Schlagwortarchiv für: Compliance

Die Datenschutz-Grundverordnung (DSGVO) erfährt derzeit eine geplante Harmonisierung, die nicht nur für Datenschutzaufsichtsbehörden, sondern auch für Unternehmen weitreichende Auswirkungen haben wird. Diese Neuerungen zielen darauf ab, die Zusammenarbeit zwischen den Behörden zu stärken und die Prozesse effektiver zu gestalten. In diesem Beitrag erfahren Sie mehr über die geplanten Änderungen, wie sie sich auf Ihr Unternehmen auswirken könnten und welche Rolle das Bundesdatenschutzgesetz (BDSG) in Deutschland dabei spielt.

1. Vereinheitlichung der Anforderungen für grenzüberschreitende Beschwerden

Eine der zentralen Konsequenzen der geplanten Harmonisierung liegt in der Vereinheitlichung der Anforderungen für grenzüberschreitende Beschwerden. Künftig sollen Beschwerdeführer das Recht auf Anhörung erhalten, wenn ihre Beschwerden, sei es ganz oder teilweise, abgewiesen werden. Dieser Schritt soll zu einer beschleunigten Abhilfe bei Datenschutzverstößen führen und Unternehmen gleichzeitig mehr Rechtssicherheit bieten.

2. Partizipation betroffener Parteien an Untersuchungen

Ein bedeutender Schritt ist die Einführung des Rechts auf Anhörung für von einer Untersuchung betroffene Parteien wie Verantwortliche und Auftragsverarbeiter. Dies ermöglicht eine aktive Teilnahme in wichtigen Phasen des Verfahrens, was zu einer transparenteren und ausgewogeneren Prozessführung beiträgt. Gleichzeitig sollen die Rechte von Unternehmen in Bezug auf ein faires Verfahren bei der Untersuchung möglicher Verstöße gegen die DSGVO präzisiert werden.

3. Herausforderungen und bekannte Probleme

Leider bleibt festzuhalten, dass die geplante Überprüfung der DSGVO keine Maßnahmen zur Behebung bekannter Probleme wie dem unzureichenden Kohärenzverfahren gemäß Art 63 DSGVO beinhaltet. Die Zusammenarbeit der verschiedenen Datenschutzbehörden hat in den letzten fünf Jahren nicht effektiv genug funktioniert, und es bedarf weiterer Anstrengungen, um diese Herausforderungen anzugehen.

4. Anpassungen am Bundesdatenschutzgesetz in Deutschland

Auch in Deutschland stehen Anpassungen am Bundesdatenschutzgesetz (BDSG) bevor. Im Zuge der Evaluierung und der Umsetzung des Koalitionsvertrags soll das BDSG überarbeitet werden. Dabei liegt der Fokus auf der Stärkung der Zusammenarbeit der Datenschutzaufsichtsbehörden, um eine kohärente und effektive Umsetzung der Datenschutzstandards zu gewährleisten.

5. Bewertung der geplanten Änderungen und ihre Auswirkungen auf Unternehmen

Die geplanten Änderungen in der DSGVO haben zweifellos das Potenzial, den Datenschutz und die Zusammenarbeit der Behörden zu stärken. Die Vereinheitlichung der Anforderungen für grenzüberschreitende Beschwerden verspricht eine schnellere Abhilfe bei Datenschutzverstößen, was für Unternehmen eine verbesserte Rechtssicherheit bedeuten könnte. Die Einführung des Rechts auf Anhörung für betroffene Parteien könnte zu transparenteren und ausgewogeneren Untersuchungsverfahren führen, was im Interesse aller Beteiligten liegt.

Jedoch bleibt eine kritische Perspektive wichtig. Die DSGVO-Überprüfung adressiert zwar einige Probleme, aber nicht alle. Insbesondere das Kohärenzverfahren hat in der Vergangenheit Schwächen gezeigt, und seine unzureichende Umsetzung bedarf dringender Lösungen. Die Herausforderungen in der Zusammenarbeit der Datenschutzbehörden müssen weiterhin angegangen werden, um eine effektive Umsetzung und Durchsetzung der Datenschutzstandards zu gewährleisten.

Für Unternehmen bedeutet dies, dass sie die Entwicklungen aufmerksam verfolgen und ihre Datenschutzmaßnahmen entsprechend anpassen sollten. Die kommenden Anpassungen am BDSG in Deutschland sind dabei ebenfalls von Bedeutung. Die Stärkung der Zusammenarbeit der Datenschutzaufsichtsbehörden auf nationaler Ebene wird die Umsetzung der Datenschutzstandards weiter beeinflussen.

Fazit: Datenschutz im Wandel der DSGVO

Die geplanten Änderungen in der Datenschutz-Grundverordnung (DSGVO) signalisieren einen bedeutenden Schritt in Richtung effektivere Zusammenarbeit und mehr Rechtssicherheit. Insbesondere die Vereinheitlichung der Anforderungen für grenzüberschreitende Beschwerden und die Einführung des Rechts auf Anhörung für betroffene Parteien versprechen eine beschleunigte Abhilfe bei Datenschutzverstößen und transparentere Untersuchungsverfahren.

Trotz dieser positiven Entwicklungen bleiben jedoch einige Herausforderungen bestehen, insbesondere im Hinblick auf das Kohärenzverfahren und die effektive Zusammenarbeit der Datenschutzbehörden. Die DSGVO-Überprüfung hat zwar wichtige Schritte unternommen, um die Compliance zu stärken, doch es bedarf weiterer Anstrengungen, um bekannte Probleme anzugehen.

In Deutschland stehen zudem Anpassungen am Bundesdatenschutzgesetz (BDSG) bevor, wobei die Stärkung der Zusammenarbeit der Datenschutzaufsichtsbehörden im Fokus steht. Unternehmen sollten diese Entwicklungen genau verfolgen und interne Prozesse anpassen, um den neuen Anforderungen gerecht zu werden.

Die Rolle von IAP: Unterstützung und Schulung für Datenschutz-Compliance

Bleiben Sie informiert über diese wegweisenden Entwicklungen im Datenschutz und sichern Sie die Compliance Ihres Unternehmens. IAP bietet Ihnen umfassende Unterstützung, um den neuen Anforderungen gerecht zu werden. Unsere Experten beantworten Ihre Fragen zum Datenschutz, führen Schulungen durch und bieten maßgeschneiderte Lösungen für Ihre Datenschutzanforderungen. Kontaktieren Sie uns, um sicherzustellen, dass Ihr Unternehmen optimal auf die Veränderungen im Datenschutz vorbereitet ist.

 

Foto: istockphoto.com/uniquepixel

Viele Dienstleister – vor allem Rechenzentrumbetreiber, Cloud Provider und IT-Service Provider aller Art möchten sicherstellen und auch ihren Mandanten nachweisen, dass sie effektive Kontrollen und Sicherheitsmaßnahmen für die Erbringung ihrer Dienstleistungen installiert haben.   

Auf der anderen Seite suchen die Kunden von Dienstleistungsunternehmen den richtigen Partner für die Auslagerung von Geschäftsprozessen. Dabei spielt es eine immer wichtigere Rolle, wie effektiv und verlässlich die internen Kontrollen zur Gewährleistung einer hochverfügbaren und sicheren Datenverarbeitung der Dienstleister sind.   

Die Erfüllung mancher gesetzlichen Anforderungen (z.B. bei den Jahresabschlussprüfungen) wird durch die Auslagerung von Dienstleistungen oftmals mit auf den Dienstleister übertragen, z.B. wenn die Verarbeitung von rechnungslegungsrelevanten Daten outgesourct wird. Die „Verantwortung“ gegenüber dem Gesetzgeber bleibt dabei aber immer beim Unternehmen, das die Dienstleistung auslagert. 

Seit einiger Zeit ist auf dem Markt eine zunehmende Nachfrage nach so genannten SOC-Reports bzw. -Zertifizierungen als Nachweis über das Kontrollsystem des Dienstleisters zu beobachten.
Was bringt ein SOC-Report bzw. eine SOC-Zertifizierung? Was ist der Unterschied zwischen SOC 1, SOC 2 und SOC 3 und daraus resultierend, welcher SOC-Report ist für wen sinnvoll? 

SOC steht für engl. „System and Organization Controls“ und stellt in den Varianten SOC 1, SOC 2 und SOC 3 Prüfungs- und Berichtsstandards des AICPA dar („American Institute of Certified Public Accountants“, zu deutsch „Amerikanisches Institut für Wirtschaftsprüfer“). SOC-Berichte richten sich an Unternehmen, die die Verlässlichkeit ihrer Dienstleistungen sowie die Sicherheit der für den Kunden verarbeiteten Daten durch eine Wirtschaftsprüfer-Testat nachweisen wollen. 

SOC 1® — Interne Kontrolle der Finanzberichterstattung (ICFR)

Der SOC 1 Standard wurde speziell für die Überprüfung derjenigen Kontrollen bei den Dienstleistern konzipiert, die für die Finanzberichterstattung des Dienstleistungsnehmers relevant sind. Die Auditoren bzw. Wirtschaftsprüfer des Dienstleistungsnehmers nehmen im Rahmen der Prüfung für einen SOC 1-Bericht i.d.R. eine Risikobewertung vor und erstellen mit dem SOC 1-Bericht einen Prüfungsnachweis über die Kontrollen des Dienstleisters.  

Für den SOC 1 Bericht gibt es zwei Berichts-Typen: 

Typ 1

Bericht über die Eignung des Aufbaus und der Angemessenheit der Kontrollen im Hinblick auf die Erreichung der entsprechenden Kontrollziele zu einem bestimmten Zeitpunkt 

Typ 2

Bericht über die Wirksamkeit der Kontrollen im Hinblick auf die Erreichung der entsprechenden Kontrollziele während eines bestimmten Zeitraums (üblicherweise 6 Monate oder 1 Jahr). 

SOC 2® – Trust Services Criteria

Der SOC 2-Bericht wurde konzipiert für die Überprüfung der Kontrollen bzgl. Sicherheit (security), Verfügbarkeit (availability), Integrität (processing integrity) der Systeme, die der Dienstleister für die Verarbeitung der Daten der Dienstleistungsnehmer verwendet, sowie der Kontrollen zu Datenschutz und Vertraulichkeit (privacy of the information) der verarbeiteten Daten. 

Die Dienstleister für die ausgelagerten Dienstleistungen agieren dabei praktisch als „Lieferanten“ für ihre Kunden. Die SOC 2-Berichte dienen dazu, zum Risikomanagement des Dienstleistungsnehmers eine adäquate und mit einem angemessenen Detaillierungsgrad versehene Bewertung unter Berücksichtigung des SOC 2 Standards abzugeben. Die Berichte setzen ein angemessenes Maß an Fachkenntnissen und Wissen über die Abläufe, sowie die Art und Weise voraus, wie die Dienstleistungen hergestellt und angeboten werden. Daher ist Anwenderkreis für den SOC 2-Bericht eingeschränkt auf das Management des Dienstleistungsunternehmens, den Dienstleistungsnehmer und seine Wirtschaftsprüfer, aktuelle und potenzielle Geschäftspartner und Revisoren. 

Die zu überprüfenden Kontrollen bei SOC 2- und SOC 3-Berichten werden gegen die so genannten Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy geprüft. 

SOC 2- Berichte können ebenfalls als Typ 1 (Angemessenheit der Kontrollen) oder Typ 2 (Wirksamkeit der Kontrollen über einen bestimmten Zeitraum) erstellt werden. 

SOC 3® – Trust Services Criteria zur allgemeinen Verwendung

Genauso wie bei einem SOC 2-Bericht bezieht sich auch ein SOC 3-Bericht auf die Kontrollen bzgl. Sicherheit, Verfügbarkeit, Integrität sowie Datenschutz/Vertraulichkeit. Die SOC 3-Berichte unterliegen den gleichen Prüfkriterien wie SOC 2-Berichte. Es gibt allerdings einige Unterschiede zwischen SOC 2 und SOC 3: Zum einen sind die SOC 2-Berichte vertraulich und werden nur bestimmten Kunden zur Verfügung gestellt. Die SOC 3-Berichte sind hingegen für die Öffentlichkeit gedacht und stehen in der Regel als Marketing-Instrument auf der Webseite der Unternehmen (der Dienstleister).  

SOC 3-Berichte beinhalten im Gegensatz zu SOC 2-Berichten keine detaillierten Informationen über die internen Prozesse oder Kontrollen des Unternehmens sowie die exakte Art und Weise, wie die Kontrollen getestet wurden oder was das Ergebnis der jeweiligen Tests und Prüfungen im Detail war. Der Bericht ist wesentlich kürzer gefasst und wird i.d.R. in Form eines Whitepapers bereitgestellt. Ein weiterer Unterschied ist, dass ein SOC 3-Bericht nur für einen Berichtszeitraum, also als Typ 2-Bericht erstellt wird. 

Fazit

Wenn rechnungslegungsrelevante bzw. finanzkritische Daten und Verarbeitungsprozesse ausgelagert werden, sollten Unternehmen bei ihren künftigen Dienstleistern nach einem SOC 1-Bericht fragen, z.B. wenn Unternehmen ihre E-Commerce-Aktivitäten auslagern möchten. 

Wenn ein Unternehmen, z.B. die Verarbeitung seiner sensiblen Kundendaten an einen externen Dienstleister auslagern möchte (Cloud/RZ), kommt für den betreffenden IT-Dienstleister der SOC 2-Bericht in Frage. Der Dienstleistungsnehmer möchte mit seiner Anfrage nach einem solchen Bericht sicherstellen, dass der Dienstleister wirksame Mechanismen (Kontrollen) installiert hat, die die Daten seiner Kunden vor fremdem Zugriff schützen und die Hochverfügbarkeit der IT-Umgebung des Dienstleisters sicherstellen. 

Nach einem SOC 3-Bericht fragen die Kunden der Dienstleister i.d.R. nicht. Die Dienstleister stellen den SOC 3-Bericht der Öffentlichkeit selbst zur Verfügung und transportieren damit eine zertifizierte Sicherheit ihrer Dienstleistungen, ohne zu viele Details kommunizieren zu müssen. 

Unternehmens-IT im stetigen Wandel

Getrieben durch den technologischen Wandel und unternehmerisches Wachstum besteht für viele Unternehmen die Notwendigkeit, ihre IT-Landschaft und Applikationsumgebung an die neuen Gegebenheiten anzupassen. Solche Anpassungen beinhalten fast immer die Veränderung der zugrunde liegenden Geschäftsprozesse als auch die Einführung neuer Technologien, sei es die Ablösung von Altsystemen oder die Entwicklung/Einführung neuer Software und Anwendungen (wie z.B. ein ERP-System), die Auslagerung der IT-Infrastruktur in die Cloud oder aber die Einführung komplexere Themen wie Blockchain-Technologie oder Künstliche Intelligenz.

Die Änderung bestehender oder die Einführung neuer IT-Systeme ist jedoch stets mit erheblichen Herausforderungen verbunden. Dies gilt sowohl im Kleinen als auch im Großen und ist z.T. unabhängig von der Art des jeweiligen Projekts, wobei die Risiken insbesondere bei mittleren und Großprojekten aufgrund ihrer gesteigerten Komplexität zunehmen.

Herausforderungen bei IT-Projekten

Die Herausforderungen bei der Durchführung von IT-Projekten bestehen dabei zuallererst aus den typischen Projektrisiken wie Termin-, Budgetüberschreitungen und Qualitätsrisiken. Jedoch kommen auch weitere Risiken hinzu wie z.B.

  • Risiko von Fehlentwicklungen und Nichterfüllung von Anforderungen
  • Lücken bei der Informationssicherheit und fehlende oder ungeeignete Kontrollen
  • Migrations-Risiken

Des Weiteren bestehen bei der Einführung neuer Prozesse und Technologien in der Regel fast immer Unsicherheiten über die regulatorischen und gesetzlichen Anforderungen, woraus sich entsprechende Compliance-Risiken ergeben.

Möglichkeiten der Risiko-Mitigation auf Basis IDW PS 850

Zur Adressierung dieser Risiken sind eine Vielzahl projektbezogener Maßnahmen möglich. Angefangen von klassischen Projektmanagement-Aktivitäten wie der Auswahl einer geeigneten Projektmethodik, ordentlicher Projektplanung und Steuerung sowie Ressourcen-Ausstattung, einem sauberen Anforderungs- und Qualitätsmanagement, bis hin zu einem angemessenen Testing und der formalen Projektabnahme.

Darüber hinaus gibt es aber auch die Möglichkeit, Projektrisiken durch das Hinzuziehen einer externen, neutralen Instanz zu minimieren, die das Projekt punktuell für die Abnahme von bestimmten Projektmeilensteinen oder aber über die gesamte Projektdauer bis hin zur Endabnahme prüfend begleitet.

Die Etablierung einer solchen projektbegleitenden Prüfung durch eine externe und neutrale Instanz bietet dabei folgende Chancen:

  • Frühzeitige Absicherung der Berücksichtigung aller Anforderungen im Pflichtenheft
    • Compliance-Anforderungen
    • Einhaltung relevanter Ordnungsmäßigkeitsanforderungen (u.a. Bilanzkontinuität)
    • Security by Design
    • Angemessene IT-Kontrollen
    • Abdeckung von Anforderungen für zukünftige Prüfungen
  • Neutrale unabhängige Einschätzung zum Projektstatus (Liefergegenstände und Meilensteine)
  • Neutrale unabhängige Einschätzung zu Risiken und Maßnahmen bei der Projektumsetzung
  • Zusätzliche Qualitätssicherung
  • Gesamt-Abnahme des Projekts durch unabhängige externe Instanz

Das Vorgehen für eine solche projektbegleitende Prüfung richtet sich dabei an dem vom Institut der Wirtschaftsprüfer ausgegebenen Prüfungsstandard IDW PS 850 aus. Dieser Standard beinhaltet wichtige Vorgaben für die Prüfung über den gesamten Projektlebenszyklus:

  • Projektplanung und Projektorganisation
  • Systemdesign, Entwicklung und Testphasen
  • Datenmigration
  • Rollout und Produktivsetzung

Darüber hinaus macht der PS 850 auch Vorgaben zur Verwertung von Untersuchungen oder Prüfergebnissen Dritter sowie zur Dokumentation und Berichterstattung.

Fazit

Die frühzeitige Einbeziehung eines externen unabhängigen Experten gewährleistet die Einhaltung der Ordnungsmäßigkeitsanforderungen und Bilanzkontinuität, fungiert als neutrale Instanz für Qualitätssicherung und Risiko-Monitoring und kann ggf. sogar als Institution für die Abnahme des Gesamtprojekts dienen.

Die externe prüferische Instanz kann dabei auf Erfahrungen aus ähnlich gelagerten Projekten zurückgreifen, wertvolle Hinweise und Empfehlungen bei der Projektumsetzung liefern und dadurch den Gesamt-Projekterfolg maßgeblich unterstützen.

Der unbefugte Zugriff auf Ihre Daten kann verheerende Folgen haben. Neben einem Reputationsschaden gehen finanzielle und rechtliche Schäden einher. Datenverletzungen pro Angriff können schnell in die Millionen gehen. Wenn ein Incident vertrauliche Informationen enthält, kann dies Ihrem Unternehmen finanziellen Schaden zufügen. Independent Consulting + Audit Professionals GmbH hat sich mit Cybersicherheit intensiv beschäftigt und versteht die Herausforderung, vor der sich viele kleine und mittelständische Unternehmen sehen, um realistische und wirksame Schutzmaßnahmen zu etablieren.

Mit unseren Cybersicherheits-Dienstleistungen können Sie die Informationen und Informationssysteme Ihres Unternehmens vor unbefugtem Zugriff, Verwendung, Offenlegung, Unterbrechung, Änderung oder Zerstörung schützen und deren Verfügbarkeit, Vertraulichkeit und Integrität sicherstellen. Unser Beratungsansatz ermöglicht es, IT-Investitionen an Ihre Geschäftsanforderungen anzupassen. Nur durch ein ausgeglichenes Verhältnis zwischen adäquaten Investitionen zur Informationssicherheit und einem Verständnis für akzeptable Risiken ergibt sich der Mehrwert, den die Informationssicherheit bieten kann.

Wir arbeiten eng mit Ihnen zusammen, um das gesamte Ausmaß Ihres Cyber-Risikos zu verstehen, angefangen bei den spezifischen Risikofaktoren Ihrer Branche, bis hin zu den spezifischen Sicherheitsrichtlinien, die Sie eingeführt haben.

Independent Consulting +Audit Professionals bietet eine breite Palette von Funktionen für Cybersicherheitsrisiken und -bewertungen. Wir unterstützen Sie bei allen Governance und Compliance Anforderungen.

Darüber hinaus unterstützen wir Sie bei der Entwicklung oder Verbesserung vorhandener Richtlinien, Verfahren und Kontrollen. Wir überprüfen vorhandene Gerätekonfigurationen und ermitteln für Sie die wirtschaftlichen Auswirkungen Ihres aktuellen Cybersicherheitsrisikos.  Bei der Bewertungsmethodik bedienen wir uns Standardrahmen wie ISO, COBIT, NIST, ITIL und COSO oder wir verfolgen spezifischen Anforderungen ihres Unternehmens.

Folgende Dienstleistungen bieten wir diesbezüglich an:

  • Überprüfung des Sicherheitskonzepts
  • Sanierung der Infrastruktur
  • Bewertung der Cyber-Risiken
  • Penetrationstests, Schwachstellenbewertungen
  • Bewertung von Webanwendungen und Webdiensten
  • Bewertung von Mobilanwendungen
  • Social Engineering- und Facility-Breach-Übungen IT-Risikobewertungen
  • IT-Audit- und Compliance
  • Entwicklung von Cybersicherheitsstrategien und Architektur Cybersecurity Awareness und Education
  • Incident Response
  • Unterstützung für digitale Forensik

 

Durch unseren ganzheitlichen Ansatz im Rahmen der Cybersicherheit tragen wir dazu bei, dass sich Ihr Unternehmen gegenüber den Risiken des digitalen Zeitalters gewappnet ist.