Digitale Dienste im Fokus der EU

Verordnung über digitale Dienste: eine Verordnung, die oft in Vergessenheit gerät

In letzter Zeit dreht sich die Diskussion praktisch ausschließlich um die NIS2-Richtlinie und das neue Gesetz zur Cybersicherheit. In den Unternehmen wird intensiv darüber diskutiert, ob sie unter die neue Regelung fallen, unter welche Bestimmungen sie fallen und welche Verpflichtungen sich daraus für sie ergeben.

Weniger bekannt ist, dass für ausgewählte Anbieter digitaler Dienste eine weitere, sehr spezifische Verordnung gilt – die Verordnung über digitale Dienste (Verordnung (EU) 2024/2690 der Kommission).

Diese Durchführungsverordnung ist für die betroffenen Organisationen von entscheidender Bedeutung. Sie tritt nicht nur ab 2024 in Kraft, sondern erweitert für ausgewählte Einrichtungen auch die allgemeinen Anforderungen der NIS2 und geht im Bereich der Cybersicherheit weitaus detaillierter auf die Einzelheiten ein. Es lohnt sich sicherlich nicht, sie zu ignorieren.

Worin besteht der Unterschied zwischen der NIS2, der ZKB und dieser Verordnung?

Einfach ausgedrückt:

• NIS2 schafft einen einheitlichen Rahmen für Verpflichtungen im Bereich der Cybersicherheit in der EU;
• Die ZKB setzt diese Vorschriften in tschechisches Recht um und legt genau fest, wie sie in der Tschechischen Republik zur Anwendung kommen werden.
• Für ausgewählte digitale Dienste legt die DSA-Durchführungsverordnung konkrete technische Einzelheiten fest, wie Unternehmen die Sicherheit in der Praxis umsetzen sollen.

Der wichtigste Unterschied besteht darin, dass die Verordnung in allen EU-Ländern unmittelbar gilt und nicht erst von den einzelnen Staaten umgesetzt werden muss.

Das bedeutet, dass Sie, sofern Sie unter diese Verordnung fallen, direkt mit den europäischen Vorschriften zu tun haben. Dies ist vor allem auf den grenzüberschreitenden Charakter digitaler Dienste zurückzuführen, bei denen unterschiedliche Vorschriften in verschiedenen Ländern keinen Sinn ergeben würden.

Wen schlägt er?

In der Durchführungsverordnung (EU) 2024/2690 sind die ausgewählten Kategorien digitaler Infrastrukturen und Anbieter digitaler Dienste genau festgelegt. In der Regel handelt es sich dabei um:

• Cloud-Computing (IaaS, SaaS, PaaS);
• Rechenzentren;
• Content Delivery Network (CDN);
• Managed Services und Managed Security Services (MSP und MSSP);
• Anbieter von Internet-Suchmaschinen und Online-Marktplätzen;
• Maßnahmen zum Aufbau von Vertrauen.

Interessante Szenarien aus der Praxis

Regulierungsvorschriften betreffen häufig Unternehmen, die keine IT-Dienstleistungen öffentlich anbieten. Holdingstrukturen sind ein typisches Beispiel hierfür:

• Interne IT-Abteilung innerhalb der Holding: Wenn Sie IT- oder Cloud-Dienstleistungen für andere Tochtergesellschaften der Gruppe erbringen, werden Sie rechtlich möglicherweise als kommerzieller externer Dienstleister betrachtet.
• Shared Services: Sind Sie für das Identitätsmanagement, die Infrastruktur oder die Sicherheit mehrerer Unternehmen innerhalb einer Unternehmensgruppe zuständig? Dann konzentrieren Sie sich darauf.
• Internes SOC oder Sicherheitsteam: Falls Ihr Sicherheitsteam als dedizierter Dienstleister für den Rest des Konzerns fungiert, fallen Sie möglicherweise unter die regulierten Sicherheitsdienste (MSSP).

Welche Verpflichtungen ergeben sich aus der Regulierung?

Die Verordnung führt keine völlig neuen Grundsätze ein, sondern erweitert und erläutert im Einzelnen, was in NIS2 lediglich allgemein erwähnt wird.

Dies sind vor allem:

• Cyber-Risikomanagement
• Sicherheitsrichtlinien und Governance
• Vorfallmanagement
• Gewährleistung der Geschäftskontinuität
• Lieferantensicherheit

Wie sieht es mit der Übereinstimmung mit der ZKB aus?

Nun kommt einer der wichtigsten praktischen Momente.

Wenn Sie eine digitale Dienstleistung erbringen:

• Sicherheitsmaßnahmen und die Meldung von Vorfällen unterliegen unmittelbar dieser EU-Verordnung;
• Nach Angaben der ZKB bestehen weiterhin weitere Verpflichtungen.

Was wäre, wenn Sie beides tun würden?

Wenn Sie eine Cloud (digitalen Dienst) betreiben und darüber hinaus einen weiteren Dienst anbieten, der unter die BCR fällt (z. B. kritische Infrastruktur), müssen Sie die Vorschriften miteinander kombinieren. Für den digitalen Teil gilt die europäische Verordnung, für den übrigen Teil gilt das tschechische Recht. Wenn beide Dienste dieselbe Infrastruktur nutzen, gilt stets die strengere oder spezifischere Anforderung.

Fristen und was jetzt zu erledigen ist

Da es sich um eine europäische Verordnung handelt, ist sie in Kraft getreten, unabhängig davon, ob wir das neue tschechische Gesetz zur Cybersicherheit bereits verabschiedet haben. Es ist kein tschechisches Gesetz in Vorbereitung.

In der Praxis bedeutet dies

Falls Sie vermuten, dass Sie zu dieser Gruppe gehören, sollte Ihr Aktionsplan für die nächsten Tage wie folgt aussehen:

• Rechtliche Prüfung: Stellen Sie fest, ob Ihre Dienstleistungen (einschließlich derjenigen innerhalb der Holdinggesellschaft) unter die Verordnung fallen;
• Lückenanalyse: Vergleich der bestehenden Maßnahmen mit den spezifischen Anforderungen der Verordnung und Ermittlung von Unstimmigkeiten;
• Umsetzung der Änderungen: Einrichtung von Prozessen zur Einhaltung sowohl der europäischen Verordnung als auch der ZKB-Vorschriften.

Zusammenfassung

Die Durchführungsverordnung 2024/2690 ist ein subtiler, aber entscheidender Rechtsakt. Sie gilt unmittelbar und ohne Ausnahmen und zielt kompromisslos auf IT- und digitale Dienste (einschließlich interner Dienste) ab.

Sind Sie sich nicht sicher, ob dies auf Sie zutrifft?

Sie wissen nicht, ob Sie unter diese Regelung fallen?

Sie sind sich nicht sicher, wie Sie das ZKB mit der europäischen Verordnung in Einklang bringen sollen?

Möchten Sie genau wissen, was Sie tun müssen?

Wir unterstützen Sie bei der Lückenanalyse und der Umsetzung von Maßnahmen.