EBA-Leitlinien “ICT and security risk management” vs. EBA GL 2017/17

Die EBA-Leitlinien zu den „Sicherheitsmaßnahmen bezüglich der operationellen und sicherheitsrelevanten Risiken von Zahlungsdiensten gemäß der Richtlinie (EU) 2015/2366 (PSD2)“ werden in die „Guidelines on ICT and security risk management“ integriert (ICT = information and communication technology; zu deutsch: IKT).

Ziel der Leitlinien ist es, dass Finanzinstitute sich mit den immer relevanter werdenden IKT-Risiken inklusive der Sicherheitsrisiken auseinandersetzen und diese ordnungsgemäß managen. Darüber hinaus dienen sie einem Verständnis darüber, welche Erwartung an die Überwachung dieser Risiken gestellt wird.

Während die ursprüngliche Version EBA GL 2017/17 den Fokus auf Zahlungsdienste gelegt hatte, adressieren die neuen Leitlinien weitere Aktivitäten von Instituten. Auch wenn sich derzeit die neuen Leitlinien noch in der Konsultationsphase befinden, so zeichnet sich im Vergleich folgendes Bild ab:

Die „Datenpanne“ und was ist zu tun…?

Nach Informationen der Landesdatenschutzbehörden nahm die Zahl der gemeldeten Datenschutzverstöße in der Zeit ab 25.05.2018 enorm zu – aber nur ein Teil dieser gemeldeten Verstöße sind auch tatsächlich Datenschutzverstöße im Sinne der DSGVO.
Nach Auskunft der Landesbeauftragten für den Datenschutz Niedersachsen wurden 2017 insgesamt 20 Datenschutzverstöße gemeldet. In der Zeit vom 25.05.2018 bis 07.08.2018 stieg diese Zahl gewaltig an. Es gingen in diesem kurzen Zeitraum bereits 126 Meldungen bei der Datenschutzbehörde ein.
Dieser Artikel beschäftigt sich vor diesem Hintergrund mit der Frage, was eigentlich Datenpannen sind und wie ein Unternehmen darauf reagieren sollte.

SSAE 18 ersetzt SSAE 16

Die Prüfung des internen Kontrollsystems bei Dienstleistern nach dem Standard SSAE 18

Hintergrund

Das Outsourcing von Geschäftsprozessen oder Teilen davon ist seit vielen Jahren ein normaler Vorgang und ermöglicht Unternehmen, sich auf Kernaufgaben und -kompetenzen zu konzentrieren.

Unabhängig davon, welche konkrete Leistung in einer Outsourcing-Lösung realisiert wird, ist meistens ein mittelbarer oder unmittelbarer Einfluss auf das Rechnungswesen und den Jahresabschluss des Auftraggebers vorhanden. Grundsätzlich gilt, dass die Ordnungsmäßigkeit des Rechnungswesens nicht ausschließlich anhand von Verarbeitungsergebnissen zu beurteilen ist, sondern in hohem Maß an die Funktionsfähigkeit des internen Kontrollsystems geknüpft wird. Eine grobe Abhandlung findet sich auch hier.

PSD2 Smart Services – Dienstleistungen zur Umsetzung der Anforderungen für Startups, Kontoinformationsdienstleister, Zahlungsauslösedienstleister und weitere Finanzdienstleistungsinstitute

Sie möchten sich auf Ihr Kerngeschäft konzentrieren und verfügen nicht über entsprechendes PSD2-Wissen und Ressourcen zur Umsetzung der Anforderungen?

Sie würden gerne Themen wie Governance, Risikomanagement, Outsourcing/Dienstleistersteuerung und -überwachung oder Interne Revision mit Hilfe von Dienstleistern abdecken?

Sie suchen Antworten zu Fragen rund um das Thema PSD2, möchten aber nicht direkt große Beratungsprojekte einkaufen?

PSD2_SmartS_B1

Die PSD2 (Payment Services Directive, EU 2015/2366) hat ohne Zweifel die Welt der Zahlungsdienste revolutioniert. Immer mehr Startups und weitere Finanzdienstleistungsinstitute wollen sich z.B. als Kontoinformationsdienstleister oder Zahlungsauslösedienstleister registrieren lassen. Konzentriert auf das Kerngeschäft unterschätzt man die Herausforderung bezüglich der hohen Anforderungen an Governance, Sicherheit, Überwachung, Reports usw., die damit einhergehen. Dabei steht die Frage im Raum, wie eine Umsetzung aus eigener Kraft (i.d.R. ohne entsprechende Ressourcen) bzw. im laufenden Betrieb erfolgen soll. In der jungen Unternehmensphase auf kostenintensive Projekte durch Beratungshäuser zu setzen, ist oftmals nicht die bevorzugte Lösung.

Update: Facebook-Fanpage-Betreiber haften für potentielle Datenschutzverstöße durch Facebook

Ein Beitrag unserer Kooperationspartnerin Inge Seher. Inge Seher ist Fachanwältin für gewerblichen Rechtsschutz bei Kramer und Partner Rechtsanwälte (http://www.anwaltskanzlei-online.de/) und zertifizierte Datenschutzbeauftragte (TÜV).

Kurz nach Veröffentlichung des Urteils des EuGH vom 5.06.2018 (wir berichteten) zur gemeinsamen Verantwortlichkeit von Facebook-Seitenbetreibern und Facebook hat sich die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) zu Wort gemeldet und eine Entschließung veröffentlicht (pdf).

EuGH Urteil: Facebook-Seiten-Betreiber haften für potentielle Datenverstöße durch Facebook

Ein Beitrag unserer Kooperationspartnerin Inge Seher. Inge Seher ist Fachanwältin für gewerblichen Rechtsschutz bei Kramer und Partner Rechtsanwälte (http://www.anwaltskanzlei-online.de/) und zertifizierte Datenschutzbeauftragte (TÜV).

Der Europäische Gerichtshof (EuGH) hat in dieser Woche für großes Aufsehen gesorgt.

PSD2 – Herausforderungen für die Interne Revision und Hinweise zur Prüfungsplanung

Die Umsetzung der Anforderungen aus der PSD2 prägt derzeit die Projektlandschaft der Zahlungsdienstleister. Während das Zivilrecht (größtenteils) Anfang 2018 zur Anwendung kommt, haben sich die Institute aufgrund von Fristverschiebungen und der Abhängigkeit von EBA-Veröffentlichungen etwas Zeit in der Umsetzung von einzelnen Teilen des Aufsichtsrechts verschafft.

Dennoch: Obwohl einige Zieltermine für umfangreiche Themen in der Zukunft liegen, empfiehlt es sich, sich für die Interne Revision bereits jetzt mit der Thematik zu befassen, die Änderungen im Zahlungsverkehr einzuplanen und ggf. mit Prüfungen zu starten oder in Form von Projektberatung zu unterstützen. Z.B. kann die Umsetzung der MaSI (Mindestanforderungen an die Sicherheit von Internetzahlungen) geprüft werden, da diese sich als Vorbote der PSD2 darin in Teilen wiederfindet. Zeitnah kann auch die Umsetzung des (PSD2-)Meldeprozesses an die Aufsicht oder die Umsetzung des Zivilrechts (u.a. Durchführung von Zahlungen, Entgelte, Haftungsfragen) überprüft werden, da die Änderungen Anpassungen in den Prozessen erfordern (vgl. z.B. BGB §675y Absatz 3-5 – verspätete Ausführung und Nachforschung bei Angabe falscher IBAN).

Bestellung eines Datenschutzbeauftragten nach EU-DSGVO – was ändert sich?

Die neue Datenschutzgrundverordnung, die am 25.05.2018 in Kraft tritt, bringt auch Änderungen in Bezug auf die Bestellung des Datenschutzbeauftragten mit sich. Hier gelten nicht nur die EU-DSGVO, sondern zusätzlich das sogenannte „BDSG-NEU“ und die sogenannten „Erwägungsgründe“. Diese Erwägungsgründe dienen als Hilfestellung zur Interpretation der offiziellen Rechtnormen.

Eine wesentliche Neuerung ist die Pflicht, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.

Nach aktuellem Gesetz muss ein Datenschutzbeauftragter schriftlich bestellt werden (§ 4f BDSG). Die Pflicht der schriftlichen Ernennung erlischt jedoch mit der EU-DSGVO und dem BDSG-NEU. Ab dem 25.05.2018 müssen lediglich die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde gemeldet werden, womit die Benennung offiziell vollzogen ist (Artikel 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG-NEU). Der Formzwang „schriftlich“ entfällt und ein Datenschutzbeauftragter kann somit formfrei ernannt werden; die Meldepflicht zur Übermittlung der Kontaktdaten an die Aufsichtsbehörde muss allerdings zwingend erfüllt sein.

Synopse: EU-DSGVO, BDSG (alt) und BDSG (neu) gegenübergestellt

Screenshot der SynopseKomplexe Welt: Wir hatten (und haben noch) ein Bundesdatenschutzgesetz (BDSG), das bis Mai 2018 vollständig in Kraft ist. Jetzt kommt aber die EU-Datenschutzgrundverordnung (EU-DSGVO), die für uns unmittelbar Gesetzescharakter hat und insofern nicht in nationales Recht umzusetzen ist.

Die EU-Verordnung läßt aber Spielraum (und Notwendigkeiten) für nationale Anpassungen. Diese werden bei uns im BDSG (neu) umgesetzt. Wer sich also mit den neuen Vorschriften auseinandersetzen möchte, kommt nicht umhin, die EU-Verordnung in Kombination mit dem BDSG (neu) zu lesen. Als Interpretationshilfe sind der EU-DSGVO noch die ausführlichen Erwägungsgründe mitgegeben, die sehr hilfreich sind.

Um dem Leser hier eine Hilfestellung zu bieten und zu erkennen, welche Regelungen wie miteinander korrespondieren, haben wir eine kleine Synopse erstellt, die versucht, die Zusammenhänge darzustellen. Die einzelnen Themen sind über Links mit den Originaltexten verbunden und können so leicht eingesehen werden.

Seiten