten sollten. Während Verstöße gegen diese Vorschriften nicht nur zu hohen Bußgeldern, sondern auch zu erheblichen Reputationsschäden führen können, bieten sie gleichzeitig eine Möglichkeit, durch den Einsatz moderner Technologien Vertrauen bei Kunden zu schaffen und Wettbewerbsvorteile zu erzielen.

Wir beleuchten die wichtigsten Aspekte der DSGVO und NIS-2 und zeigen auf, wie Unternehmen durch den Einsatz innovativer Technologien diese Vorschriften nicht nur erfüllen, sondern auch langfristig Nutzen daraus ziehen können.

Datenschutz im Unternehmen als Herausforderung und Chance

Datenschutz und Datensicherheit sind Themen, an denen Unternehmen nicht mehr vorbeikommen. Das liegt zuallererst an den strengen und komplexer werdenden gesetzlichen Vorgaben wie der Datenschutz-Grundverordnung (DSGVO) und der neuen NIS2-Richtlinie.

Diese Regulierungen führen EU-weit geltende Regeln für den Umgang mit personenbezogenen Daten und Vorgaben zur Stärkung der Cybersicherheit von kritischen Infrastrukturen ein. Für betroffene Unternehmen ist es zwingend, diese Vorgaben zu beachten, da bei Nichteinhaltung empfindliche Strafen drohen.
Unternehmen sollten den Datenschutz jedoch nicht nur als äußeren Zwang auffassen. Kunden erwarten in der Geschäftswelt von heute, dass ihre Daten sicher behandelt und verwahrt werden und sie über die Nutzung ihrer Daten transparent informiert werden. Datenschutz ist daher ein entscheidender Faktor für das Vertrauen der Kunden. Darüber hinaus führt die Digitalisierung generell zu einer zunehmenden Vernetzung und einer steigenden Menge von Daten. Dies erhöht das Risiko generell von Datenverlusten und Datenmissbrauch. Datenlecks können deshalb – unabhängig von der rechtlichen Regulierung – zu erheblichen finanziellen Schäden führen, beispielsweise durch Rechtsstreitigkeiten, Reputationsverlust oder die Abwanderung von Kunden.
Positiv ausgedrückt, sind Datenschutz und Datensicherheit nicht nur gesetzliche Anforderungen, sondern auch ein zunehmend wichtiger Faktor für den Unternehmenserfolg. Unternehmen, die Datenschutz ernst nehmen, schützen sich vor finanziellen Risiken, stärken das Kundenvertrauen und positionieren sich als zuverlässige Geschäftspartner.

Vorschriften zum Datenschutz: die DSGVO

Die Datenschutz-Grundverordnung (DSGVO) ist eine europäische Verordnung, die seit dem 25. Mai 2018 in Kraft ist und die Regeln für die Verarbeitung personenbezogener Daten innerhalb der Europäischen Union vereinheitlicht. Sie verfolgt das Ziel, den Schutz personenbezogener Daten zu stärken und die Rechte der betroffenen Personen zu garantieren.
Die DSGVO definiert, was unter den personenbezogenen Daten zu verstehen ist und legt fest, unter welchen Voraussetzungen diese verarbeitet werden dürfen. Die Verarbeitung umfasst dabei alle Vorgänge im Zusammenhang mit personenbezogenen Daten, von der Erhebung bis zur Löschung. Die Verarbeitung muss stets auf einer rechtmäßigen Grundlage beruhen, wie zum Beispiel einer Einwilligung der betroffenen Person, einer gesetzlichen Verpflichtung oder einem berechtigten Interesse gemäß Art. 6 der DSGVO.

Welche Rechte haben Betroffene?

Die DSGVO verleiht den Betroffenen umfassende Rechte hinsichtlich ihrer personenbezogenen Daten.

Dazu gehören:

• Auskunftsrecht: Betroffene haben das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten.
• Recht auf Berichtigung: Falsche Daten müssen berichtigt werden.
• Recht auf Löschung: Unter bestimmten Voraussetzungen können Betroffene die Löschung ihrer Daten verlangen.
• Recht auf Einschränkung der Verarbeitung: In bestimmten Fällen kann die Verarbeitung eingeschränkt werden.
• Recht auf Datenübertragbarkeit: Betroffene haben das Recht, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln.
• Widerspruchsrecht: Betroffene können der Verarbeitung ihrer Daten widersprechen.

Auswirkungen von Verstößen auf Unternehmen

Unternehmen müssen dafür Sorge tragen, dass beim Umgang mit Daten im Unternehmen die Rechte der Betroffenen jederzeit gewahrt werden. Bei Datenschutzverletzungen, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, müssen Unternehmen dies unverzüglich der zuständigen Aufsichtsbehörde melden. Die Meldefrist hierfür beträgt in der Regel 72 Stunden.

Verstöße gegen die DSGVO können für Unternehmen schwerwiegende Folgen haben:

• Bußgelder: Die DSGVO sieht hohe Strafen vor, die sich am jeweiligen Umsatz des Unternehmens und der Schwere des Verstoßes orientieren. In besonders schweren Fällen können Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängt werden.
  Reputationsverlust: Datenschutzverletzungen können das Vertrauen der Kunden und Geschäftspartner nachhaltig schädigen und zu einem Imageschaden führen.
• Klagen: Betroffene können Unternehmen auf Schadensersatz verklagen.
• Geschäftsunterbrechungen: Datenschutzverletzungen können zu Betriebsunterbrechungen führen, wenn beispielsweise Systeme gesperrt werden müssen.
• Aufsichtsrechtliche Maßnahmen: Die Aufsichtsbehörden können neben Bußgeldern auch weitere Maßnahmen anordnen, wie beispielsweise die Anordnung von technischen und organisatorischen Maßnahmen zur Verbesserung des Datenschutzes.

Vorschriften zur Datensicherheit: NIS-2

NIS steht als Abkürzung für „Network and Information Systems Directive“ und bezeichnet eine europäische Sicherheitsrichtlinie. Sie zielt auf eine Verbesserung und Harmonisierung der Cybersicherheit in der Europäischen Union.

Die erste NIS-Richtlinie wurde im Jahr 2016 erlassen. Die zweite Fassung der Richtlinie (NIS-2) wurde am 27.12.2022 auf EU-Ebene erlassen und befindet sich derzeit in Deutschland noch in der Umsetzungsphase in nationales Recht unter Federführung des Bundesministeriums des Innern und für Heimat. Dabei ist jedoch bereits heute erkennbar, dass sich mit NIS-2 der Anwendungsbereich und die damit verbundenen Anforderungen für Unternehmen deutlich erweitern werden.

Was sind die Ziele von NIS-2?

Das primäre Ziel von NIS-2 ist die Erhöhung des gemeinsamen Cybersicherheitsniveaus in der gesamten EU.

Dies soll im Wesentlichen durch folgende Maßnahmen erreicht werden:

NIS-2 erweitert den Anwendungsbereich und umfasst eine wesentlich größere Anzahl von Unternehmen und Sektoren, die als relevant für das Funktionieren von Wirtschaft und Gesellschaft angesehen werden. Die Neufassung der Richtlinie stellt höhere Anforderungen an die Cybersicherheit von Unternehmen, insbesondere in Bezug auf Risikobewertungen, Vorfallmanagement und die Bereitstellung von Informationen an die Behörden. NIS-2 zielt darauf ab, die Cybersicherheitsvorschriften in den EU-Mitgliedstaaten zu harmonisieren, um einen einheitlichen Rechtsrahmen zu schaffen.

• Im Gegensatz zur ersten Fassung der Cyberrichtlinie legt NIS-2 einen stärkeren Fokus auf die Zusammenarbeit zwischen Unternehmen, Behörden und anderen Akteuren im Bereich der Cybersicherheit.
• Die Zuständigkeiten der nationalen Behörden wurden mit NIS-2 klarer definiert und die Zusammenarbeit zwischen den Mitgliedstaaten soll durch die neue Fassung gestärkt werden.

Welche Folgen hat NIS-2 für Unternehmen?

NIS-2 zielt auf zwei Kategorien von Unternehmen und öffentlichen Einrichtungen ab: Erstens fallen darunter Betriebe, die sicherheitskritische Branchen wie Finanzen, Energie, Gesundheitswesen, die digitale Infrastruktur oder die öffentliche Verwaltung betreffen (Essential Entities). Unter die zweite Gruppe fallen Betriebe, die beispielsweise in Bereichen wie der Produktion von Lebensmitteln, der Post- und Versanddienstleistungen, der Abfallentsorgung oder im Bereich digitaler Dienstleistungen tätig sind.

NIS-2 hat erhebliche Auswirkungen auf diese Unternehmen:

• Anforderungen gerecht zu werden. Dies umfasst unter anderem die Durchführung von Risikobewertungen, die Implementierung von Sicherheitsmaßnahmen und die Schulung der Mitarbeiter.
• Bei Cyberangriffen oder Datenverletzungen müssen Unternehmen Vorfälle innerhalb einer bestimmten Frist melden.
• Unternehmen müssen ihre Sicherheitsmaßnahmen dokumentieren und auf Anfrage der Behörden zur Verfügung stellen.

Wichtig: Die Umsetzung von NIS-2 kann – insbesondere für kleinere Unternehmen – mit erheblichen Zusatzkosten verbunden sein. Allerdings ist es sehr wahrscheinlich, dass sich Unternehmen, die die Anforderungen von NIS-2 erfüllen, mittelfristig einen Wettbewerbsvorteil verschaffen können, weil sie ein höheres Maß an Sicherheit bieten. die Folgen der DSGVO und von NIS-2 für die betriebliche Praxis

Vorschriften wie die DSGVO und NIS-2 gehen am Arbeitsalltag in den Betrieben nicht spurlos vorbei. Für Entscheider in den Unternehmen kommt es darauf an zu verstehen, wie sich die neue Art der Regulierung auf das Business und die damit verbundenen Geschäftsprozesse auswirkt.

Warum ein „weiter-so“ für Unternehmen nicht möglich ist

Die Komplexität der Vorschriften wächst

Die Vielzahl an Datenschutz- und Sicherheitsvorschriften stellt Unternehmen vor die Herausforderung, stets den Überblick zu behalten. Besonders DSGVO und NIS-2 erfordern von IT-Entscheidern, Datenmanagern und Führungskräften ein tiefes Verständnis und eine kontinuierliche Anpassung ihrer Systeme. Komplexe Vorschriften wie die DSGVO und die NIS-2-Richtlinie mit ihren spezifischen Sicherheitsanforderungen sind komplex und für Nicht-Experten häufig schwer verstehbar. Das gilt umso mehr für Unternehmen, die an mehreren Standorten in verschiedenen Ländern operieren, die in diesen Fällen zusätzlich nationale Unterschiede berücksichtigt werden müssen. Gerade mittelständische Unternehmen verfügen oft nicht über die personellen und fachlichen Ressourcen, um diese Anforderungen intern zu bewältigen.

Effizienz und Sicherheit in Geschäftsprozessen müssen zusammengehen

Die Anforderungen der DSGVO wurden vom Gesetzgeber gezielt auf die Einrichtung digitaler Workflows ausgerichtet. Deshalb ist es praktisch unmöglich die geltenden Datenschutzanforderungen mit nicht-digitalen Mitteln zu erfüllen. Denn händisch lassen sich Datenschutzbewertungen, Meldepflichten und Dokumentationen nur äußerst ineffizient durchführen. Zusätzlich können menschliche Fehler in der Datenverarbeitung zu Verstößen und hohen Bußgeldern führen. Unternehmen stehen deshalb vor der Herausforderung, dass sie intelligente IT-Lösungen benötigen, die in die betroffenen Prozesse integriert werden bzw. auf die sie umgestellt werden.

Compliance-themen werden komplexer – und mächtiger

Die fortschreitende Digitalisierung und die Entwicklung neuer Technologien machen es unmöglich, Themen wie die DSGVO oder NIS-2 einfach auszusitzen. Im Gegenteil müssen sich Unternehmen darauf vorbereiten, dass sie in Zukunft mehr als die aktuellen Anforderungen erfüllen müssen. Denn die Digitalisierung zieht einen Zustand des ständigen Wandels nach sich: Neue Vorschriften wie NIS-2 oder nationale Gesetzesänderungen führen dazu, dass sich Unternehmen in einem Zustand der kontinuierlichen Anpassungen befinden werden. Veraltete Legacy-Systeme, die nicht flexibel genug sind, um diese neuen Anforderungen zu integrieren, werden in diesem Umfeld zu unnötigen Kosten und Aufwänden führen. Denn häufige Änderungen unflexibler Systeme bedeuten immer neue Investitionen und binden Ressourcen.

Aktives Risikomanagement gewinnt an Bedeutung

Viele Unternehmen wissen oft gar nicht so genau, wo sich potenzielle Schwachstellen im Bereich der Cybersicherheit in ihren Prozessen auftun können. In der Folge sind sie in einer Welt gesteigerter IT-Risiken den Gefahren durch Datenlecks, Cyberangriffe und andere Sicherheitsvorfälle relativ schutzlos ausgeliefert. Das beginnt oft schon damit, dass überhaupt kein Monitoring für die kritischen Prozesse im Unternehmen vorhanden ist. So bleiben Sicherheitslücken unbemerkt. Dem Geschäftsbetrieb drohen auf diese Weise permanent schwerwiegende Konsequenzen durch Datenschutzverstöße und Sicherheitsvorfälle.

Klare Prozesse und standardisierte Workflows müssen her

Unternehmen müssen dabei auch bedenken, dass die Einhaltung von Datenschutz- und Sicherheitsvorgaben nicht nur eine Frage der richtigen Technologie ist. Um auf diesen Gebieten für die Zukunft gerüstet zu sein, bedarf es klar definierter Prozesse, die von allen Mitarbeitenden verstanden und eingehalten werden. Denn ohne standardisierte Workflows gibt es keine einheitliche Herangehensweise an Datenschutzthemen, keine effiziente Zusammenarbeit zwischen den unterschiedlichen Abteilungen bei Sicherheitsthemen und keine verlässliche Prozessdokumentation, die Audits und Prüfungen gerecht wird.

Die Rolle moderner Technologien für einen digitalen Datenschutz
Moderne Technologien spielen eine entscheidende Rolle, um die steigenden Anforderungen an Datenschutz und Sicherheit effizient zu bewältigen.

Wie können compliancekonforme Archivsysteme Unternehmen dabei unterstützen, um den komplexen Anforderungen von DSGVO und NIS-2 gerecht zu werden. Eins vorweg: Sie bieten nicht nur die Werkzeuge, um aktuelle Anforderungen zu erfüllen, sondern auch die Flexibilität und Skalierbarkeit, um zukünftige Herausforderungen zu bewältigen.

Das moderne Archiv bietet Datenschutz „by design“

Moderne Archivsysteme wie PROXESS DMS gewährleisten schon heute, dass Daten gemäß gesetzlichen Vorgaben gespeichert und fristgerecht gelöscht werden. Sie unterstützen Datenschutz „by design“. Das bedeutet, sie sind von Vornherein so aufgebaut, dass die geltenden Datenschutzbestimmungen bereits in den Aufbau der Software integriert sind.

Zentralisierte Gouvernance und Kontrolle

Die zentrale Speicherung datenschutzrelevanter Informationen in einem zentralen System, wie es ein Archivsystem darstellt, ermöglicht die konsistente Anwendung von Datenschutz- und Sicherheitsrichtlinien über alle Prozesse und Abteilungen hinweg. Alle Zugriffe und Transaktionen werden in diesem System zentral protokolliert, was die Überwachung und Auditierung der Vorgaben enorm verbessert. Zusätzlich werden Sicherheitsrisiken minimiert, weil alle sensiblen Daten und Verarbeitungsprozesse an einem zentralen Ort kontrolliert werden. Die Identifikation und Behebung von Schwachstellen wird in einer zentralisierten Sicherheitsarchitektur schließlich ebenfalls erleichtert.