Welche thematischen Gebiete stehen zurzeit im Mittelpunkt des IT-Rechts?

Mit gezielten Gesetzesnormen zu Produkten mit digitalen Elementen, Netzwerken und Künstlicher Intelligenz werden mittlerweile viele unterschiedliche Bereiche des IT-Rechts geregelt. Dabei konzentrieren sich die europäischen Gesetzesnormen vor allem auf sechs zentrale Themenbereiche:

Digitale Märkte & Dienste

In diesem Bereich geht es nicht nur um die Anpassung von Gesetzen an neue Rahmenbedingungen (bspw. ProdHaftRL). Durch die zunehmende Macht großer Unternehmen sah sich die EU-Kommission auch in der Verantwortung, einen fairen Wettbewerb zu fördern und die Marktmacht entsprechend zu begrenzen. Monopole bringen dabei häufig die Gefahr mit sich, dass Algorithmen entsprechend manipuliert werden können. Gerade bei Online-Marktplätzen, sozialen Netzwerken und Suchmaschinen stellt sich daher nicht nur die Frage nach der Marktmacht, sondern auch nach der Verantwortung für die Begrenzung von Fake-News, Hetze und Kriminalität. Hinzu kommen Datenmonopole. Die Sicherheit und Interoperabilität dieser Daten sowie die Selbstbestimmung über die eigenen Daten sollen für die Nutzer gewährleistet werden. Daraus sind unter anderem Gesetzesinitiativen wie der DSA und der DMA entstanden.

IT-Sicherheit in der Finanzdienstleistung

Gesundheitsbranche, Grundversorgung und Finanzdienstleistungen gehören zur kritischen Infrastruktur und sind daher von besonderer Bedeutung. Durch KI und die immer größer werdenden technischen Möglichkeiten werden auch Kriminelle zunehmend raffinierter, wenn es darum geht, sensible Daten abzugreifen oder hohe Summen zu ergaunern. Dabei sind nicht nur Nutzer betroffen, sondern auch Finanzinstitute selbst. In einer immer stärker vernetzten Welt müssen gerade solche Knotenpunkte möglichst gut geschützt werden. Dabei geht es unter anderem um die frühzeitige Erkennung von Risiken, den Aufbau von Resilienz und die Aufarbeitung eines erfolgreichen Angriffs. Gleichzeitig sollen Verbraucher geschützt und der Wettbewerb gestärkt werden. Transparenz- und Informationspflichten sowie Fragen der Haftung und Erstattung sind dabei ein Teil der Lösung. Das Senken von Markteintrittsbarrieren und das Schaffen von Rahmenbedingungen für Innovationen bilden den anderen Teil. DORA, MiCA und die PSD sind entsprechende Maßnahmen, die diesen Ansatz unterstützen sollen.

Emerging Technology

Künstliche Intelligenz, Quanten-Computing und smarte Produkte sind heute in aller Munde. Die EU versucht dabei, den bestehenden Gesetzesrahmen möglichst schnell an diese neuen Entwicklungen anzupassen. Dabei geht es unter anderem darum, Verantwortlichkeiten und damit auch mögliche Haftungsfragen zu klären. Gleichzeitig dürfen Transparenz und vor allem eine ethische Betrachtung nicht vernachlässigt werden. Das führt zu einem teilweise schwierigen Abwägungsprozess, bei dem auch dezentrale Technologien wie Open Source weiterentwickelt und gefördert werden sollen. Datenschutz und IT-Sicherheit spielen dabei ebenfalls eine wichtige Rolle. Auch für die notwendigen Lieferketten müssen Regelungen geschaffen werden, ohne die nationalen Interessen der einzelnen Staaten außer Acht zu lassen. Auch autonome Systeme und virtuelle Realität gehören zu dieser stetigen Entwicklung. Die EU versucht, diesen Entwicklungen unter anderem mit dem AI Act und dem EU-Chips Act Rechnung zu tragen.

IT-Sicherheit & Resilienz

Hard- und Software werden bei Produkten immer häufiger miteinander verbunden. Der Gesetzgeber bezeichnet solche Produkte als „Produkte mit digitalen Elementen“. Während ein Kühlschrank früher eigentlich nur eines konnte – nämlich kühlen –, können manche Modelle heute nicht nur anzeigen, was sich in ihrem Inneren befindet, sondern sogar selbstständig Lebensmittel bestellen. Mit diesen zusätzlichen Funktionen entstehen allerdings auch mehr Angriffspunkte, die genutzt werden können, um Daten abzugreifen oder Systeme lahmzulegen. Bei einem Kühlschrank kann das Abgreifen möglicher Zahlungsdaten beispielsweise „nur“ zu finanziellen Schäden führen. Bei kritischen Infrastrukturen oder staatlichen Einrichtungen sieht das dagegen anders aus. Schäden können dort ganze Bereiche beeinträchtigen und im schlimmsten Fall sogar Menschenleben oder die öffentliche Ordnung gefährden. Umso wichtiger ist es, sich gegen Ransomware und Cyberkriminalität zu schützen. Ob Zero-Trust-Strategie, die physische Absicherung von KRITIS oder eine europaweite Cybersolidarität: Jeder Marktteilnehmer soll seinen Beitrag zu mehr IT-Sicherheit und Resilienz in der EU leisten. CRA, NIS 2 und der Cyber Solidarity Act sind dabei Teile einer Gesetzesinitiative, die nicht nur Deutschland, sondern alle Mitgliedstaaten der EU zu einer sicheren „Cybernation“ machen soll.

Datennutzung & Datenschutz

Daten spielen im 21. Jahrhundert eine sehr wichtige Rolle. Gleichzeitig stellt sich die Frage, wie diese Daten wirtschaftlich genutzt werden können, ohne die Datenschutzrechte der Betroffenen zu verletzen und die Privatsphäre zu gefährden. Die Selbstbestimmung, beispielsweise bei der Weitergabe von Daten an Dritte, und die Förderung der Wettbewerbsfähigkeit von Unternehmen lassen sich dabei nicht immer einfach miteinander vereinbaren. Besonders deutlich wird diese Problematik beim Blick auf Länder wie die USA und China. Auch bei Datensätzen selbst ergeben sich Probleme, etwa bei deren Validierung oder bei der Manipulation von Datensätzen und der anschließenden Verarbeitung. Datenschutzregelungen müssen deshalb einen Ausgleich schaffen: Unternehmen sollen Daten verarbeiten können, gleichzeitig muss aber die Entscheidung des Einzelnen respektiert werden. Gerade bei diesem Thema gehen die Meinungen regelmäßig auseinander. Die bereits früh verabschiedete DSGVO, die Open Data Directive und der Data Act sind Beispiele für Gesetzesinitiativen in diesem Bereich.

Kommunikation & Identifikation

Dass die Digitalisierung weiter vorangetrieben werden muss, scheint mittlerweile klar. Mit ihr entstehen allerdings auch neue Probleme. Dazu gehört neben der Sicherheit auch die grundsätzliche Möglichkeit, bestimmte digitale Prozesse überhaupt nutzen zu können. Eine sichere Identifikation ist beispielsweise notwendig, um Rechtsgeschäfte abzuschließen oder staatliche Angebote für Bürger zu nutzen. Das hat sowohl für Unternehmen als auch für die Mitgliedstaaten und damit für den Binnenmarkt eine wirtschaftliche Bedeutung. Auch die biometrische Identifikation ist ein wichtiges Thema, gerade weil die Sicherheit immer wieder an neue Rahmenbedingungen angepasst werden muss. Kommt es zu einer Straftat, müssen Beweismittel nachvollziehbar und zwischen den Mitgliedstaaten austauschbar sein, damit Verantwortliche zur Rechenschaft gezogen werden können. Für diesen Bereich sorgt die Electronic Evidence Regulation. Einen weiteren Beitrag zu einer sicheren Kommunikation sollen eIDAS 2.0 und die ePrivacy-Verordnung leisten.