WORUM GEHT ES?

Die EU-Richtlinie zur Netz- und Informationssicherheit verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu strukturierten technischen Schutzmaßnahmen, einem nachweisbaren Risikomanagement und zur Meldung von Sicherheitsvorfällen. Die Geschäftsführung haftet persönlich für die Umsetzung.

‍

WEN BETRIFFT ES?

Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz in Sektoren wie Energie, Gesundheit, Verkehr, IT und digitale Dienste – ca. 30.000 Unternehmen in Deutschland.

‍

WAS WIRD KONKRET GEFORDERT?

• Technisches Risikomanagement und Schutzbedarfsfeststellung
• Incident-Erkennung, Logging, Netzwerksegmentierung, Patch-Management
• Meldung von Sicherheitsvorfällen beim BSI innerhalb von 24 Stunden
• Registrierung im BSI-Portal und Benennung einer Kontaktstelle
• Persönliche Verantwortung und Schulungspflicht der Geschäftsführung

WORUM GEHT ES?

Der AI Act ist die erste verbindliche KI-Regulierung weltweit. Er teilt KI-Systeme in Risikoklassen ein – von verbotenen Systemen bis hin zu Hochrisiko-Anwendungen mit strengen Dokumentations- und Transparenzpflichten. Betroffen sind alle Unternehmen, die KI-Systeme entwickeln, einsetzen oder in Verkehr bringen.

‍

WEN BETRIFFT ES?

Jedes Unternehmen, das KI einsetzt – besonders relevant bei Hochrisiko-Anwendungen in HR, Gesundheit, kritischer Infrastruktur oder automatisierten Entscheidungssystemen.

‍

WAS WIRD KONKRET GEFORDERT?

• Risikoklassifizierung aller eingesetzten KI-Systeme im Unternehmen
• Technische Dokumentation und Konformitätsbewertung für Hochrisiko-KI
• Transparenzpflichten und Kennzeichnung gegenüber betroffenen Personen
• Menschliche Aufsicht und Eingriffsmöglichkeiten bei Hochrisiko-Systemen
• Registrierung in der EU-Datenbank für Hochrisiko-KI-Systeme

WORUM GEHT ES?

Digitale Tools und SaaS Cloud Lösungen wie z.B. Microsoft 365, Oracle Fusion, SAP S/4HANA, SAP SuccessFactors oder SAP Analytics Cloud berühren das Mitbestimmungsrecht des Betriebsrats – insbesondere wenn sie zur Überwachung von Verhalten oder Leistung genutzt werden können. Das Betriebsverfassungsgesetz (BetrVG) und das Bundespersonalvertretungsgesetz (BVG) verpflichten Arbeitgeber, Betriebs- und Personalräte frühzeitig einzubeziehen.

‍

WEN BETRIFFT ES?

Alle Unternehmen mit Betriebsrat oder Personalrat, die digitale Systeme einführen oder weiterentwickeln – unabhängig von Branche oder Größe.

‍

WAS WIRD KONKRET GEFORDERT?

• Mitbestimmung bei Einführung von M365, Teams, SAP & Co. nach § 87 Abs. 1 Nr. 6 BetrVG
• Abschluss von Betriebsvereinbarungen zu Nutzung, Zugriffsrechten und Auswertungen
• Technisch-organisatorische Maßnahmen zur Begrenzung von Überwachungsmöglichkeiten
• Schulung von Betriebs- und Personalräten zu digitalen Systemen und ihren Risiken
• Dokumentation aller mitbestimmungspflichtigen Systemfunktionen

WORUM GEHT ES?

Informationssicherheit schützt Daten, Systeme und Prozesse vor Verlust, Missbrauch und unbefugtem Zugriff. Sie ist die organisatorische und technische Grundlage für alle weiteren Compliance-Themen – und Voraussetzung für Zertifizierungen, regulatorische Anforderungen und das Vertrauen von Kunden und Partnern.

‍

WEN BETRIFFT ES?

Jedes Unternehmen, das digitale Systeme betreibt, personenbezogene Daten verarbeitet oder Teil einer regulierten Lieferkette ist.

‍

WAS WIRD KONKRET GEFORDERT?

• Aufbau und Betrieb eines Informationssicherheits-Management-Systems (ISMS)
• Systematische Risikoanalyse und Schutzbedarfsfeststellung
• Technische Maßnahmen: Zugangskontrollen, Verschlüsselung, Patch-Management, Logging
• Incident-Response-Prozesse und Notfallplanung
• Security-Awareness-Schulungen für alle Mitarbeitenden

WORUM GEHT ES?

Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) regeln den Umgang mit personenbezogenen Daten. Sie verpflichten Unternehmen zu technischen und organisatorischen Schutzmaßnahmen, transparenter Datenverarbeitung und zur Benennung eines Datenschutzbeauftragten – wo gesetzlich erforderlich.

‍

WEN BETRIFFT ES?

Jedes Unternehmen, das personenbezogene Daten von EU-Bürgerinnen und -Bürgern verarbeitet – unabhängig von Größe, Branche oder Standort.

‍

WAS WIRD KONKRET GEFORDERT?

• Verzeichnis von Verarbeitungstätigkeiten (VVT) auf Basis tatsächlicher Systemlandschaft
• Datenschutz-Folgenabschätzung (DSFA) für risikoreiche Verarbeitungen
• Technische Maßnahmen: Privacy by Design, Löschkonzepte, Zugriffskontrolle, Update-Management
• Externer Datenschutzbeauftragter (DSB) mit technischem Sachverstand
• Datenschutzkonforme Einbindung von Tracking, Consent und KI-Tools

WORUM GEHT ES?

ISO 27001 ist der weltweit führende Standard für Informationssicherheits-Management-Systeme. Der BSI IT-Grundschutz ist das deutsche Pendant – besonders relevant für Behörden und KRITIS-Betreiber. Beide Rahmenwerke definieren, wie Informationssicherheit systematisch aufgebaut, betrieben und verbessert wird.

‍

WEN BETRIFFT ES?

Unternehmen, die Informationssicherheit zertifiziert nachweisen müssen oder wollen – häufig gefordert von Kunden, Partnern, Versicherern oder im Rahmen öffentlicher Ausschreibungen.

‍

WAS WIRD KONKRET GEFORDERT?

• Aufbau eines vollständigen ISMS nach ISO 27001 inkl. Annex-A-Controls
• Risikoanalyse und -behandlung nach ISO 27005
• Strukturanalyse und Schutzbedarfsfeststellung nach BSI-Standard 200-2
• Interne Audits, Management-Reviews und kontinuierlicher Verbesserungsprozess
• Vorbereitung auf Zertifizierungsaudit durch akkreditierte Prüfstelle

WORUM GEHT ES?

Das Telekommunikationsgesetz (TKG) und das Telekommunikations-Digitale-Dienste-Datenschutzgesetz (TDDDG) regeln den Datenschutz bei elektronischer Kommunikation. Besonders relevant für Unternehmen, die Teams Telefonie, Unified Communications oder andere VoIP-Lösungen betreiben – dort berühren Mitbestimmung, Fernmeldegeheimnis und Datenschutz einander direkt.

‍

WEN BETRIFFT ES?

Unternehmen, die eigene Telekommunikationsinfrastruktur betreiben oder ihren Mitarbeitenden geschäftliche Kommunikation über digitale Plattformen ermöglichen – insbesondere bei Microsoft Teams Telefonie, Cloud-Telefonanlagen oder DECT-Systemen.

‍

WAS WIRD KONKRET GEFORDERT?

• Einhaltung des Fernmeldegeheimnisses bei dienstlicher Nutzung von Teams & Co.
• Datenschutzkonforme Konfiguration von Anrufaufzeichnung, Auswertung und Protokollierung
• Betriebsvereinbarungen zur Nutzung von Teams Telefonie und Kommunikationsauswertung
• TTDSG-konforme Cookie- und Tracking-Einwilligungen auf Unternehmenswebsites
• Technische und organisatorische Maßnahmen zum Schutz der Kommunikationsdaten

WORUM GEHT ES?

Der VdS 10000 ist ein pragmatisches deutsches Cyber-Sicherheitsrahmenwerk speziell für kleine und mittlere Unternehmen. Er bietet einen schlanken, realistisch umsetzbaren Einstieg in strukturierte Informationssicherheit – weniger aufwändig als ISO 27001, aber solide als Grundlage und zunehmend von Cyberversicherungen gefordert.

‍

WEN BETRIFFT ES?

KMU ohne eigene IT-Sicherheitsabteilung, die Informationssicherheit strukturiert aufbauen und gegenüber Versicherern, Kunden oder Partnern nachweisbar machen möchten.

‍

WAS WIRD KONKRET GEFORDERT?

• Basisschutzmaßnahmen für IT-Systeme, Netzwerke und Endgeräte
• Notfallplanung, Backup-Konzept und Wiederherstellungsprozesse
• Regelungen für Zugriffsrechte, Passwörter und mobile Geräte
• Sensibilisierung und Schulung der Mitarbeitenden
• Optional: Zertifizierung durch VdS-akkreditierte Prüfstelle