Sicherheits- und Compliance-Verantwortliche beendeten das Jahr 2023 so, wie sie es begonnen hatten, überwältigt von der Menge und Komplexität neuer Regeln und Vorschriften. Einige gelten nur für bestimmte Arten von Organisationen. Andere lassen sich möglicherweise nur schwer vermeiden. Aber alles zusammen ergibt ein makroökonomisches Bild von mehr Arbeit, insbesondere für britische Firmen mit Niederlassungen und/oder Partnern in Europa und den USA.

Welche fünf Erkenntnisse sollten Sie also für das voraussichtlich erneut arbeitsreiche Jahr im Hinterkopf behalten? Hier sind unsere wichtigsten Erkenntnisse aus dem Jahr 2023:

1. Britische Unternehmen sehen möglicherweise keine „Brexit-Dividende“

In diesem Jahr wurden in Großbritannien mehrere neue Gesetze verabschiedet, die versprechen, einen Teil der Bürokratie abzubauen, die Brexit-Befürworter als einen Hauptgrund für den Austritt aus der EU angeführt haben. Ein Beispiel ist das Datenschutz- und Informationsgesetz (DPDI), von dem die Regierung behauptet, es werde britischen Unternehmen Milliarden einsparen. Diese britische Version der DSGVO enthält verschiedene Klarstellungen und Ausnahmen, die das Gesetz unternehmensfreundlicher gestalten könnten, beispielsweise die Festlegung, dass nur Organisationen, die Daten mit hohem Risiko verarbeiten, Aufzeichnungen führen müssen. Britische Unternehmen mit Niederlassungen in der EU müssen jedoch entweder an ihrem bestehenden DSGVO-Konformitätsrahmen festhalten – was die Regierung zulassen wird – und somit diese Vorteile nicht nutzen können oder die Belastung tragen, zwei Compliance-Systeme parallel zu betreiben.

Die zweite Verordnung über Netz- und Informationssysteme (NIS 2) wird einige Unternehmen in ein ähnliches Dilemma bringen, da Großbritannien im nächsten Jahr von der bestehenden Regelung abweicht . Die Tatsache, dass die Mitgliedstaaten die NIS 2 bis zum 17. Oktober 2024 umsetzen müssen, während die britischen Gesetzespläne noch unklar sind, könnte zu höheren Kosten für die Compliance-Abteilungen führen.

Diese Fälle erinnern uns an die Notwendigkeit, mit Compliance-Spezialisten zusammenzuarbeiten, die in der Lage sind, unterschiedliche Aktivitäten für unter Druck stehende Teams zu zentralisieren und zu rationalisieren.

2. Die Einhaltung der ISO 27001 ist eine hervorragende Grundlage für Unternehmen

Wir haben das ganze Jahr über in rasantem Tempo neue Verordnungen und Gesetzesvorschläge erlebt. Die gute Nachricht ist jedoch: Mit einem soliden Sicherheitsrahmenwerk, das auf bewährten Verfahren basiert, haben Unternehmen bereits einen Großteil der Arbeit für viele dieser neuen Regeln erledigt. Dies gilt insbesondere für den EU Digital Operational Resilience Act (DORA) , die NIS-2-Richtlinie und den Cyber ​​Resilience Act (CRA), die für Finanzdienstleister, Betreiber wesentlicher Dienstleistungen bzw. Hersteller von Produkten mit digitalen Komponenten gelten. Auch die britische Datenschutz-Grundverordnung (DPDI), die die DSGVO ersetzen soll, wird davon profitieren. Wie ISMS.online im Laufe des Jahres berichtete, können Best-Practice-Rahmenwerke dazu beitragen, das Risiko von Deepfakes , Bedrohungen der Lieferkette und anderen Gefahren zu minimieren.

Einem aktuellen Gartner-Bericht zufolge bieten ISO 27001 und NIST (National Institute of Standards and Technology) die notwendige Governance-Strenge, Prozesse und Strukturen, um Informationssicherheit und Risikomanagement unabhängig von Unternehmensgröße, Branche oder Sicherheits-/Risikomanagementkompetenz erfolgreich voranzutreiben. Gleichzeitig zeigte der Bericht jedoch , dass 41 % der Kunden noch kein Framework ausgewählt oder einen eigenen, unstrukturierten Ansatz entwickelt haben – was zu Kontrolllücken, Ressourcenverschwendung und überlasteten Sicherheitsteams führen kann.

3. Was im Ausland passiert, ist im Inland von Bedeutung

Sicherheits- und Compliance-Teams können nicht isoliert arbeiten, insbesondere wenn ihr Unternehmen im Ausland tätig ist oder Partnerschaften mit ausländischen Unternehmen unterhält. Aus den USA kommen neue SEC-Regeln zur Meldung von Sicherheitsvorfällen, die Dienstleister unabhängig von ihrem Standort betreffen. Dies zwingt britische Unternehmen in dieser Situation dazu, ihre Maßnahmen zur Reaktion auf Sicherheitsvorfälle und andere Aspekte ihrer Sicherheitsarchitektur gegebenenfalls zu verbessern. Hinzu kommen DORA, NIS 2, CRA und der EU-Gesetzentwurf zur Bekämpfung von KI , die allesamt Auswirkungen auf Unternehmen haben, die in die EU exportieren.

Einige Regeln müssen noch finalisiert werden, aber Unternehmen, die sich auf diesen Märkten einen Vorteil verschaffen wollen, sollten gut informiert und angemessen vorbereitet sein und mit Spezialisten zusammenarbeiten, die dazu beitragen können, dass die Einhaltung von Vorschriften ein Wegbereiter und kein Hindernis darstellt.

4. Es liegt noch viel Luft nach oben

Compliance-Teams sehnen sich nach Planungssicherheit. Doch die Erstellung und Verabschiedung neuer Gesetze und Verordnungen kann ein langwieriger und unübersichtlicher Prozess sein. So gibt es Ende 2023 noch immer kein bestätigtes Datum, wann die Aktualisierungen der DPDI oder des UKI NIS in Kraft treten werden. Teile einiger vorgeschlagener EU-Gesetze haben sich zudem als höchst umstritten erwiesen, was ihre Verabschiedung möglicherweise verzögert. Das EU-KI-Gesetz geriet kürzlich in Schwierigkeiten, als Aktivisten auf eine gefährliche neue Gesetzeslücke hinwiesen, die nach der Verabschiedung des Gesetzes im Parlament eingeführt wurde. Diese würde es Entwicklern faktisch ermöglichen, selbst zu entscheiden, ob ihr KI-Modell als „hochriskant“ einzustufen ist oder nicht. Auch die CRA stieß aufgrund ihrer Behandlung von Open-Source-Entwicklern und ihrer potenziell negativen Auswirkungen auf die Offenlegung von Sicherheitslücken auf erheblichen Widerstand.

In Großbritannien wurden die geplanten Aktualisierungen des Investigatory Powers Act (IPA) ebenfalls stark kritisiert, da sie die digitale Wirtschaft schwächen und möglicherweise Technologieanbieter zum Verlassen des Landes verleiten könnten. All dies bedeutet, dass noch vieles ungeklärt ist. Kluge Compliance-Teams werden jedoch analysieren, was sich in der kommenden Gesetzgebung voraussichtlich nicht ändern wird, und im Vorfeld Maßnahmen ergreifen.

5. Nächstes Jahr gibt es noch viel mehr

2023 war zwar ein arbeitsreiches Jahr, doch für Sicherheits- und Compliance-Experten ist auch im nächsten Jahr keine Entspannung in Sicht. Der Countdown für die Umsetzung mehrerer wichtiger neuer Vorschriften läuft weiter, während die Details weiterer Vorschriften von den zuständigen Behörden finalisiert werden. Unternehmen werden sich daher weiterhin auf PCI DSS 4.0 vorbereiten, das im März 2025 offiziell in Kraft tritt, sowie auf NIS 2 (17. Oktober 2024). CRA, DORA, DPDI und das EU-Gesetz über künstliche Intelligenz (EU AI Act) sowie die Aktualisierungen des britischen NIS sollten im nächsten Jahr finalisiert werden. Im Vereinigten Königreich ist April 2024 die Frist für die Einhaltung des Product Security and Telecoms Infrastructure (PSTI) Act, der Hersteller von Smart-Produkten (IoT) betreffen wird.

Wenn das neue Jahr ernsthaft beginnt, sollten Unternehmen nach Möglichkeit versuchen, Ineffizienzen und Silos zu beseitigen, Compliance stärker in den Betrieb zu integrieren und sich mit den richtigen automatisierten Tools auszurüsten, um die Belastung der Teams zu verringern.

Nutzen Sie Ihren Compliance-Vorteil im Jahr 2024

Wenn Sie Ihre Reise zu besserer Compliance beginnen möchten, können wir Ihnen helfen.

Unsere ISMS-Lösung ermöglicht einen einfachen, sicheren und nachhaltigen Ansatz für Compliance und Informationsmanagement mit ISO 27001, SOC 2, NIST und über 100 weiteren Frameworks. Erkennen Sie noch heute Ihren Wettbewerbsvorteil.

Sprechen Sie mit einem Experten