Kompetenz Cybersecurity

Cybersecurity 

Unternehmen und Einrichtungen sind immer mehr von digitalen Prozessen und ICT abhängig. Und seit der Coronazeit hat die Bedeutung des digitalisierten Arbeitens (im Homeoffice) noch zugenommen. Die Gesellschaft kann nicht mehr ohne digitale Lösungen funktionieren, aber diese Abhängigkeit macht Organisationen auch anfälliger. Die Gefahr von Datenlecks wird größer und Cyber-Kriminelle nutzen ihre Chance, wo dies möglich ist. Die Folgen für die betroffenen Organisationen sind nicht zu unterschätzen: Imageschaden, Betriebsstillstand, Haftung. Indem rechtzeitig untersucht wird, welche Cyber-Risiken für Ihre Organisationen bestehen, adäquate Sicherheitsmaßnahmen ergriffen werden und Notfallpläne für den Fall, dass doch etwas schiefgeht, erstellt werden, erhöhen Sie die Widerstandsfähigkeit in Bezug auf Cybercrime.

Definition Cybersecurity

Cybersecurity sind alle Sicherungsmaßnahmen, die ein Unternehmen oder eine Organisation ergreift, um Schäden durch Störung, Ausfall oder Missbrauch eines Informationssystems oder Computers zu vermeiden.

Häufig vorkommende Cybersecurity-Probleme

Betriebsausfälle und/oder Datenlecks durch:

• Ausfall von Systemen beispielsweise durch Fehler oder das nicht rechtzeitige Durchführen von System-Updates.
• indirekte Angriffe beispielsweise durch Phishing, Social Engineering, Virusse, Malware.
• direkte Angriffe wie ein Hack, Ddos-Angriff, Betriebsspionage.
• unseriöse Mitarbeiter („insider threats“), die Befugnisse, über die sie für die Ausführung ihrer Arbeiten verfügen, missbrauchen.
• Anfälligkeiten im System beispielsweise aufgrund veralteter Systeme („legacy systems“), nicht rechtzeitiges Updaten und Patchen.
  
  

Cybersecurity-Gesetzgebung und -Vorschriften

Gesetzgebung

Jedes Unternehmen, das Personendaten verarbeitet, muss die Anforderungen aus der Europäischen Datenschutz-Grundverordnung (DSGVO) erfüllen. In dieses Gesetz wurde unter anderem aufgenommen, dass Unternehmen zum Schutz von Personendaten „adäquate technische und organisatorische Maßnahmen“ ergreifen müssen. Wenn von einem Datenleck die Rede ist, muss das Unternehmen dies in den meisten Fällen der Datenschutzaufsichtsbehörde melden. Verstöße gegen die DSGVO werden mit erheblichen Bußgeldern geahndet.

Für Unternehmen und Organisationen in der sogenannten systemrelevanten Infrastruktur ist zudem das niederländische Gesetz über die Netz- und Informationssicherheit (Wbni) verbindlich. Für diese Unternehmen und Organisationen gilt eine gesetzliche Sorgfaltspflicht, um Maßnahmen zu ergreifen, um Sicherheitsrisiken für die ICT-Systeme so viel wie möglich zu verringern. Kommt es dennoch zu einem Cyber-Zwischenfall, dann müssen sie dies melden. Systemrelevante Anbieter und Anbieter von wesentlichen Diensten tun dies beim National Cyber Security Centrum (NCSC). Anbieter von wesentlichen Diensten müssen dies auch bei branchenbezogenen Aufsichtsorganen und digitalen Dienstleistern beim CSIRT (Computer Security Incident Response Team) melden. Auch Verstöße gegen dieses Gesetz werden mit erheblichen Bußgeldern geahndet.

Unabhängig von diesen Gesetzen hat jedes Unternehmen, das ICT und Computersysteme nutzt, eine (ungeschriebene) Sorgfaltspflicht in Bezug auf eine gute Cybersecurity. Unternehmen und Organisationen sind oftmals Teil einer digitalen Kette mit anderen Unternehmen und manchmal auch Konsumenten darin. Jedes Unternehmen ist für die genutzte ICT selbst verantwortlich. Aufgrund der Kettenabhängigkeit sind gute, deutliche Vereinbarungen und Risikoeinschätzungen überaus wichtig.

Branchenspezifische Vorschriften

Gesetze und Vorschriften können sehr branchenbezogen sein. Eine gute Cybersecurity hängt stark von der Art des Unternehmens oder der Organisation, dem Ausmaß, in dem (besondere) Personendaten verarbeitet werden, und dem Ausmaß der technologischen Abhängigkeit ab. Ein Krankenhaus arbeitet mit großen Mengen an sensiblen Daten und ist stark von Technologie abhängig. Dann sind die Erwägungen bezüglich der Cybersecurity-Strategie anders als beispielsweise bei einem Produktionsunternehmen, bei dem die Sensibilität der Personendaten eine weniger wichtige Rolle spielt. Staatliche Behörden oder Wissensinstitute müssen ihrerseits auf eine andere Weise mit der Cybersecurity-Strategie umgehen.

Fachübergreifender Ansatz

Cybersecurity ist ein Thema, dem auf Führungsebene anhand einer fachübergreifenden Ansatzweise Beachtung geschenkt werden sollte: Geschäftsführer müssen sich mit dem Management, IT-Fachleuten und Vertretern der Rechts-, Kommunikations- und kommerziellen Abteilung an einen Tisch setzen.

Für alle Organisationen mit digitalen Prozessen in allen erdenklichen Branchen bestehen Cyber-Risiken. Das Cybersecurity-Team ist in allen diesen Branchen aktiv:

• IT- und Internetfirmen
• Universitäten und Bildungseinrichtungen
• Versicherungen und Versicherungsmakler
• Staatliche Behörden
• Einrichtungen des Gesundheitswesens
• Wirtschaft
  
  

Fachübergreifendes Team

Es ist daher wichtig, die Cybersecurity aus allen unterschiedlichen Perspektiven zu betrachten. Daher wurde das Cybersecurity-Team auch fachübergreifend aus Experten aus den diversen Fachgebieten von Dirkzwager zusammengestellt: IE/IT, Haftpflicht, Schäden und Versicherung sowie Gesundheitswesen. Indem sämtliches Fachwissen sowohl auf juristischer Ebene als auch aus den spezifischen Branchen gebündelt wird, hat das Cybersecurity-Team eine vollständige Übersicht.

Unsere Dienste

Das Cybersecurity-Team kann Ihre Organisation beim gesamten Prozess von der Prävention bis hin zur juristischen Abwicklung betreuen.

• Vertragsmanagement: Welche Vereinbarungen haben Sie getroffen und wie sind die (Cyber-)Risiken verteilt?
• Risikomanagement: Wie implementieren Sie die Cybersecurity in das Risikomanagement der Organisation?
• Incident Response: Übernahme des vollständigen Prozessmanagements, sobald es zu einem Zwischenfall (Ransomware, Datenleck) kommt. Notfalls tun wir dies in Zusammenarbeit mit externen Fachleuten wie kriminaltechnischen IT-Experten und Kommunikationsberatern. Daneben betreuen wir Sie bei speziellen juristischen Angelegenheiten wie dem Melden von Datenlecks und schwerwiegenden Cyber-Zwischenfällen bei der Aufsichtsbehörde. Oder beim Ermitteln der juristischen Position gegenüber Dritten, beispielsweise Vertragsparteien.
• Corporate Compliance: Erfüllt die Organisation die Vorschriften? Cybersecurity ist ein Bestandteil der Corporate Governance und hat Berührungspunkte mit der Datenschutzgesetzgebung. Eine Nichtbefolgung der Regeln kann weitreichende Folgen haben.
• Nachbetreuung: Rechtsbeistand bei der Abwicklung von Schadenersatzforderungen und Konflikten. Wir bieten Versicherungen Unterstützung bei Deckungskonflikten. Bei Schadenersatzforderungen wegen Verstößen gegen die Datenschutz-Grundverordnung stehen wir der belangten Partei bei.
  
  

Das Cybersecurity-Team

Das Cybersecurity-Team kombiniert eine umfangreiche Erfahrung in Bezug auf Technologien und IT-Systeme mit eingehenden Kenntnissen der verschiedenen Branchen wie zum Beispiel Gesundheitswesen und Versicherungen. 

Das team besteht aus: Ernst-Jan van de Pas, Mark Jansen, Marloes Roetert Steenbruggen-Hulshof, Jeroen Lubbers, Dafne de Boer und Sven Wakker.