Przepisy i regulacje dotyczące cyberbezpieczeństwa w Niemczech

Chociaż w Niemczech nie ma jednolitej ustawy o cyberbezpieczeństwie i ochronie danych, krajobraz bezpieczeństwa cybernetycznego jest utrzymywany razem przez połączenie federalnych i europejskich przepisów i regulacji. Jak w każdym kraju europejskim, ochrona danych w Niemczech jest regulowana i egzekwowana przez ścisłe RODO.

Najnowszą niemiecką próbą odświeżenia przepisów i regulacji dotyczących cyberbezpieczeństwa jest uchwalenie niemieckiej ustawy o bezpieczeństwie IT 2.0, która ma na celu zwiększenie bezpieczeństwa systemów informatycznych i harmonizację innych przepisów dotyczących bezpieczeństwa cybernetycznego w celu zwalczania stale rosnącego krajobrazu zagrożeń cyfrowych i wyzwań związanych z bezpieczeństwem cybernetycznym, takich jak rosnące ataki ransomware.

Jednak połączenie przepisów i regulacji dotyczących cyberbezpieczeństwa może być trudne do spełnienia przez firmy i organizacje. Co więcej, zdumiewająco wysokie kary za nieprzestrzeganie przepisów grożą organizacjom grzywnami w wysokości do 20 milionów euro lub 4% ich rocznego globalnego obrotu. Do tej pory Niemcy nałożyły największą w historii karę za cyberbezpieczeństwo w wysokości 35 milionów euro na szwedzki H&M za nielegalne przetwarzanie wrażliwych danych pracowników.

Niemieckie i europejskie firmy współpracujące z niemieckimi firmami i organizacjami muszą przestrzegać przepisów, które chronią dane ich obywateli i rozliczają organizacje z ich postawy w zakresie bezpieczeństwa, zwłaszcza w sektorach finansowym i opieki zdrowotnej.

W tym artykule omówiono najważniejsze przepisy i regulacje dotyczące cyberbezpieczeństwa w Niemczech i posłuży jako kompleksowy przewodnik dla wszystkich firm i organizacji na temat niemieckich przepisów i regulacji dotyczących cyberbezpieczeństwa, opłat i kar, a także ich wymagań dotyczących zgodności.

Oto, w jaki sposób UpGuard pomaga firmom i ich dostawcom osiągnąć > zgodności

Federalny Urząd ds. Bezpieczeństwa Informacji (BSI)

Założony w 1991 roku Federalny Urząd Bezpieczeństwa Informacji (BSI) (lub Bundesamt für Sicherheit in der Informationstechnik, niem.) jest federalnym urzędem ds. cyberbezpieczeństwa i federalnym organem odpowiedzialnym za nadzór nad bezpieczeństwem IT w kraju.

Jako poprzednik BND, BSI jest niemieckim Departamentem Kryptograficznym Wywiadu Zagranicznego, znanym z projektowania algorytmów kryptograficznych. Przypisuje mu się zainicjowanie pakietu kryptograficznego Gpg4win. Mówiąc najprościej, tym, czym NIST jest dla USA, tym BSI jest dla Niemiec.

BSI służy również jako źródło wytycznych i zaleceń dotyczących wsparcia technicznego dla procesów kryptograficznych dla firm z branży IT. Może również dostarczać informacji dla przedsiębiorstw, aby lepiej koordynować ich reagowanie na incydenty.

Ustawa o BSI (BSIG)

Ustawa BSI (Federalna ustawa o bezpieczeństwie technologii informatycznych) Federalnego Urzędu Bezpieczeństwa Informacji (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik; BSI-Gesetz lub BSIG) jest pierwszą podstawą prawną BSI, która weszła w życie w 2009 roku i nadal stanowi podstawę innych niemieckich aktów prawnych dotyczących cyberbezpieczeństwa, które obowiązują do dziś.

BSI zajmuje się prewencyjnym cyberbezpieczeństwem w zakresie niemieckiego prawa komputerowego i komunikacyjnego, infrastruktury krytycznej, takiej jak energetyka, opieka zdrowotna, żywność, IT i telekomunikacja oraz finanse. Inne obowiązki obejmują szpiegostwo, kontrwywiad i certyfikację produktów zabezpieczających.

Zgodnie z ustawą o BSI, do głównych obowiązków BSI należy:

Działanie jako główny podmiot w zakresie wszystkich jednolitych standardów bezpieczeństwa IT w Niemczech;
Pełnienie funkcji głównego organu doradczego dla rządu i innych organizacji w zakresie bezpieczeństwa IT;
Ochrona sieci federalnych Niemiec i wdrożenie prewencyjnego bezpieczeństwa cybernetycznego;
Egzekwowanie wykrywania cyberbezpieczeństwa i cyberobrony przed cyberatakami i złośliwym oprogramowaniem;
Pełnienie funkcji centrum raportowania bezpieczeństwa IT dla wszystkich operatorów infrastruktury krytycznej;

Działanie jako główny podmiot dla rozwoju kryptografii;

Certyfikuj, testuj i akredytuj potencjalne produkty IT w celu zwalczania wadliwych produktów zabezpieczających;

Informowanie społeczeństwa i podnoszenie świadomości w zakresie cyberbezpieczeństwa.

W lipcu 2015 r. ustawa o bezpieczeństwie informatycznym została uzupełniona o istotne zmiany w postaci ustawy o zwiększeniu bezpieczeństwa systemów informatycznych (niemiecka ustawa o bezpieczeństwie informatycznym 1.0). Zgodnie ze standardami IT-Grundschutzhandbuch, BSI działa jako główna jednostka testująca i certyfikująca bezpieczeństwo systemów informatycznych w Niemczech i obejmuje bezpieczeństwo komputerów i danych.

Niemiecka ustawa o bezpieczeństwie IT 2.0 (IT-Sicherheitsgesetz 2.0)

Najnowsza niemiecka ustawa o cyberbezpieczeństwie, Niemiecka ustawa o bezpieczeństwie IT 2.0, została uchwalona w kwietniu 2021 r. w celu zwiększenia bezpieczeństwa systemów informatycznych. Nowa ustawa zmieniła wiele przepisów dotyczących cyberbezpieczeństwa, takich jak BSIG, i służy zwalczaniu zagrożeń dla cyberbezpieczeństwa oraz podkreślaniu znaczenia ochrony technologii informatycznych i komunikacyjnych w Niemczech.

Jaki jest cel ustawy o bezpieczeństwie IT 2.0?

Przede wszystkim nowa ustawa wzmacnia BSI nowymi szerokimi prawami, uprawnieniami i odpowiedzialności w zakresie pokrywania ryzyk bezpieczeństwa informatycznego na poziomie krajowym, przeciwdziałania deficytom IT oraz zwiększania bezpieczeństwa informatycznego.

Nowa ustawa ma na celu:

Harmonizacja większości niemieckich przepisów dotyczących bezpieczeństwa cybernetycznego i ochrony danych;

Zwiększenie bezpieczeństwa systemów informatycznych;
Poprawa ochrony konsumentów.

W jaki sposób ustawa o bezpieczeństwie informatycznym 2.0 wpływa na BSI?

Zgodnie ze znowelizowaną ustawą o BSI, BSI jest obecnie uprawnione do:

Przeprowadzanie ocen, monitorowania i audytów ryzyka związanego z bezpieczeństwem w stosunku do administracji federalnej;
Ściślej angażować się we wszystkie projekty digitalizacyjne rządu federalnego;
zatwierdzanie branżowych norm bezpieczeństwa;

Gromadzenie, ocena, przetwarzanie i ocena informacji o lukach w zabezpieczeniach i danych protokołów w celu zwiększenia bezpieczeństwa IT i środków bezpieczeństwa cybernetycznego;
Określenie standardów bezpieczeństwa dla administracji federalnej;
Wykorzystaj skanowanie portów obiektów federalnych i honeypotów do symulacji cyberataków, aby ocenić siłę zabezpieczeń systemów IT.

Po 2022 r. pojawią się kolejne aktualizacje przepisów. Planuje się, że BSI będzie pełnić rolę centralnego organu ds. cyberbezpieczeństwa w Niemczech. W przyszłości BSI będzie również działać jako główny węzeł informacyjny, który będzie dostarczał osobom fizycznym, firmom i organizacjom najlepszych praktyk i zaleceń dotyczących bezpieczeństwa przed zagrożeniami IT.

BSIG/BSI-KritisV i operatorzy infrastruktury krytycznej

Niemiecka ustawa o bezpieczeństwie informatycznym 2.0 ma na celu "upieczenie dwóch pieczeni na jednym ogniu" i zreformowanie bezpieczeństwa informacji i cyfryzacji poprzez nowelizację BSIG/BSI-KritisV (rozporządzenie w sprawie wyznaczania infrastruktury krytycznej zgodnie z ustawą o Federalnym Urzędzie Bezpieczeństwa Informacji).

Poprzednio, pierwsza ustawa BSI dotyczyła tylko infrastruktury krytycznej. Od kwietnia 2016 r., wraz ze zwiększonym zakresem obowiązków, nowe rozporządzenie koncentruje się zarówno na infrastrukturze krytycznej, jak i na dostawcach usług cyfrowych.

Kogo dotyczy BSIG/BSI-KritisV?

BSIG i BSI-KritisV określają obowiązki w zakresie bezpieczeństwa w odniesieniu do:

Sektory infrastruktury krytycznej;
dostawcy usług cyfrowych, takich jak rynki internetowe, wyszukiwarki i usługi w chmurze;
Władze federalne.

Niemiecka ustawa o bezpieczeństwie IT 2.0 będzie regulować bezpieczeństwo IT i egzekwować ich wymagania od "operatorów infrastruktury krytycznej". ”

Sektory i usługi infrastruktury krytycznej, określone w Rozporządzeniu w sprawie identyfikacji infrastruktury krytycznej (KritisVO), obejmują energetykę, wodę, żywność, technologie informacyjne i telekomunikację, opiekę zdrowotną, finanse i ubezpieczenia, transport oraz utylizację odpadów komunalnych, znane również jako spółki KRITIS.

Wymagania BSIG/BSI-KritisV

Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) upoważnia wszystkie przedsiębiorstwa, organizacje o szczególnym znaczeniu publicznym (spółki specjalnego interesu) oraz podmioty zajmujące się infrastrukturą krytyczną do:

Przeprowadzaj audyty bezpieczeństwa raz na dwa lata;
zgłaszanie wszystkich incydentów związanych z bezpieczeństwem cybernetycznym i znaczących zakłóceń odpowiednim organom (BSI) - obowiązek powiadamiania w przypadku znaczącego incydentu cybernetycznego;
wyznaczenie punktu kontaktowego dla BSI w celu zapewnienia stałej dostępności;
Egzekwowanie od operatorów infrastruktury krytycznej wdrożenia systemów wykrywania włamań przeciwko cyberatakom;
Wdrożenie minimalnych wymagań w zakresie odpowiednich, najnowocześniejszych środków organizacyjnych i technicznych w zakresie zwalczania incydentów związanych z systemami informatycznymi i systemami informatycznymi. Podmioty gospodarcze muszą co dwa lata udowadniać, że wdrożone środki spełniają minimalne wymagania w audycie bezpieczeństwa.

Ponadto wszystkie organy federalne muszą zgłaszać incydenty cyberbezpieczeństwa do Federalnego Urzędu Bezpieczeństwa Informacji po wykryciu incydentu cyberbezpieczeństwa.

BSI jest zobowiązane do opracowania minimalnych standardów w celu wzmocnienia bezpieczeństwa informatycznego administracji federalnej. Federalne Ministerstwo Spraw Wewnętrznych może uznać te minimalne standardy za wiążące dla wszystkich organów, ponieważ wymagane są jedynie konsultacje (a nie porozumienie) z Radą ds. Informatyki.

Czy zgodność z BSIG/BSI-KritisV jest obowiązkowa?

Tak. Zgodność z BSIG/BSI-KritisV jest obowiązkowa dla wszystkich podmiotów, przedsiębiorstw i organizacji zaangażowanych w krytyczne struktury i organizacje o szczególnym znaczeniu. Dawniej rozporządzenie oferowało wszystkim zainteresowanym podmiotom okres przejściowy pomiędzy spełnieniem wymogów.

Od 2021 r., zgodnie z nową ustawą o bezpieczeństwie IT 2.0 i drugim rozporządzeniem KRITIS, firmy muszą spełnić wymagania już pierwszego dnia, gdy zostaną uznane za kwalifikujące się na mocy rozporządzenia.

Zgodnie z § 8a ustawy o BSI, wszyscy operatorzy infrastruktury krytycznej muszą często udowadniać BSI, że prawidłowo wdrożyli środki bezpieczeństwa, najlepiej co dwa lata. Za zgodą organów nadzorczych, BSI może nałożyć sankcje na podmiot, jeśli nie spełni on wymagań.

Jakie kary grożą za niezgodność BSIG/BSI-KritisV?

Firmom i organizacjom, które nie spełnią wymogów BSIG/BSI-KritisV, grożą grzywny w wysokości do 20 milionów euro nałożone przez BSI.

Wszystkie firmy muszą sprawdzić, czy podlegają zakresowi rozporządzenia BSIG/BSI-KRITISV oraz ustawy o bezpieczeństwie IT 2.0. Zaleca się, aby wszystkie organizacje zwróciły się o poradę prawną w celu ustalenia, czy kwalifikują się do zastosowania się do przepisów.

Federalna ustawa o ochronie danych osobowych (BDSG - Bundesdatenschutzgesetz)

Niemiecka Bundesdatenschutzgesetz (BDSG), czyli federalna ustawa o ochronie danych, dostosowuje niemieckie przepisy do RODO (ogólne rozporządzenie o ochronie danych) Unii Europejskiej w celu nadzorowania przepisów o ochronie danych.

Od dnia 30 czerwca 2017 r. BDSG wraz z federalnymi przepisami o ochronie danych osobowych obowiązującymi w poszczególnych krajach związkowych (Landesdatenschutzgesetz - LDSG) reguluje wszystkie operacje przetwarzania danych oraz niemieckie przepisy o ochronie danych w zakresie przetwarzania danych osobowych.

Podczas gdy Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) koncentruje się na nadzorowaniu przestrzegania przepisów dotyczących bezpieczeństwa IT, BDSG jest odpowiedzialne za nadzór nad przestrzeganiem przepisów o ochronie danych w 16 stanowych organach ochrony danych.

Jak BDSG współpracuje z RODO?

BDSG uzupełnia RODO (ogólne rozporządzenie o ochronie danych), które jest wymagane przez UE w odniesieniu do usług finansowych, które przetwarzają lub gromadzą dane osobowe od obywateli UE.

RODO określa wymagania i obowiązki w zakresie bezpieczeństwa cybernetycznego dotyczące prywatności danych, bezpieczeństwa cybernetycznego i zarządzania naruszeniami. RODO dotyczy wszystkich instytucji i organizacji, które mają do czynienia z danymi osobowymi i działają na terenie UE oraz firm, które prowadzą interesy z krajami UE.

RODO zachęca administratorów i podmioty przetwarzające do przestrzegania odpowiednich protokołów, wdrażania środków ochrony danych i zapewnienia, że dane są gromadzone za zgodą. Na przykład zgodnie z RODO niemieckie organy wymagają od wszystkich podmiotów, aby najpierw otrzymały wyraźną zgodę osoby, której dane dotyczą, na akceptację mechanizmów śledzenia i technologii reklamowych, takich jak pliki cookie.

Marketingowe wiadomości e-mail

UWG (Ustawa o zwalczaniu nieuczciwej konkurencji; Gesetz gegen den unlauteren Wettbewerb) podlega przepisom o BDSG i zobowiązuje podmioty do niewysyłania e-maili marketingowych do odbiorców bez ich zgody. Wyjątki mają zastosowanie, gdy:

Podmiot wykorzystał wiadomość e-mail do celów reklamy bezpośredniej;
Odbiorca nie zgłosił jeszcze sprzeciwu;
Odbiorca został poinformowany, gdy adres został pobrany w tym celu.

Inspektor ochrony danych

Zgodnie z RODO musi zostać wdrożony IOD (inspektor ochrony danych), który będzie nadzorował regularne testowanie, ocenę i ewaluację skuteczności podmiotu w zakresie przetwarzania danych. IOD służy również zapewnieniu zgodności z RODO.

Oprócz art. 37 RODO inspektor ochrony danych musi wyznaczyć inspektora ochrony danych, jeżeli organizacja:

Komercyjnego przetwarzania danych osobowych,
Zatrudnia co najmniej 20 osób, które zajmują się przetwarzaniem danych osobowych;
Zgodnie z art. 35 RODO podlegają one ocenie skutków dla ochrony danych.

Kogo dotyczy BDSG?

BDSG ma zastosowanie do wszystkich federalnych organów publicznych, władz publicznych niemieckich krajów związkowych oraz podmiotów prywatnych, które przetwarzają, gromadzą, wykorzystują i przechowują dane osobowe i inne dane, takie jak tajemnice przedsiębiorstwa.

Zgodnie z niemieckim prawem "dane osobowe" odnoszą się do wszystkich danych i informacji, które oferują "wgląd i fakty dotyczące możliwej do zidentyfikowania osoby fizycznej. Obejmuje to imiona i nazwiska, adresy, zawody, adresy IP, numery ubezpieczenia społecznego, dane finansowe, takie jak podatki, oraz dane osobowe, takie jak pochodzenie rasowe lub etniczne.

Dane regulowane przez BDSG obejmują również tajemnice handlowe, które kwalifikują się jako "dane podlegające odpowiednim środkom poufności w zakresie bezpieczeństwa cybernetycznego". "Wszystkie podmioty posiadające tajemnice przedsiębiorstwa są zobowiązane do ich ochrony poprzez wdrożenie odpowiednich środków poufności i zapewnienie, że ich tajemnice handlowe są zgodne z przepisami prawnymi GeschGehG.

Czy przestrzeganie BDSG i RODO jest obowiązkowe?

BDSG i RODO są obowiązkowe i mają zastosowanie do wszystkich firm prywatnych, federalnych podmiotów publicznych i administratorów danych, którzy przetwarzają dane wrażliwe i dane osobowe.

Każda firma spoza UE, ale wykorzystująca dane osobowe obywatela UE (na przykład pliki cookie do monitorowania zachowań konsumentów), podlega RODO i BDSG.

Jakie kary grożą za nieprzestrzeganie BDSG i RODO?

BDSG domaga się sankcji karnych dla firm lub osób fizycznych, które naruszają RODO (§ 42 BDSG). Naruszenia obejmują kradzież publicznie niedostępnych danych osobowych, pozyskanych w celu nieuczciwego wykorzystania lub przetworzonych bez upoważnienia.

W przypadku sankcji administracyjnych za nieprzestrzeganie przepisów BDSG nakłada grzywny na wszystkie podmioty nieprzestrzegające przepisów w wysokości do 50 000 EUR za naruszenie ich prawa, w tym na wszystkie podmioty, które nie przetwarzają danych w sposób prawidłowy (§ 43 BDSG). Dodatkowo mogą obowiązywać również inne administracyjne kary pieniężne wynikające z RODO.

Ponieważ BDSG jest wzorowany na RODO, może zmienić katalog kar i grzywien oraz zmodyfikować kary w zależności od wagi niezgodności.

W zależności od wykroczenia, grzywny wynikające z RODO mogą sięgać 20 milionów euro (około 23 milionów USD) lub 4% rocznego obrotu firmy w poprzednim roku obrotowym (w zależności od tego, która z tych kwot jest większa). Wynosi ona 10 mln euro w przypadku drobnych spraw lub do 2%.

Należy pamiętać, że nie ma możliwości nałożenia grzywny administracyjnej na firmy i przedsiębiorstwa, które nie przestrzegają § 9 BDSG. Dotyczy to podmiotów działających jako podmioty przetwarzające dane oraz "biorących udział w konkursie jako przedsiębiorstwa prawa publicznego". ”

Przeczytaj tutaj, aby dowiedzieć się więcej o karach i grzywnach > BDSG

Dyrektywa NIS2

Dyrektywa w sprawie bezpieczeństwa sieci i systemów informatycznych (dyrektywa w sprawie bezpieczeństwa sieci i informacji) jest kluczowym niesektorowym aktem prawnym dotyczącym usług finansowych, który wzmacnia współpracę między państwami członkowskimi UE w zakresie bezpieczeństwa cybernetycznego.

Jest on uzupełniony przez BSIG i BSI-KritisV. Niemiecki ustawodawca dostosował również niemiecką ustawę o bezpieczeństwie informatycznym 2.0 jako główny element implementacji dyrektywy w sprawie bezpieczeństwa sieci i informacji, która w przyszłości zostanie uzupełniona przez dyrektywę NIS2.

W grudniu 2020 r. Komisja Europejska zaproponowała dyrektywę NIS2, która jest rewizją dyrektywy NIS z 2016 r., która ma na celu wzmocnienie bezpieczeństwa cybernetycznego, poprawę cyfryzacji w całej Unii Europejskiej i zachęcenie organów rządowych, w szczególności w Niemczech, do nadzorowania procesów bezpieczeństwa cybernetycznego we współpracy z państwami członkowskimi.

Dowiedz się więcej o dyrektywie w sprawie bezpieczeństwa sieci i informacji >

Jakie są wymogi dyrektywy w sprawie bezpieczeństwa sieci i informacji?

Dyrektywa w sprawie bezpieczeństwa sieci i informacji ma zastosowanie do unijnych operatorów usług kluczowych i dostawców usług cyfrowych, do których należą sektor energetyczny, opieka zdrowotna, transport, internetowe platformy handlowe i inne usługi w ramach infrastruktury cyfrowej, z niektórymi dyrektywami. Muszą one:

Posiadać odpowiednie zdolności w zakresie zarządzania cyberzagrożeniami i ryzykiem w celu wdrożenia CSIRT (Cyber Security Incident Response Teams);
Środki ochrony danych w celu zapewnienia bezpieczeństwa rzeczy i inteligentnej infrastruktury;
Regularne przeprowadzanie ćwiczeń cybernetycznych;
posiadać zdolność do współpracy transgranicznej z innymi państwami w ramach sieci CSIRT;
Prowadzenie monitoringu bezpieczeństwa cybernetycznego.

Dyrektywa NIS zobowiązuje wszystkich niemieckich operatorów usług kluczowych (OES), do których należą również niemieckie przedsiębiorstwa KRITIS, w odniesieniu do firm i organizacji w UE, do:

Podejmują odpowiednie środki bezpieczeństwa w celu wzmocnienia swojej infrastruktury informatycznej;
zgłaszać incydenty związane z bezpieczeństwem cybernetycznym w odpowiednim czasie "bez zbędnej zwłoki";
Powiadom wszystkie organy i podmioty, których dotyczy naruszenie danych.

Czy przestrzeganie dyrektywy w sprawie bezpieczeństwa sieci i informacji jest obowiązkowe?

Tak. Wszystkie państwa członkowskie UE, organizacje i przedsiębiorstwa mogą zachować zgodność z dyrektywą NIS poprzez wdrożenie odpowiednich środków zarządzania ryzykiem i przestrzeganie protokołu zgłaszania incydentów.

Jakie kary grożą za nieprzestrzeganie dyrektywy NIS?

Wszystkie podmioty, które nie zastosują się do dyrektywy NIS, zostaną ukarane grzywnami w wysokości do 17 mln GBP lub 4% ich globalnego rocznego obrotu.

Ustawa o ochronie danych osobowych w telemediach

W grudniu 2021 r. ustawa o telemediach (Telemediengesetz - TMG) i ustawa o telekomunikacji (Telekommunikationsgesetz - TKG) zostały połączone w jeden akt prawny o nazwie Ustawa o ochronie danych i prywatności w sektorze usług telekomunikacyjnych i telemedialnych (Telekommunikations-Telemedien-Datenschutzgesetz - TTDSG).

Łącząc te akty, niemiecki ustawodawca wywiązał się z obowiązku transpozycji prawa europejskiego do prawa krajowego w odniesieniu do europejskiej dyrektywy w sprawie bezpieczeństwa sieci i informacji. Niemiecka ustawa o bezpieczeństwie IT 2.0 odgrywa również rolę w zmianie przepisów dotyczących bezpieczeństwa cybernetycznego w sieci komórkowej.

Jakie są wymagania TMG?

Towarowa Organizacja Przesyłowa nakłada na przedsiębiorstwa i dostawców usług cyfrowych obowiązki w zakresie bezpieczeństwa, aby:

Wdrażanie najnowocześniejszych środków organizacyjnych i technicznych zapobiegających nieuprawnionemu dostępowi do systemów i danych osobowych;
Zapobieganie awariom zarówno wewnętrznym, jak i zewnętrznym oraz incydentom cyberbezpieczeństwa.
Zaimplementuj środki techniczne, takie jak szyfrowanie.

Jakie są wymagania TKG?

Ustawa z dnia 22 czerwca 2004 r. o telekomunikacji (Telekommunikationsgesetz - TKG) nakłada wymogi w zakresie bezpieczeństwa cybernetycznego na operatorów sieci łączności elektronicznej i dostawców usług łączności elektronicznej. Obejmuje to dostawców i sprzedawców dostępu do internetu, takich jak Deutsche Telekom, ale nie obejmuje usług nadawczych.

Operatorzy publicznie dostępnych sieci telekomunikacyjnych są w szczególności zobowiązani do:

Wdrażanie środków technicznych i organizacyjnych w celu ochrony sieci przed zakłóceniami;
Opracuj koncepcję bezpieczeństwa poprzez wyznaczenie urzędnika ds. bezpieczeństwa i przedstaw ją BNetzA natychmiast po rozpoczęciu pracy sieci;
Niezwłocznie powiadomić BNetzA i BSI o wszelkich zakłóceniach w sieciach i usługach telekomunikacyjnych, które (mogą) prowadzić do poważnych naruszeń bezpieczeństwa.

Dostawcy publicznie dostępnych usług łączności elektronicznej są zobowiązani do:

Wdrażać środki techniczne i organizacyjne w celu ochrony poufności danych telekomunikacyjnych i innych danych osobowych, a także w celu ochrony podstawowej sieci przed zakłóceniami;
Opracuj koncepcję bezpieczeństwa poprzez wyznaczenie urzędnika ds. bezpieczeństwa i przedstaw ją BNetzA natychmiast po rozpoczęciu działania sieci;
niezwłocznie powiadomić BNetzA i BSI o wszelkich zakłóceniach w sieciach i usługach telekomunikacyjnych, które (mogą) prowadzić do poważnych naruszeń bezpieczeństwa;
niezwłocznie powiadomić BNetzA i Federalnego Komisarza ds. Ochrony Danych (oraz, w stosownych przypadkach, dodatkowo osoby, których dane dotyczą) o każdym naruszeniu ochrony danych osobowych;
Prowadzenie rejestru naruszeń ochrony danych osobowych;
Natychmiastowe informowanie klientów w przypadku awarii spowodowanych przez systemy przetwarzania danych klientów.

Czy przestrzeganie TTDSG jest obowiązkowe?

Tak. Zgodność z TTDSG jest obowiązkowa dla usług telekomunikacyjnych i usług telemedialnych.

Wszystkie przedsiębiorstwa i osoby fizyczne w Niemczech, które dostarczają towary i świadczą usługi w jakiejkolwiek formie, będą objęte zakresem TTDSG, co praktycznie oznacza prawie każdą działalność gospodarczą w Niemczech. Ogromny zakres może stanowić problem z egzekwowaniem przepisów, dlatego firmy muszą osobno sprawdzić, w jaki sposób są prawnie związane.

Zgodnie z niedawną rewizją TKG z grudnia 2021 r., TTDSG ma również zastosowanie do dostawców tzw. usług over-the-top, takich jak komunikatory internetowe czy poczta internetowa. Usługi telemedialne obejmują wszystkie strony internetowe i usługi online, takie jak platformy wideo na żądanie i platformy poczty elektronicznej.

Jakie kary grożą za nieprzestrzeganie TTDSG?

BNetzA (Federalna Agencja ds. Sieci) jest odpowiedzialna za nadzór i zapewnienie ochrony danych w usługach telekomunikacyjnych TTDSG.

Wszelkie naruszenia tajemnicy telekomunikacyjnej i cyberprzestępczość podlegają StGB (niemieckiemu kodeksowi karnemu) i podlegają karze pozbawienia wolności.

Każda firma, która naruszy wymagania TTDSG, może zostać ukarana grzywną w wysokości do 300 000 euro.

Naruszenie wymogów poufności komunikacji jest przestępstwem i podlega karze zarówno na mocy przepisów prawa, jak i prawa karnego karą do dwóch lat pozbawienia wolności lub wysokimi grzywnami, w zależności od wagi naruszenia.

Dowiedz się więcej o karach i grzywnach związanych z wymogami TTDSG >

Inne organizacje zajmujące się cyberbezpieczeństwem do zgłaszania incydentów cyberbezpieczeństwa

BSI posiada centra kryzysowe IT zajmujące się analizą, oceną, monitorowaniem i raportowaniem incydentów związanych z cyberbezpieczeństwem oraz działa jako jednostka wsparcia reagowania na incydenty, pomagając firmom w należytej staranności w zakresie zarządzania incydentami cybernetycznymi.

Inne organizacje zajmujące się cyberbezpieczeństwem to m.in. Sojusz na rzecz Cyberbezpieczeństwa (Allianz für Cybersicherheit), platforma współpracy, która pośredniczy w wymianie informacji między niemieckimi sektorami naukowo-badawczymi a BSI.

Niemcy mają swój własny CERT (Computer Emergency Response Team). CERT-Bund dostarcza osobom fizycznym, firmom i organizacjom informacji i wytycznych dotyczących bezpieczeństwa cybernetycznego. Do zadań CERT-Bund należy:

Informuje o możliwych lukach w zabezpieczeniach produktów bezpieczeństwa cybernetycznego oraz innych produktów sprzętowych lub programowych;
Tworzenie i publikowanie rekomendacji w zakresie cyberbezpieczeństwa dla prewencyjnych środków organizacyjnych;

Pomaga agencjom publicznym lepiej reagować na incydenty związane z bezpieczeństwem IT;
Zaleca zaktualizowane środki zaradcze dla firm i organizacji.