Regelungsschwerpunkte

Die FFoD-VO soll die Datenübertragung von nicht personenbezogenen Daten über nationale Grenzen hinweg innerhalb der Europäischen Union erleichtern. Die Übertragung von Daten wurde zuvor durch das Recht der Mitgliedstaaten geregelt, wodurch mitunter ein Weitergabe von Daten in andere Mitgliedstaaten verhindert wurde. Die Verordnung ist anwendbar auf alle elektronischen Daten, die keine personenbezogenen Daten sind und regelt

• Datenlokalisierungsauflagen (also hoheitliche Bestimmungen zur Verarbeitung von Daten in einem bestimmten Hoheitsgebiet),
• die Verfügbarkeit von Daten für zuständige Behörden und
• die Übertragung von Daten für (berufliche) Nutzer von Datenverarbeitungsdiensten (z.B. Cloud-Diensten).

Adressaten

• Nutzer von Datenverarbeitungsdiensten
• Behörden

Verhältnis zum Datenschutzrecht

Die Free-Flow-of-Data-Verordnung und die DSGVO schließen sich gegenseitig aus, da erstere für elektronische, nicht personenbezogene Daten und letztere für jedwede personenbezogene Daten gilt.

Auswirkungen für Unternehmen / öffentliche Stellen

Die direkten Auswirkungen auf Unternehmen und öffentliche Stellen sind eher gering. Die Verordnung dient der Stärkung eines einheitlichen europäischen Datenraums und enthält zu diesem Zweck allgemeine Vorgaben für die Europäische Kommission und die Mitgliedstaaten. Letztere sollen beispielsweise bestehende Datenlokalisierungsauflagen abbauen. Auf Grundlage der FFoD-VO wird die Kommission außerdem Verhaltensregeln für Anbieter von Cloud-Diensten Verhaltensregeln schaffen , um den Wechsel zwischen (europäischen) Cloud-Anbietern zu erleichtern.

Regelungsschwerpunkte

Die Public-Sector-Information Richtlinie soll die Nutzung von öffentlich finanzierten Daten für kommerzielle und nicht kommerzielle Zwecke in der Europäischen Union ermöglichen. Öffentliche Stellen und öffentliche Unternehmen sollen Antragstellern Dokumente im öffentlichen Besitz „in allen vorhandenen Formaten oder Sprachen und, soweit möglich und sinnvoll, auf elektronischem Wege in offenen, maschinenlesbaren, zugänglichen, auffindbaren und weiterverwendbaren Formaten zusammen mit den zugehörigen Metadaten zur Verfügung“ stellen.

Adressaten

• Öffentliche Stellen
• Öffentliches Unternehmen (Unternehmen im mehrheitlichen oder vollen Eigentum des Staates)

Verhältnis zum Datenschutzrecht

Bei Entscheidungen über den Umfang und die Bedingungen der Weiterverwendung von Dokumenten des öffentlichen Sektors, die personenbezogene Daten enthalten, z. B. im Gesundheitssektor, müssen möglicherweise Datenschutz-Folgeabschätzungen gem. Art. 35 DSGVO vorgenommen werden. Es wird auch auf die Anonymisierung von personenbezogenen Daten verwiesen. Die DSGVO gilt unabhängig von der PSI-Richtlinie, da letztere sich nicht auf die Verarbeitung personenbezogener Daten auswirkt.

Auswirkungen für Unternehmen / öffentliche Stellen

Die Umsetzung der PSI-RL stellt für öffentliche Stellen eine große Herausforderung dar. Das gilt insbesondere da eine breite Veröffentlichung von Daten unter Umständen auch in Konflikt mit der DSGVO, Gesetzen zum Schutz des geistigen Eigentums und dem Geschäftsgeheimnisschutz stehen kann. Zusammen mit dem Digital Governance Act entstehen hier aber auch Chancen für Privatunternehmen, die Daten öffentlicher Stellen leichter nutzen und auffinden zu können. Es werden vor allem Wettbewerbsnachteile gegenüber außereuropäischen Unternehmen ausgeglichen, denen Behörden im Einzelfall bereits Zugriff auf öffentliche Daten gewährt hatten.

Regelungsschwerpunkte

Die DI-RL schafft einen harmonisierten Regelungsrahmen für den Vertrieb digitaler Inhalte und Dienstleistungen und ist Teil der europäischen Strategie für die Schaffung eines digitalen Binnenmarkts.  Gegenstand der Richtlinie sind Verträge über die Bereitstellung digitaler Inhalte oder Dienstleistungen bei Verbraucherverträgen. Erfasst davon sind beispielsweise der Kauf von Software oder die Inanspruchnahme von Streamingdiensten. Die DI-RL enthält Regelungen zur vertraglichen Leistungspflicht sowie zu den Rechtsfolgen bei Pflichtverletzungen.

Adressaten

• Unternehmer, die digitale Produkte anbieten
• Verbraucher erhalten umfassende Schutzrechte

Verhältnis zum Datenschutzrecht

Als Novum ermöglicht die DIRL (ErwG 24, Art. 3 Abs. 1 DIRL) als Gegenleistung für das digitale Produkt nunmehr statt der Zahlung von Geld auch die Zurverfügungstellung von personenbezogenen Daten, um diesem bereits in der Praxis etablierten Modell nun auch rechtlich Rechnung zu tragen. Damit tritt die DIRL aber in Spannung mit dem Grundgedanken der DSGVO, wonach der Schutz personenbezogener Daten im Vordergrund steht und hierfür dem Betroffenen Abwehrrechte bereitgestellt werden. Bei einem Widerspruch zwischen Bestimmungen der DIRL und der DSGVO ist letztere vorrangig (Art. 3 Abs. 8 DIRL). Die DSK hat sich im Rahmen eines Beschlusses mit den Auswirkungen der neuen Verbrauchervorschriften im BGB auf das Datenschutzrecht befasst und weist insbesondere darauf hin, dass auch bei einer Zurverfügungstellung von personenbezogenen Daten im Rahmen einer Vertragsleistung weiterhin die datenschutzrechtlichen Grundsätze anwendbar sind. So ist weiterhin eine Rechtsgrundlage für die Datenverarbeitung erforderlich und der Einsatz von Cookies richtet sich nach wie vor nach den Anforderungen von § 25 TTDSG.

Auswirkungen für Unternehmen / öffentliche Stellen

Durch die Umsetzung der Richtlinie in deutsches Recht und die entsprechenden Ergänzungen im BGB wurden in den §§ 327 ff. BGB weitere verbraucherschützende Vorschriften zu Verträgen über digitale Inhalte und Dienstleistungen eingeführt. Unternehmen müssen daher insbesondere zusätzliche Vorgaben zur Vertragsgestaltung und zum Gewährleistungsrecht beachten.

Regelungsschwerpunkte

Mit der Warenkaufrichtlinie bezweckt der Europäische Gesetzgeber ein höheres Verbraucherschutzniveau. Die WK-RL löst die Verbrauchsgüterkaufrichtlinie ab und beinhaltet im Vergleich strengere Harmonisierungsvorschriften, um eine Fragmentierung der Vorgaben zwischen den einzelnen Mitgliedstaaten zu verhindern. Die WK-RL gilt zudem als Ergänzung zu der am gleichen Tag erlassenen DI-RL. Die WK-RL erfasst einerseits Kaufverträge über Waren und andererseits Kaufverträge über Waren mit digitalen Elementen, womit körperliche Gegenstände gemeint sind, die digitale Inhalte enthalten oder mit diesen verbunden sind, sodass die Waren ihre Funktion ohne diese digitalen Inhalte nicht erfüllen können. Hierzu zählt beispielsweise der Kauf eines Computers oder Smartphones inklusive Software.

Adressaten

• Unternehmer, die digitale Produkte anbieten
• Verbraucher erhalten umfassende Schutzrechte

Verhältnis zum Datenschutzrecht

Die WK-RL enthält keinen ausdrücklichen Regelungen zum Datenschutz.

Auswirkungen für Unternehmen / öffentliche Stellen

Durch die WK-RL wurden die § 434 BGB und §§ 474 ff. BGB geändert. Die kaufrechtlichen Regelungen wurden teilweise zugunsten von Verbrauchern verschärft, sodass Unternehmer u.a. verschärfte Formvorschriften bei negativen Beschaffenheitsvereinbarungen treffen und die Beweislastumkehr bei einem Mangel von 6 Monate auf 1 Jahr verlängert wird. Bei Sachen mit digitalen Elementen wird Unternehmern u.a. eine Aktualisierungspflicht auferlegt, wonach sie dem Verbraucher Updates bereitstellen müssen.

Regelungsschwerpunkte

Mit der NIS-2-RLsoll den wachsenden Bedrohungen durch Cyberangriffe Rechnung getragen werden. Sie ersetzt die NIS-1-RL und weist gegenüber dieser einen breiteren Anwendungsbereich und höhere Harmonisierungsvorgaben auf, um ein einheitliches Niveau der Cyberresilienz im europäischen Binnenmarkt sicherzustellen. Die NIS-2-RL verpflichtet die Mitgliedstaaten zum Erlass einer nationalen Cybersicherheitsstrategie und Schaffung eines europaweiten Netzwerkes zum Management von Cybersicherheitsvorfällen. Weiterhin legt sie öffentlichen und privaten Einrichtungen Vorgaben und Pflichten zum Austausch von Cybersicherheitsinformationen auf und fordert die Implementierung eines Cybersicherheitsrisikomanagements.

Adressaten

• Mitgliedsstaaten
• Öffentliche und private Einrichtungen (z.B. Anbieter von Kommunikationsnetzen und -diensten, Domainregistrierungsdienste, Unternehmen aus dem Energiesektor, Anbieter digitaler Dienste)

Verhältnis zum Datenschutzrecht

Die NIS-2-RL lässt die DSGVO unberührt. Sie verweist an mehreren Stellen auf die Regelungen der DSGVO zum Schutz personenbezogener Daten. Beispielsweise sollen beim Einsatz innovativer Technologien und KI die Datenschutzgrundsätze sowie die Grundsätze von Privacy by Design und Default gewahrt werden. In ErwG 121 werden zudem verschiedene Rechtsgrundlagen des Art. 6 DSGVO für die Verarbeitung von personenbezogenen Daten zu Sicherheitszwecken genannt.

Auswirkungen für Unternehmen / öffentliche Stellen

Für die Anwendbarkeit der Richtlinie ist zunächst noch eine Umsetzung ins nationale Recht erforderlich.

Den in der Richtlinie adressierten Einrichtungen werden Berichtspflichten sowie Vorgaben für ein Cybersicherheitsrisikomanagement auferlegt. Dazu müssen Einrichtungen technische, operative und organisatorische Maßnahmen ergreifen, um Risiken für die Sicherheit für Netz- und Informationssysteme zu minimieren. Dazu gehören unter anderem Sicherheitskonzepte, Schulungen und Einhaltung von Meldepflichten bei Sicherheitsvorfällen.

Regelungsschwerpunkte

Der DMA soll den Betreibern zentraler digitaler Plattformen (den sogenannten Gatekeepern) zusätzliche wettbewerbs- und kartellrechtliche Verpflichtungen auferlegen. Die Pflichten der Gatekeeper orientieren sich dabei stark an laufenden oder bereits abgeschlossenen Verfahren der Europäischen Kartellbehörden.

Einen detaillierten Überblick zum DMA finden Sie hier auf unserer Website.

Adressaten

• Betreiber von systemrelevanten Plattformen (Gatekeeper)
• Gewerbliche Nutzer und Wettbewerber der Gatekeeper

Verhältnis zum Datenschutzrecht

Der DMA ändert nichts an den Vorgaben der DSGVO. Aufgrund des DMA werden Gatekeeper aber dazu verpflichtet ein Verbraucher-Profiling gegenüber den Datenschutzaufsichtsbehörden offenzulegen. Zudem werden Gatekeeper u.a. dazu verpflichtet, gewerblichen Nutzern bestimmte Daten zur Nutzung einer Plattform zur Verfügung zu stellen, was auch einen Austausch personenbezogener Daten betreffen könnte.

Auswirkungen für Unternehmen / öffentliche Stellen

Der DMA wird langfristig dazu führen, dass die Europäische Kommission härter und öfter gegen digitale Unternehmen vorgehen wird, die ihre marktbeherrschende Stellung wettbewerbswidrig ausnutzen. Durch den DMA wird es für die Kommission erheblich leichter Bußgelder zu erlassen, da nachdem ein Unternehmen als Gatekeeper benannt wurde, die Erforderlichkeit einer individuellen Bewertung der Marktposition im Einzelfall entfällt.

Gleichzeitig wird der DMA den Zugang zu Märkten wesentlich erleichtern, da viele der Pflichten der Gatekeeper darauf abzielen vorhandene Märkte weiter zu öffnen (z.B. App Stores).

Regelungsschwerpunkte

Der Digital Services Act (DSA) ist eine direkt in den Mitgliedstaaten geltende Verordnung der Europäischen Union. Sie zielt darauf ab, Rahmenbedingungen für einen wirksamen Schutz gegen illegale Inhalte im Online-Bereich zu schaffen. Dieses Ziel soll mithilfe organisatorischer Verhaltenspflichten für bestimmte Unternehmen erreicht werden, die Dienstleistungen, Waren oder Inhalte online, in der EU anbieten. Dazu gehören z. B. Online-Marktplätze und soziale Netzwerke aber auch Telekommunikationsdienste. In unserem Whitepaper zum DSA erfahren Sie mehr über die einzelnen Vorgaben.

Adressaten

• Vermittlungsdienste (Access-, Caching- und Hosting-Provider)
• Soziale Netzwerke
• Online-Marktplätze
• Suchmaschinen

Verhältnis zum Datenschutzrecht

Bei einzelnen Vorgaben, insbesondere in Bezug auf Dark Patterns überschneiden sich die Vorgaben des DSA und der DSGVO. Grundsätzlich soll der DSA die DSGVO nicht einschränken.

Auswirkungen für Unternehmen / öffentliche Stellen

Der DSA sieht ein abgestuftes Pflichtensystem vor, abhängig von der Art des Dienstes und der Anzahl der Nutzer. Auf die Adressaten kommt ein erhöhter Dokumentations- und Verwaltungsaufwand zu. Beispielsweise müssen AGB und Community Standards angepasst sowie eine Kontaktstelle zur elektronischen Kommunikation mit Behörden und Nutzern eingerichtet werden. Hostingdiensteanbieter und Online-Plattformen müssen zudem Melde- und Abhilfeverfahren einführen, damit sie durch Nutzer und Dritte über rechtswidrige Inhalte informiert werden können. Letztere müssen darüber hinaus ein internes Beschwerdemanagementsystem auf der Plattform bereitstellen, damit Nutzer sich gegen unberechtigte Löschungen und Sperrungen von Inhalten wehren können. Zudem müssen Plattformen transparentere Informationen über Werbung bereitstellen. Sehr große Online-Plattformen mit mehr als 45 Mio. monatlichen Nutzern sind u.a. dazu verpflichtet, jährliche Risikoanalysen durchzuführen.

Bei Nichtumsetzung der Maßnahmen oder Verstoß gegen den DSA drohen Unternehmen Bußgeldern bis zu 6 % des Vorjahresumsatzes.

Regelungsschwerpunkte

Durch den DGA soll der Datenaustausch zwischen öffentlichen Sektoren und Mitgliedstaaten der Europäischen Union gefördert werden. Vor allem um Datensätze, die vom öffentlichen Sektor im Rahmen ihrer Tätigkeit erhoben werden, sollen leichter und vertraulich verfügbar gemacht werden können.

Adressaten

• Öffentliche Stellen
• Datenvermittlungsdienste (z.B. Datenmarktplätze, Anbieter von Datenbeständen auf Lizenzbasis)
• Datenaltruistische Organisationen (registrierte Stellen über die eine einwilligungsbasierte, gemeinsame Nutzung von Daten z.B. im Bereich der Forschung erleichtern sollen)

Verhältnis zum Datenschutzrecht

Der DGA enthält keine Privilegierung im Hinblick auf die Vorgaben der DSGVO. Im Gegenteil: Öffentliche Stellen können, wenn sie Daten bereitstellen, besondere Anforderungen zum Schutz dieser Daten festlegen. Eine öffentliche Stelle kann z.B. vorschreiben, dass bereitgestellte personenbezogene Daten nur anonymisiert weiterverwendet werden dürfen.

Aus Perspektive des Datenschutzes ist außerdem hervorzuheben, dass die Europäische Kommission im Kontext des DGA ein modulares Einwilligungsformular zur Erhebung von Daten auf der Grundlage des Datenaltruismus bereitstellen wird (Art. 25 Abs. 1 DGA). Dieses Formular soll auch die Anforderungen der DSGVO miterfüllen. Es erscheint denkbar, dass dieses Formular auch in anderen Fällen als von der Kommission genehmigte Einwilligungserklärung zum Einsatz kommen könnte.

Auswirkungen für Unternehmen / öffentliche Stellen

Die Verordnung wird vor allem die Verfügbarkeit von Daten öffentlicher Stellen verbessern. Besonders relevant dürfte in diesem Zusammenhang die von den Mitgliedsstaaten einzurichtenden allgemeinen Informationsstellen sein, die nicht nur Anträge auf Weiterverwendung von öffentlichen Datensätzen entgegennehmen sollen, sondern nach Vorgaben des DGA auch eine Bestandsliste mit allen verfügbaren Datenressourcen bereitstellen werden. Hierdurch sollte es Unternehmen erheblich erleichtert werden, potenziell relevante und verfügbare Datensätze zu finden und nutzbar zu machen.

Interessant dürfte der DGA daher vor allem für Stellen sein, die mit Gesundheitsdaten, Mobilitätsdaten, Umweltdaten und landwirtschaftlichen Daten arbeiten. Gerade im Bereich der Forschung könnte der flexible und einwilligungsbasierte Austausch von Daten durch datenaltruistische Organisationen erheblich erleichtert werden.

Regelungsschwerpunkte

Die neue KI-Verordnung der Europäischen Union, auch bekannt als Artificial Intelligence Act (AI Act), stellt einen umfassenden regulatorischen Rahmen für den Einsatz von Künstlicher Intelligenz (KI) in der EU dar. Ziel der Verordnung ist es, die Entwicklung und den Einsatz von KI-Systemen zu fördern, gleichzeitig aber auch die damit verbundenen Risiken zu minimieren und die Grundrechte der Bürger zu schützen.

Der AI Act klassifiziert KI-Systeme nach ihrem Risiko in verschiedene Kategorien: verbotene KI-Praktiken (unvertretbares Risiko), Hochrisiko-KI-Systeme (hohes Risiko), sonstige KI-Systeme (unterhalb des hohen Risikos). KI-Systeme mit unvertretbarem Risiko sind verboten, während Systeme mit hohem Risiko strengen Anforderungen unterliegen. Diese Anforderungen umfassen unter anderem die Datensicherheit, Transparenz, menschliche Aufsicht und technische Dokumentation. Als Sanktionen können Geldbußen von bis zu 30 Mio. Euro bzw. 6 % des Vorjahresbruttoumsatzes eines Unternehmens, je nachdem, welcher Betrag höher ist, verhängt werden.

In unserem Whitepaper zur KI-Verordnung finden sie weitere Informationen.

Adressaten

• Anbieter von KI-Systemen
• Betreiber von KI-Systemen
• Einführer von KI-Systemen

Verhältnis zum Datenschutzrecht

Die DSGVO bleibt nach der Aussage des KI-VO unberührt und ergänzt Regelungen für Hochrisiko-KI- und Fernidentifizierungssysteme. Bspw. werden „modernste Sicherheits- und Datenschutzmaßnahmen“ insoweit gefordert, zu denen Pseudonymisierung und Verschlüsselung gehören sollen, „wenn der erfolgte Zweck durch eine Anonymisierung erheblich beeinträchtigt würde“.

Nutzer von Hochrisiko-KI-Systemen sollen zudem Informationen, die ihnen nach Art. 29 Abs. 6 KI-VO bereitgestellt werden, verwenden, um eine ggf. erforderlich DSFA (Art. 35 DSGVO) durchzuführen. Dies führt zu einer erheblichen Aufwertung von Datenschutzinformationen, deren Qualität unserer Erfahrung nach sehr unterschiedlich sein kann. Die DSGVO wird also beim Einsatz von KI-Systemen zukünftig auch eine wichtige Rolle spielen.

Auswirkungen für Unternehmen / öffentliche Stellen

Gerade beim Einsatz von Hochrisiko-KI-Systemen sollten Unternehmen den Beurteilungs- und Dokumentationsaufwand nicht unterschätzen. Ein zentrales Element ist insoweit die Durchführung einer Konformitätsbewertung und -erklärung für Anbieter von KI-Systemen. Wichtig ist schließlich auch, dass Anbieter von KI-Systemen in einem Drittland nicht von den Anforderungen des KI-VO befreit sind, sofern deren Leistungen in der Europäischen Union angeboten werden. Gerade mit Blick auf die möglichen Geldbußen ist dies von höherer Relevanz.

Regelungsschwerpunkte

Der DORA beinhaltet vereinheitlicht rechtliche Anforderungen für die Sicherheit der Netz- und Informationssysteme von Unternehmen im Finanzsektor, um die wachsende Gefahr von Cyberbedrohungen zu minimieren.

Einen detaillierten Überblick zum DORA finden Sie hier auf unserer Website.

Adressaten

• Kreditinstitute
• Zahlungsinstitute
• Kontoinformationsdienstleister
• Wertpapierfirmen
• Anbieter von Krypto-Dienstleistungen
• Versicherungs- und Rückversicherungsunternehmen
• Sonstige Finanzunternehmen
• IKT-Drittdienstleister (z.B. Cloud-Computing-Dienste, Datenanalysedienste, Softwareanbieter, Anbieter von Rechenzentrumsdienstleistungen)

Verhältnis zum Datenschutzrecht

An mehreren Stellen in der Verordnung wird auf datenschutzrechtliche Regelungen Bezug genommen. Beispielsweise soll der Austausch von Informationen und Erkenntnissen über Cyberbedrohungen zwischen Finanzunternehmen im Einklang mit der DSGVO erfolgen. Weiterhin müssen die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung sowie die Europäische Wertpapier- und Marktaufsichtsbehörde (zusammen „Europäische Aufsichtsbehörden“ oder „ESA“ genannt) und sonstige zuständige Behörden bei der Verarbeitung von personenbezogenen Daten die Vorschriften der DSGVO oder der Verordnung (EU) 2018/1725 beachten. Zudem müssen Verträge zwischen Finanzunternehmen und IKT-Drittdienstleistern gemäß Art. 30 Abs 2 lit. c) DORA Bestimmungen zum Schutz personenbezogener Daten enthalten. Praxisrelevant ist außerdem, dass gemäß Art. 28 Abs. 7 lit. c) DORA Vereinbarungen über die Nutzung von Diensten zu kündigen sind, wenn der Drittanbieter nachweisliche Schwächen beim Datenschutz aufweist.

Auswirkungen für Unternehmen / öffentliche Stellen

Mit dem DORA werden Finanzunternehmen eine Vielzahl von Pflichten im Bereich des Risikomanagements auferlegt. Beispielsweise müssen sie Maßnahmen für ein solides Management des IKT-Drittparteienrisikos vornehmen und dies, abhängig von der Unternehmensgröße, mindestens jährlich dokumentieren und überprüfen. Insofern kommt auf Finanzunternehmen ein höherer Verwaltungs-, Dokumentations- und Prüfungsaufwand zu.

Regelungsschwerpunkte

Der Cyber Solidarity Act soll die koordinierte Erkennung, Vorsorge und Bewältigung von Cybersicherheitsbedrohungen und -vorfällen in der EU verbessern. Zu diesem Zweck soll insbesondere ein europäischer Cyberschutzschild und ein Cybernotfallmechanismus geschaffen werden.

Im Rahmen des Cyberschutzschilds sammeln sogenannte Sicherheitseinsatzzentren (SOCs, zuvor benannte nationale Behörden) Erkenntnisse über Cyberbedrohungen und sind Anlaufstellen für öffentliche und private Organisationen. Im Cybernotfallmechanismus sind Vorsorgemaßnahmen, wie die Prüfung von Einrichtungen in besonders kritischen Sektoren (Gesundheitswesen, Verkehr, Energie usw.) auf potenzielle Schwachstellen vorgesehen. Daneben ist die Schaffung einer EU-Cybersicherheitsreserve geplant, die aus Notfalldiensten von vertrauenswürdigen Anbietern besteht, welche im Voraus unter Vertrag genommen wurden und auf Ersuchen eines Mitgliedstaats oder von Stellen der Union im Falle eines Cybersicherheitsvorfalls eingreifen.

Adressaten

• Stellen der EU
• EU-Mitgliedstaaten
• Indirekt Unternehmen aus kritischen Sektoren, die auf potenzielle Schwachstellen getestet werden können
• Indirekt Unternehmen, für die eine Teilnahme an der EU-Cybersicherheitsreserve in Betracht kommt

Verhältnis zum Datenschutzrecht

Der Informationsaustausch zwischen den Teilnehmern des Cyberschutzschilds muss unter Berücksichtigung der Datenschutzvorschriften der Union (DSGVO) und der Mitgliedstaaten erfolgen (ErwG 22 Cyber Solidarity Act). Wenn personenbezogene Daten verarbeitet werden, müssen beispielsweise entsprechende TOMs implementiert werden. Personenbezogene Daten sind zu löschen, wenn sie nicht mehr benötigt werden.

Auswirkungen für Unternehmen / öffentliche Stellen

Unternehmen aus Sektoren mit hoher Kritikalität (die Verordnung verweist auf Anhang I der NIS-2-Richtlinie) können auf potenzielle Schwachstellen getestet werden.

Unternehmen, für die eine Teilnahme an der EU-Cybersicherheitsreserve in Betracht kommt, müssen bestimmte Auswahlkriterien erfüllen und entsprechende Verträge abschließen.

Die Mitgliedstaaten müssen nationale Behörden als SOCs benennen, die dann Aufgaben im Rahmen des Cyberschutzschilds wahrnehmen. Diese Behörden müssen in der Lage sein als Anlaufstelle für öffentliche und privat Organisationen in Bezug auf Bedrohungen und Vorfälle im Bereich der Cybersicherheit zu fungieren. Sie sollen mit neuster Technologie ausgestattet sein und auch zum grenzüberschreitenden Netzwerk von SOCs beitragen.