Die Neuordnung der Datenlandschaft

Werte Leserinnen, werte Leser, heute will ich Ihnen zwei wichtige Entwicklungen zu Datenschutz und zu Informationssicherheit vorstellen. Zum einen den aktuellen Diskussionsstand zur Datenschutz-Grundverordnung (DSGVO) in Großbritannien: Letzte Woche hat Rishi Sunak, der kürzlich zurückgetretene Finanzminister und einer von zwei Kandidaten in der Stichwahl der Tories um die Nachfolge des scheidenden britischen Premierministers Johnson, erklärt, dass mit ihm als Premierminister die Belastungen der DSGVO beseitigt und stattdessen das dynamischste Datenschutzsystem der Welt erschaffen werde.

„Die byzantinischen Regeln der EU hindern britische Technologieunternehmen an Innovationen und öffentliche Dienste am Austausch von Daten zur Verbrechensbekämpfung. Wie jeder Internetnutzer sehen kann, funktioniert die Datenschutz-Grundverordnung – mit all ihren bürokratischen Vorschriften – eindeutig nicht und muss ersetzt werden“, sagte er. Wir müssen abwarten, was nach der Wahl davon übrig bleibt.

Jedoch denke ich, dass unabhängig wer siegt, Großbritannien ein anderes Datenschutzregime einführen wird. Sicherlich wird Großbritannien die USA als gleichwertigen Standort in Sachen Datenschutz anerkennen, das heißt, den USA einen Angemessenheitsbeschluss ausstellen. Die wichtigere Frage aus Sicht von Großbritannien wird die zum eigenen Angemessenheitsbeschluss mit der EU sein. Wird es diesen verlieren? Die EU muss den Beschluss dann einkassieren, will sie nicht unglaubwürdig in Sachen Datenschutz werden. Wir werden diese dynamische Entwicklung gemeinsam beobachten müssen.

Zum anderen kündigt sich mit großen Schritten Dora an: Der Digital Operational Resilience Act wird einen EU-Rechtsrahmen über die Betriebsstabilität digitaler Systeme des Finanzsektors erschaffen.

Grundsätzlich fasst Dora bestehende Regelungen zu Sicherheitsmaßnahmen, Meldewesen und Überprüfung von Auslagerungen aus bestehenden Regulierungen zusammen, erweitert und vertieft diese jedoch an ausgewählten Stellen. Auslagerungen sind originäre Aufgaben eines Finanzunternehmens, welche es durch Dienstleister erledigen lässt.

Dora wird Google, Azure und andere Cloud-Anbieter regulieren

Dora erweitert den Gültigkeitsrahmen auf viele Arten von Finanzunternehmen. Besonders interessant dürfte sich die neue Regulierung der sogenannten Hyperscaler darstellen, das sind die großen Cloud-Anbieter wie Google, Azure (von Microsoft) und AWS (von Amazon). In Dora werden sie IKT-Drittanbieter – IKT steht für die schöne altmodische „Informations- und Kommunikationstechnologie“ – genannt und ihnen allein sind 15 von 56 Artikeln gewidmet.

Zusammenfassend wird Dora ein der DSGVO vergleichbares regulatorisches Erdbeben auslösen, indem es das Aufsichtsregime der IKT im Finanzsektor horizontal verbreitert, vertikal vertieft und in Europa harmonisiert.

Horizontal, da nun 21 Klassen von Finanzunternehmen anstatt wie bisher vier direkt durch die Finanzaufsicht kontrolliert werden. Vertikal, da die Anforderungen an Informationssicherheit, Betriebsstabilität und Resilienz auf tiefer technisch-organisatorischer Detailebene vorgegeben werden. Und die Harmonisierung der Anforderungen und Prüfungshandlungen schafft Vertrauen in Regulator und Aufsichten durch Vergleichbarkeit der Prüfergebnisse und der möglicherweise ausgesprochenen Sanktionen.