Eine einzige Anlaufstelle für Verletzungsmeldungen: was EDSA und EDSB zum Cybersicherheitspaket verlangt haben

Die einzige Anlaufstelle, der Teil, der Sie jedes Mal betrifft

Im Einklang mit ihrer gemeinsamen Stellungnahme zum Digital Omnibus unterstützen Ausschuss und Datenschutzbeauftragter die Einrichtung einer einzigen Anlaufstelle für die Meldung von Verletzungen des Schutzes personenbezogener Daten, da dies den Verwaltungsaufwand für meldende Organisationen verringern würde, ohne das Schutzniveau für die Betroffenen zu beeinträchtigen.

Wer je einen Vorfall gemanagt hat, weiß, warum das zählt. Heute kann dasselbe Ereignis die Meldung an die Datenschutzbehörde binnen zweiundsiebzig Stunden auslösen, die an die Cybersicherheitsbehörde nach einer anderen Uhr, und in regulierten Einrichtungen noch weitere Meldungen: andere Formate, andere Portale, Felder, die dasselbe mit anderen Worten fragen — alles in den Stunden, in denen man den Schaden begrenzen müsste.

Die Grenzen für ENISA

Die Stellungnahme unterstützt die Stärkung der Rolle der Agentur der Europäischen Union für Cybersicherheit und die Verbreitung der Zertifizierung und begrüßt, dass die Beratung durch ENISA auf vorherige Anfrage des Ausschusses erfolgen soll, sodass die Zuständigkeiten klar getrennt bleiben. Sie schlägt vor, auch den Datenschutzbeauftragten als möglichen Anfragenden aufzunehmen.

• Beschließt der Verwaltungsrat von ENISA Maßnahmen zur Anwendung der EU-Datenschutzverordnung, sollten sich diese auf sehr technische Details beschränken, mit vorheriger Konsultation des Datenschutzbeauftragten
• Der Anwendungsbereich des europäischen Rahmens für Cybersicherheitszertifizierung und sein Verhältnis zur DSGVO-Zertifizierung sind zu klären
• Vor Annahme eines Zertifizierungsschemas zur Sicherheit der Verarbeitung sollte ENISA den Ausschuss konsultieren
• Schemata für Produkte und Dienste, die voraussichtlich in Verarbeitungsvorgängen eingesetzt werden, sollten Sicherheitskontrollen berücksichtigen, die den Nachweis der DSGVO-Konformität stützen

Der Satz, den man behalten sollte

"Während Cybersicherheit den Schutz personenbezogener Daten unterstützt, indem sie die Risiken unerwünschten Zugriffs, unerwünschter Änderung oder Nichtverfügbarkeit begrenzt, ist entscheidend sicherzustellen, dass Sicherheitskontrollen so umgesetzt werden, dass sie die Grundrechte und Grundfreiheiten der Personen nicht untergraben."

Das ist das Argument gegen einen Anbieter, der eine Sicherheitsmaßnahme vorschlägt, die weit mehr erfasst als nötig: vollständige Tastenprotokollierung, Kameras über den Arbeitsplätzen, Inhaltsprüfung der Kommunikation. Sicherheit ist keine Rechtsgrundlage, die alles andere aufsaugt.

Zu den NIS2-Änderungen

Ausschuss und Datenschutzbeauftragter begrüßen die Einstufung der Anbieter europäischer Brieftaschen für die digitale Identität und europäischer Unternehmensbrieftaschen als „wesentliche Einrichtungen". Das hat praktische Folgen: Wer diese Brieftaschen betreibt, fällt in das strengere Regime der Richtlinie.

Zu den Kompetenzen empfiehlt die Stellungnahme, den europäischen Kompetenzrahmen für Cybersicherheit nicht auf Fachleute zu beschränken, sondern auch ein Profil für die allgemeine Belegschaft aufzunehmen. Übersetzt: Sicherheit ist nicht der Beruf weniger im Unternehmen.