IT-Sicherheitsgesetze
Die Herausforderungen im Bereich der Cybersicherheit steigen stetig: Neue Technologien schaffen neue Märkte und damit reglementierte Lücken, der Schutz kritischer Infrastrukturen und Lieferketten wird zu einer verzweigten Aufgabe in unserer vernetzten Welt, Kriminelle schöpfen die neu gegebenen Möglichkeiten aus und setzen der Wirtschaft mit Lösegeldforderungen und ähnlichem zu und auch staatliche Akteure haben in den vergangenen Jahren ihren Fokus verstärkt auf das World Wide Web verlagert, um ihre Interessen durchsetzen zu können.
Angetrieben durch Herausforderungen wie aufstrebende Schlüsseltechnologien, aber auch, durch eine weltweit zunehmende Bedrohungslage erweitert die Europäische Union den Gesetzesrahmen für Cybersicherheit kontinuierlich. Unter anderem nahm die EU-Kommission sich 2020 mit eine sogenannte „EU-Cybersicherheitsstrategie“ vor, sich mit kollektiven Fähigkeiten Sicherheit und Stabilität im Cyberspace zu schaffen. Entsprechend stieg die Anzahl der Gesetzesnormen im europäischen Rechtsrahmen mit Bezug auf „Cybersicherheit“ in den vergangenen Jahren. Ob nun durch diese weitreichende Strategie (durch welche bspw. NIS2 und CRA) oder durch davon abweichende Initiativen (bspw. Produkthaftungsrichtlinie oder AI-Act): Der Rechtsrahmen entwickelt sich kontinuierlich.
Auch zukünftig wird die Europäische Union den Gesetzesrahmen kontinuierlich erweitern. So tritt der Cyber Resilience Act bereits im Dezember in Kraft und auch weitere Gesetzesnormen, wie der Cyber Solidarity Act, die ePrivacy-Verordnung und die Payment Services Directive 3 stehen bereits in den Startlöchern. Auch indirekt entfalten regulatorische Maßnahmen Wirkung. Die bereits abgeschlossene Novellierung der Produkthaftungsrichtlinie schließt beispielsweise Software und KI explizit ein und definiert den Fehlerbegriff in Bezug auf sicherheitsrelevante Cybersicherheitsanforderungen, neu.
Bis einige der Gesetzesnormen ihre Wirkung entfalten, wird jedoch zumeist noch einige Zeit vergehen. Dies ist zum einen darauf zurückzuführen, dass vielfach Übergangsbestimmungen oder gestaffelte Pflichten die konkrete Anwendung in die Zukunft verschieben. Zum anderen gelten Richtlinien im Vergleich zu Verordnungen nicht unmittelbar. Richtlinien müssen in die nationale Gesetzgebung umgesetzt werden und zuletzt zeigte das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, dass diese Aufgabe durchaus zu zeitlichen Verwerfungen führen kann.
Sie haben Fragen zum... ?
Critical Entities Resilience Directive legt Mindestverpflichtungen an die Resilienz kritischer Einrichtungen (KRITIS) fest und bietet Unterstützungs- sowie Aufsichtsmaßnahmen für KRITIS Betreiber.
Cyber Resilience Act diese im Dezember in Kraft tretende Verordnung beinhaltet Cybersicherheitsanforderungen für den gesamten Lebenszyklus von Produkten mit digitalen Elementen.
EU Cyber Solidarity Act soll in naher Zukunft die Erkennung, Vorsorge und Bewältigung von Cybersicherheitsbedrohungen und ‑vorfällen verbessern um Schäden und Störungen zu vermeiden.
EU Cybersecurity Act implementiert eine einen einheitlichen Zertifizierungsrahmen für ICT Produkte, Service und Prozesse und erweitert das Mandat der ENISA.
Richtlinie über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung fördert die Nutzung und den Austausch von, sowie den Zugang zu Daten und legt zugleich hierfür Regeln für den B2C-, B2B- und B2G-Bereich fest.
Data Governance Act ist eng mit dem Data Act verknüpft und etabliert grundlegende Regeln und Verfahren, um einen Rechtsrahmen für die Wiederverwendung, die Vermittlung und Weitergabe von Daten zu schaffen.
Digital Markets Act hat zum Zweck, die Bestreitbarkeit und Fairness der Märkte im digitalen Sektor zu gewährleisten – insbesondere in Bezug auf Torwächter.
Digital Operational Resilience Act stellt vor allem Anforderungen an den Finanzsektor und deren digitalen bzw. opertionallen Resilienz.
Digital Services Act gilt für jede gegen Entgeld im Fernabsatz erbrachte sowie als individuellen Auftrag gestaltete Dienstleistung und soll die Grundrechte der Nutzer schützen.
Datenschutz-Grundverordnung als etablierter Teil des Datenschutzrechtes, legt Anforderungen an die Verarbeitung personenbezogener Daten fest und vereinheitlicht diese.
Electronic Evidence Regulation dient dazu eine rechtliche Grundlage für Strafverfolgungs- und Justizbehörden zu schaffen, um digitale Beweismittel sichern zu können.
Verordnung zur elektronischen Identifizierung und Vertrauensdienste für elektronische Transaktionen soll ein angemessenes Sicherheitsniveau für elektronischen Identifizierungsmitteln und Vertrauensdiensten schaffen und eine europäische Brieftaschen für die Digitale Identität bereitstellen.
Datenschutzrichtlinie für elektronische Kommunikationist nicht zu verwechseln mit der ePrivacy-Verordnung und regelt die Verarbeitung und den freien Verkehr personenbezogener Daten bei eletronischen.
ePrivacy-Verordnung befindet sich seit Jahenim Rechtsetzungsverfahren und soll die ePrivacy-Richtlinie ersetzen.
Verordnung über bestreitbare und faire Märkte im digitalen Sektorrichtet sich an zentrale Plattformdienste, die Torwächter bereitstellen oder anbieten.
EU Chips Act schafft einen Rahmen zur Stärkung der Resilienz im Bereich der Halbleitertechnologien mit Themebereichen, wie: veringerte Abhängigkeiten, Souveränität.
Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau legt Maßnahmen für ein hohes Cybersicherheitsniveau von Netz- und Informationssystemen fest.
Open Data Directive soll die (Weiter-)Verwendung sowie die praktischen Modalitäten in Bezug auf offene bzw. öffentliche Daten fördern.
Payment Services Directive 2 ist eine Richtlinie, welche die Transparenz, sowie Rechte und Pflichten, welchen die Zahlungsdienstleister nachkommen müssen, festlegt.
Payment Services Directive 3 soll die PSD 2 in naher Zukunft ersetzen und an die aktuellen Gegebenheiten anpassen.
Radio Equipment Directive regelt die Bereitstellung auf dem Markt und die Inbetriebnahme von Funkanlagen.
Produkthaftungsrichtlinie tritt am 8.12.2024 in Kraft und ändert die bisherige Produkthaftung u.a. dahingehend, dass Software und KI erstmalig explizit vom Geltungsbereich erfasst werden.
