EU-Recht: DSGVO, DORA, CRA und KI-VO

Die Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679, ist das EU-Gesetz über den Umgang mit Informationen über Menschen. Sie gilt unmittelbar in jedem Mitgliedstaat und erfasst jede Verarbeitung personenbezogener Daten, also von Informationen, die eine Person direkt oder indirekt erkennbar machen, durch Organisationen in der EU und durch Organisationen außerhalb, die Menschen in der EU Waren oder Dienste anbieten oder ihr Verhalten beobachten. Ihre Grundgedanken sind einfach: für jede Nutzung einen Rechtsgrund haben, nur das Nötige verwenden, Daten richtig und nicht länger als nötig halten, sie schützen, Betroffene offen informieren und all das nachweisen können. Menschen erhalten Rechte wie Auskunft, Berichtigung und Löschung. Für ein Sicherheitsteam zählt die DSGVO doppelt: Sicherheitsprotokolle sind selbst personenbezogene Daten, und ein Sicherheitsvorfall kann eine Datenschutzverletzung mit eigener Meldepflicht sein. Nationale Gesetze ergänzen Regeln, etwa zu Beschäftigtendaten; prüfen Sie Ihres.

Oft ja, und im Sicherheitskontext sollten Sie davon ausgehen. Personenbezogen sind alle Informationen über eine Person, die direkt oder indirekt identifiziert werden kann, und die DSGVO nennt Online-Kennungen ausdrücklich als Beispiel. Eine IP-Adresse trägt keinen Namen, lässt sich aber meist einem zuordnen: Im Unternehmen verweist die Adresse eines Laptops auf die Person, die ihn nutzt, und ein Internetanbieter kann eine öffentliche Adresse einem Anschlussinhaber zuordnen. Der Gerichtshof der EU hat entschieden, dass eine dynamische IP-Adresse für einen Websitebetreiber personenbezogen sein kann, wenn er rechtliche Mittel hat, die Person dahinter zu bestimmen. Behandeln Sie Netzwerkprotokolle, Gerätenamen und Verbindungsdaten in der Praxis als personenbezogene Daten: mit Rechtsgrundlage, begrenztem Zugriff, nur so lange wie nötig und erfasst im Verarbeitungsverzeichnis. NetSenX behandelt sie nach seinem Auftragsverarbeitungsvertrag als personenbezogene Daten und speichert sie in der EU.

Eine Verletzung der Sicherheit, die dazu führt, dass personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich werden, ob versehentlich oder absichtlich. Das ist mehr als ein Datenabfluss: Ransomware, die eine Kundendatenbank verschlüsselt, ist eine Verletzung, auch wenn nichts kopiert wurde, weil die Daten nicht mehr verfügbar sind; ebenso eine E-Mail an falsche Empfänger oder ein verlorener unverschlüsselter Laptop. Nicht jeder Sicherheitsvorfall ist eine Datenschutzverletzung, weil manche keine personenbezogenen Daten betreffen, und nicht jede Verletzung ist meldepflichtig. Nach Artikel 33 DSGVO meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen; dokumentiert werden muss jede Verletzung. Entscheiden Sie mit Ihrem Datenschutzbeauftragten. Ab dem Starter-Plan erstellt NetSenX aus den Vorfallsdaten einen Entwurf der Meldung nach Artikel 33 für Ihren Datenschutzbeauftragten; Risikobewertung und Einreichung bleiben bei Ihnen.

Der Verantwortliche entscheidet, wozu und wie personenbezogene Daten verarbeitet werden; der Auftragsverarbeiter verarbeitet sie in dessen Auftrag und nach dessen Weisung. Nutzt Ihr Unternehmen einen Sicherheitsdienst zur Überwachung seines Netzes, ist meist Ihr Unternehmen Verantwortlicher für die Netzwerkdaten und der Anbieter Auftragsverarbeiter. Beim Verantwortlichen liegen die Hauptpflichten: Rechtsgrundlage, Transparenz gegenüber den Betroffenen, Beantwortung ihrer Anfragen, Entscheidung über Meldungen von Datenschutzverletzungen. Der Auftragsverarbeiter muss Ihre dokumentierten Weisungen befolgen, Vertraulichkeit und Sicherheit wahren, Unterauftragsverarbeiter nur mit Ihrer Genehmigung einsetzen, Sie bei Verletzungen und Anfragen unterstützen und die Daten am Ende zurückgeben oder löschen. Ein Vertrag, meist Auftragsverarbeitungsvertrag genannt, regelt das. Die Rollen hängen von den Tatsachen ab, nicht von Bezeichnungen: Ein Anbieter, der Ihre Daten für eigene Zwecke nutzt, wird insoweit selbst Verantwortlicher. Bei NetSenX ist TriStiX S.L. Auftragsverarbeiter und Ihre Organisation Verantwortlicher, wie es der veröffentlichte Auftragsverarbeitungsvertrag festhält.

Sie verlangt dem Risiko angemessene Maßnahmen, keine feste Liste. Verantwortlicher und Auftragsverarbeiter müssen technische und organisatorische Maßnahmen treffen, die dem Stand der Technik, den Implementierungskosten, Art und Zweck der Verarbeitung sowie Wahrscheinlichkeit und Schwere des Schadens für Personen entsprechen. Die DSGVO nennt Beispiele: Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen, die Fähigkeit, Daten nach einem Vorfall wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Maßnahmen. Ein Unternehmen muss also selbst entscheiden, dokumentieren und überprüfen, was für seine Daten angemessen ist, und das begründen können. Dazu gehört, eine Verletzung überhaupt zu bemerken, denn was man nicht sieht, kann man weder melden noch eindämmen, und Verletzungen zeigen sich oft durch ungewöhnliche Aktivität im Netz. NetSenX kann eine dieser Maßnahmen sein: In jedem Plan erkennt es Beaconing, Scans, laterale Bewegung und ungewöhnlich hohe ausgehende Datenmengen. Ob Ihre Maßnahmen insgesamt angemessen sind, bleibt Ihre Bewertung.

Nach der DSGVO nur in bestimmten Fällen: bei Behörden und bei Organisationen, deren Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung von Personen oder in umfangreicher Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten besteht. Viele mittelgroße Unternehmen fallen nicht darunter, aber nationales Recht kann weitere Fälle vorsehen. In Deutschland verlangt § 38 BDSG einen Datenschutzbeauftragten, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, sowie in einigen weiteren Fällen. Prüfen Sie das Recht Ihres Landes. Auch ohne Pflicht muss jemand für Datenschutz zuständig sein, und eine benannte Ansprechperson hilft, wenn eine Meldefrist läuft. Benennen Sie einen Beauftragten, muss er frühzeitig in Datenschutzfragen eingebunden werden, unabhängig handeln und unmittelbar der höchsten Managementebene berichten. Ein Sicherheitswerkzeug ändert nichts daran, ob Sie einen brauchen, auch wenn Netzwerküberwachung ein Thema ist, das er prüfen sollte. Ab dem Starter-Plan erstellt NetSenX für die Person in dieser Rolle einen Entwurf der DSGVO-Meldung einer Datenschutzverletzung.

Meist ja, solange die Überwachung für die Sicherheit erforderlich und verhältnismäßig ist und Sie die Abwägung dokumentieren. Die DSGVO erlaubt eine Verarbeitung, die zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist, sofern nicht die Rechte der Betroffenen überwiegen, und ihre Erwägungsgründe nennen Netz- und Informationssicherheit als ein solches Interesse, soweit unbedingt notwendig und verhältnismäßig. Schreiben Sie also eine kurze Interessenabwägung auf: was Sie warum überwachen, warum mildere Mittel nicht genügen, welche Schutzmaßnahmen gelten und wie lange Sie die Daten aufbewahren. Metadaten auf Angriffszeichen zu prüfen wiegt anders, als Nachrichteninhalte zu lesen oder das Verhalten einzelner Personen zu beobachten. Informieren Sie die Beschäftigten in Ihren Datenschutzhinweisen und prüfen Sie das nationale Arbeitsrecht, das eine Beteiligung oder Vereinbarung mit der Arbeitnehmervertretung verlangen kann. NetSenX ist so gebaut, dass die Abwägung auf der sichereren Seite bleibt: Es zeichnet Metadaten auf, entschlüsselt Verkehr nie und meldet KI-Nutzung je Gerät und Programm statt je Person. Die rechtliche Bewertung bleibt bei Ihnen.

Bei den schwersten Verstößen bis zu 20 Millionen Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist, nach Artikel 83 Absatz 5 DSGVO. Diese obere Stufe erfasst Verstöße gegen die Grundsätze, die Rechtsgrundlage, die Rechte der Betroffenen und Drittlandübermittlungen. Eine niedrigere Stufe betrifft andere Pflichten wie die Sicherheit der Verarbeitung und die Meldung von Verletzungen, mit niedrigeren Höchstbeträgen im selben Artikel. Das sind Obergrenzen, keine Tarife: Die Behörde entscheidet im Einzelfall und berücksichtigt Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, frühere Verstöße und Zusammenarbeit. Bußgelder sind nur eine Folge; Behörden können auch die Verarbeitung untersagen, und Betroffene können Schadensersatz verlangen. Was das Risiko senkt, ist gewöhnliche, nachweisbare Sorgfalt: die eigenen Verarbeitungen kennen, dokumentierte Sicherheitsmaßnahmen, ein funktionierendes Verfahren bei Verletzungen und rechtzeitige Meldungen. NetSenX hilft bei einem Teil, dem frühen Erkennen einer Verletzung und ab dem Starter-Plan dem Entwurf der Meldung; das Bußgeldrisiko beseitigt es nicht.

Der Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554, ist das EU-Gesetz, das Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und andere Finanzunternehmen befähigen soll, Technikausfälle und Cyberangriffe zu überstehen und sich davon zu erholen. Es gilt unmittelbar in jedem Mitgliedstaat und ruht auf einigen Säulen: einem IKT-Risikomanagementrahmen in der Verantwortung des Leitungsorgans; der Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle an die zuständige Behörde; regelmäßigen Tests der digitalen operationalen Resilienz, für manche Unternehmen mit bedrohungsorientierten Penetrationstests; dem Management der Risiken durch IKT-Drittdienstleister, mit Vertragsanforderungen und einer Ausstiegsstrategie; und dem freiwilligen Austausch von Bedrohungsinformationen. Für Anbieter, die die Europäischen Aufsichtsbehörden als kritisch einstufen, sieht DORA eine direkte Aufsicht vor. Für ein Finanzunternehmen ist DORA das spezielle Regelwerk und geht den allgemeinen NIS2-Regeln vor, wo sie sich überschneiden. Liefern Sie IKT-Dienste an Finanzunternehmen, kommt DORA über Verträge und Fragebögen zu Ihnen. NetSenX ist kein DORA-Werkzeug als solches; seine Erkennung kann den Überwachungsteil eines IKT-Risikorahmens unterstützen.

Es legt die letzte Verantwortung für das IKT-Risikomanagement beim Leitungsorgan fest, das diese Verantwortung weder an die IT-Abteilung noch an einen Dienstleister abgeben kann. Nach DORA legt das Leitungsorgan den IKT-Risikomanagementrahmen fest, billigt und überwacht ihn und ist für seine Umsetzung verantwortlich. In der Praxis heißt das: die Strategie für digitale operationale Resilienz und die zugrunde liegenden Leitlinien genehmigen, das Budget festlegen und überprüfen, Vereinbarungen mit IKT-Drittdienstleistern und die Leitlinie zu ihrer Nutzung billigen, über schwerwiegende Vorfälle und ihre Folgen unterrichtet werden und das eigene Wissen durch Schulungen aktuell halten. Für Geschäftsleiter ist das eine Governance-Pflicht, die eine Aufsicht prüfen kann: Protokolle, genehmigte Dokumente und Belege, dass Berichte gelesen und umgesetzt wurden. Fragen Sie Ihre Compliance-Funktion, wie Ihre Organisation diese Entscheidungen dokumentiert, und ziehen Sie für Details die Hinweise der nationalen Aufsicht heran. NetSenX spielt in dieser Governance keine Rolle, aber seine Alarme und PDF-Compliance-Berichte, ab dem Starter-Plan, können eine Quelle der Informationen sein, die das Leitungsorgan erhält.

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, ist das EU-Gesetz über die Sicherheit von Produkten mit digitalen Elementen: Hard- und Software, die sich mit einem Gerät oder Netz verbindet, von Routern und Kameras bis zu Apps und Betriebssystemen, die in der EU verkauft werden. Er legt Herstellern Pflichten auf, Importeuren und Händlern leichtere. Produkte müssen mit Blick auf Sicherheit entwickelt werden, ohne bekannte ausnutzbare Schwachstellen und mit sicheren Voreinstellungen ausgeliefert werden und während eines vom Hersteller festgelegten Unterstützungszeitraums Sicherheitsupdates erhalten. Hersteller müssen Schwachstellen geordnet behandeln, die verwendeten Komponenten dokumentieren und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle melden, wie Artikel 14 es regelt. Manche Produktkategorien, etwa Sicherheitsprodukte und Netzwerkgeräte, unterliegen einer strengeren Konformitätsbewertung, und Produkte, die die Anforderungen erfüllen, tragen die CE-Kennzeichnung. Ab wann welcher Teil gilt, legen die Schlussbestimmungen fest. Wenn Sie Produkte nur kaufen und nutzen, hilft Ihnen der CRA vor allem: Erwarten Sie von Lieferanten klarere Unterstützungszeiträume und Update-Zusagen.

Ja, wenn sie Software als Produkt auf dem EU-Markt bereitstellen: installierbare Anwendungen, Firmware, Betriebssysteme, kommerziell vertriebene Bibliotheken und mobile Apps sind Produkte mit digitalen Elementen, und das Unternehmen, das sie unter seinem Namen anbietet, ist Hersteller. Zu den Pflichten gehören eine Risikobewertung, Sicherheit durch Technikgestaltung und Voreinstellungen, die Behandlung und Behebung von Schwachstellen während des Unterstützungszeitraums, die Dokumentation der Komponenten, Sicherheitsinformationen und Anleitungen für Nutzer sowie die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle nach Artikel 14. Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, fällt weitgehend nicht unter die Verordnung, und Organisationen, die Open-Source-Projekte für die kommerzielle Nutzung unterstützen, sogenannte Open-Source-Software-Verwalter, haben leichtere Pflichten. Software, die Sie nur für den eigenen internen Gebrauch entwickeln, wird nicht in Verkehr gebracht. Verkaufen Sie Software, listen Sie zuerst Ihre Produkte, deren Unterstützungszeiträume und Ihren Prozess für Schwachstellen auf und lesen Sie die Details in der Verordnung selbst. Ob Ihre Software die Anforderungen erfüllt, beurteilt NetSenX nicht.

Für einen reinen Onlinedienst in der Regel nicht, er kann aber den Cloud-Teil eines Produkts erfassen. Der CRA gilt für Produkte mit digitalen Elementen, die in Verkehr gebracht werden. Software, die nur als Dienst über das Internet bereitgestellt wird, ohne ein Produkt, das der Kunde installiert, liegt grundsätzlich außerhalb; die Sicherheit solcher Dienste ist vor allem Sache von NIS2, wenn der Anbieter erfasst ist. Der CRA erfasst aber auch eine Datenfernverarbeitung, die ein Hersteller als Teil eines Produkts konzipiert, wenn das Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte: Das Cloud-Backend einer smarten Kamera oder eines Netzwerksensors, der mit einem Agenten ausgeliefert wird, sind typische Beispiele. Ein Unternehmen, das eine installierbare Komponente und einen Clouddienst verkauft, kann also für die Kombination CRA-Pflichten haben. Halten Sie fest, welche Teile Ihres Angebots Kunden installieren und welche nur bei Ihnen laufen, und lesen Sie die Begriffsbestimmungen der Verordnung sorgfältig. NetSenX, das Agenten zusammen mit einem Clouddienst ausliefert, stellt sich dieselbe Frage.

Eine Software-Stückliste (SBOM, Software Bill of Materials) ist eine maschinenlesbare Liste der Bestandteile einer Software, etwa Bibliotheken und ihrer Versionen, ähnlich einer Zutatenliste. Mit ihr können ein Hersteller und alle, denen er sie gibt, schnell prüfen, ob eine neu veröffentlichte Schwachstelle ein Produkt betrifft. Der CRA verlangt von Herstellern, die Komponenten ihrer Produkte zu ermitteln und zu dokumentieren, unter anderem durch eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt. Sie ist Teil der technischen Dokumentation; eine Veröffentlichung verlangt die Verordnung nicht, Behörden können sie aber anfordern. Wenn Sie Software kaufen, fragen Sie Lieferanten, ob sie eine SBOM führen und wie sie damit Schwachstellen verfolgen, statt auf die Datei selbst zu bestehen. Verbreitete Formate sind CycloneDX und SPDX. NetSenX erstellt keine SBOMs für Ihre Produkte, und ein Netzwerksensor sieht nicht, welche Bibliotheken in einer Anwendung stecken.

Die KI-Verordnung, Verordnung (EU) 2024/1689, ist das EU-Gesetz, das KI-Systeme nach ihrem Risiko regelt. Einige Praktiken sind ganz verboten, etwa Social Scoring und bestimmte Formen der Emotionserkennung am Arbeitsplatz. Hochrisiko-Systeme, nach Bereichen aufgelistet, etwa KI in der Personalauswahl, im Beschäftigtenmanagement, bei Kreditentscheidungen oder als Sicherheitsbauteil kritischer Infrastruktur, müssen vor und nach dem Inverkehrbringen Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Genauigkeit und Sicherheit erfüllen. Manche Systeme unterliegen Transparenzpflichten, etwa dem Hinweis, dass man mit einem Chatbot spricht. Für die meisten übrigen KI-Anwendungen wie Spamfilter gelten keine besonderen Pflichten. Eigene Regeln betreffen KI-Modelle mit allgemeinem Verwendungszweck. Pflichten treffen Anbieter, die Systeme entwickeln und in Verkehr bringen, und Betreiber, die sie beruflich nutzen. Seit dem 2. Februar 2025 verlangt Artikel 4 von beiden Maßnahmen zur KI-Kompetenz ihres Personals, und seit der Änderung im Juli 2026 heißt das, diese Kompetenz zu fördern, statt bei jeder Person ein bestimmtes Niveau zu garantieren; weitere Teile gelten gestaffelt. Klären Sie mit Ihrem Lieferanten, in welche Klasse sein System fällt.

Meist nicht, aber es kommt darauf an, was das Werkzeug entscheidet und über wen. Die Hochrisiko-Kategorien richten sich nach dem Einsatz, nicht nach der Technik: KI unter anderem zur Einstellung, Beförderung, Überwachung oder Bewertung von Beschäftigten, zur Prüfung der Kreditwürdigkeit oder als Sicherheitsbauteil beim Betrieb kritischer Infrastruktur. Ein Werkzeug, das Schadsoftware-Verkehr zwischen Geräten erkennt, ist für sich genommen keiner dieser Einsätze. Näher rückt es, wenn seine Ergebnisse genutzt werden, um Verhalten oder Leistung einzelner Beschäftigter zu bewerten, oder wenn es als Sicherheitsbauteil etwa eines Energienetzes dient. Stellen Sie jedem Sicherheitswerkzeug daher zwei Fragen: Bewertet es Menschen oder Maschinen, und was geschieht automatisch aufgrund seiner Ergebnisse? Bitten Sie den Anbieter um seine eigene Einstufung und deren Begründung. NetSenX ist darauf ausgelegt, Geräte und Verbindungen zu beobachten statt Menschen zu bewerten, und meldet KI-Nutzung je Gerät und Programm, nicht je Person. Seine Seite zur KI-Transparenz beschreibt, wo es KI nutzt und was in Ihrer Hand bleibt; Alarme zur Beurteilung von Beschäftigten zu nutzen, wäre Ihre Entscheidung und bräuchte eine eigene Bewertung.

Einige, und sie gelten unabhängig von der Risikoklasse. Menschen müssen erfahren, dass sie mit einem KI-System interagieren, etwa einem Kundenservice-Chatbot, sofern das nicht offensichtlich ist. Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar kennzeichnen, damit sie als künstlich erzeugt erkennbar sind. Betreiber, die Deepfakes veröffentlichen, müssen offenlegen, dass der Inhalt künstlich ist, und wer KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlicht, muss das ebenfalls offenlegen, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen Personen informieren. Praktisch heißt das für ein Unternehmen: eine Übersicht, wo KI mit Kunden spricht oder veröffentlichte Inhalte erzeugt, ein klarer Hinweis an diesen Stellen und eine Prüfung, ob Lieferanten ihre Ausgaben kennzeichnen. Diese Pflichten gelten ab dem in den Schlussbestimmungen der Verordnung festgelegten Datum. NetSenX veröffentlicht eine eigene Seite zur KI-Transparenz für die KI-Funktionen seines Dienstes.

Dass Datenschutz in die Einrichtung eines Systems und seine Voreinstellungen eingebaut werden muss, statt nach einer Beschwerde nachgerüstet zu werden. Durch Technikgestaltung heißt: Wenn Sie ein Werkzeug auswählen und konfigurieren, treffen Sie dem Risiko angemessene Maßnahmen wie Pseudonymisierung, Datenminimierung und Zugriffskontrolle. Durch Voreinstellungen heißt: Ab Werk werden nur die für den jeweiligen Zweck nötigen personenbezogenen Daten verarbeitet, nicht länger als nötig gespeichert und nicht einer unbestimmten Zahl von Personen zugänglich gemacht. Bei einem Sicherheitswerkzeug lauten die praktischen Fragen: Erfasst es Inhalte oder nur Metadaten, können Sie einschränken, wer was sieht, wie lange werden Aufzeichnungen gespeichert, und sehen Personen außerhalb des Sicherheitsteams die Gerätenamen von Beschäftigten? Die Pflicht liegt beim Verantwortlichen; dokumentieren Sie Ihre Entscheidungen bei der Einführung. Die Voreinstellungen von NetSenX weisen in dieselbe Richtung: Es zeichnet Metadaten statt Inhalten auf, entschlüsselt Verkehr nie, bewahrt Alarme für die Alarmhistorie des Plans auf und meldet KI-Nutzung je Gerät und Programm statt je Person; Teamrollen gibt es ab dem Starter-Plan.

Verantwortliche und Auftragsverarbeiter müssen ein schriftliches Verzeichnis ihrer Verarbeitungstätigkeiten führen, das auch elektronisch sein kann, und es der Aufsichtsbehörde auf Anfrage zur Verfügung stellen. Beim Verantwortlichen beschreibt jeder Eintrag die Zwecke, die Kategorien betroffener Personen und personenbezogener Daten, die Empfänger, etwaige Übermittlungen außerhalb der EU mit ihren Garantien, wenn möglich die vorgesehenen Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Auftragsverarbeiter führen ein kürzeres Verzeichnis der Verarbeitungen, die sie für jeden Verantwortlichen durchführen. Kleinere Organisationen unterhalb einer in der DSGVO festgelegten Beschäftigtenzahl sind in manchen Fällen befreit, aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, was für fast jede laufende Netzwerküberwachung gilt, oder wenn sie voraussichtlich ein Risiko birgt oder besondere Datenkategorien betrifft. Führen Sie die Sicherheitsüberwachung daher als eigene Verarbeitungstätigkeit: Zweck, erhobene Daten, wer sie sieht, der Anbieter als Auftragsverarbeiter, wo die Daten liegen und wie lange. Der Auftragsverarbeitungsvertrag von NetSenX und seine Liste der Unterauftragsverarbeiter liefern die Angaben zum Anbieter für diesen Eintrag; das Verzeichnis selbst führen Sie.

Jedes Gesetz betrachtet einen anderen Gegenstand, daher kann ein Unternehmen mehreren zugleich unterliegen. NIS2 betrifft die Cybersicherheit von Einrichtungen in bestimmten Sektoren: Risikomanagementmaßnahmen, Verantwortung der Leitung und die Meldung erheblicher Sicherheitsvorfälle nach Artikel 23. Die DSGVO betrifft personenbezogene Daten, wo immer sie verarbeitet werden, einschließlich der Pflicht, Datenschutzverletzungen nach Artikel 33 zu melden. DORA ist das spezielle Regelwerk für Finanzunternehmen und geht NIS2 vor, wo sie sich überschneiden. Der CRA betrifft Produkte mit digitalen Elementen und verpflichtet die Unternehmen, die sie herstellen und verkaufen. Die KI-Verordnung betrifft KI-Systeme und verpflichtet Anbieter und Betreiber je nach Risiko. Ein Ransomware-Angriff auf einen Krankenhauslieferanten kann daher am selben Tag eine NIS2-Meldung und eine DSGVO-Meldung auslösen, und eine Produktschwachstelle dahinter kann zur CRA-Meldung des Herstellers werden. Klären Sie, welche Gesetze für Sie gelten, wer jeweils zuständig ist und wie ein Vorfallsprotokoll mehrere Meldungen speisen kann. NetSenX verfolgt NIS2-Fristen je Vorfall und erstellt ab dem Starter-Plan einen DSGVO-Entwurf; es reicht nichts ein.