Cybersicherheit (Cyber Security) bezeichnet die Gesamtheit aller Technologien, Prozesse, organisatorischen Maßnahmen und personellen Praktiken, die darauf ausgelegt sind, Netzwerke, Systeme, Anwendungen und vor allem die darin verarbeiteten Daten vor unbefugtem Zugriff, Spionage, Störung, Manipulation oder Zerstörung etc. zu schützen.
In einem regulierten Finanzdienstleistungsumfeld ist Cybersicherheit keine rein technische Disziplin, sondern eine Compliance-Verpflichtung, die an der Schnittstelle zwischen IT-Betrieb, Risikomanagement und rechtlichen Anforderungen angesiedelt ist.
Cybersicherheit ist ein Teil der IT-Sicherheit sowie des übergeordneten Begriffs Datensicherheit.
Cybersicherheit ist als zentrale Säule des umfassenderen Konzepts der Datensicherheit zu verstehen. Während Datensicherheit alle Maßnahmen zum Schutz von Daten umfasst, einschließlich physischer Sicherheit (abgeschlossene Serverräume, Zugangskarten), organisatorischer Kontrollen (Need-to-know-Richtlinien, Funktionstrennung) und verfahrenstechnischer Absicherungen (Aufbewahrungs- und Löschfristen), adressiert Cybersicherheit spezifisch die digitale Angriffsfläche: Netzwerke, Endgeräte, Cloud-Infrastruktur, Anwendungen und die Daten, die durch diese fließen.
In der Praxis bedeutet dies, dass Cybersicherheits-Programme das technische Rückgrat der Datensicherheitsstrategie eines Unternehmens bilden: Verschlüsselung von Daten (ruhend und übertragen), Identitäts- und Zugriffsmanagement (IAM), Multi-Faktor-Authentifizierung, Netzwerksegmentierung, Endpoint Detection and Response (EDR), Schwachstellenmanagement sowie kontinuierliche Überwachung (SIEM/SOC).
Ohne robuste Cybersicherheits-Kontrollen bleibt selbst die am besten durchdachte organisatorische Datensicherheitsrichtlinie theoretisch; die technische Ebene ist es, die tatsächlich die Vertraulichkeit, Integrität und Verfügbarkeit (die „CIA-Triade“) der Daten im täglichen Betrieb sicherstellt.
Während Datensicherheit ein allgemeines Risikomanagementkonzept darstellt, ist der Datenschutz ein rechtlicher Rahmen, allen voran durch die EU-Datenschutz-Grundverordnung (DSGVO) und zusätzlich noch durch das entsprechende nationale Datenschutzgesetz (DSG). Cybersicherheit ist der operative Mechanismus, durch den Datenschutzverpflichtungen tatsächlich erfüllt werden.
Artikel 32 DSGVO verlangt explizit von Verantwortlichen und Auftragsverarbeitern die Implementierung „geeigneter technischer und organisatorischer Maßnahmen“ (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dies bezieht sich bspw. auf Pseudonymisierung, Verschlüsselung, Resilienz von Verarbeitungssystemen sowie die Fähigkeit, die Verfügbarkeit nach einem Vorfall wiederherzustellen. Diese Bestimmung der DSGVO macht Cybersicherheit effektiv zu einer kodifizierten gesetzlichen Anforderung und nicht nur zu einer bewährten Praxis. Ein Unternehmen hat im Rahmen der DSGVO bspw. Aspekte wie Verschlüsselungen von Datenbanken, Batching von Systemen sowie Überwachung etc. sicherzustellen.
Die deutlichste Verbindung zwischen Cybersicherheits-Versagen und Datenschutzrecht ergibt sich im Falle einer Datenpanne (Datenschutzverletzung), also jedes Vorfalls, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum Zugriff auf personenbezogene Daten führt.
Gemäß Artikel 33 DSGVO muss eine Datenpanne der zuständigen Aufsichtsbehörde (für in Liechtenstein ansässige Unternehmen ist die zuständige Aufsichtsbehörde die Datenschutzstelle (DSS)) unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht innerhalb von 72 Stunden, muss der Verantwortliche Gründe für die Verzögerung angeben (siehe auch separates Formular auf Website der Datenschutzstelle).
Diese 72-Stunden-Frist (gem. Art. 33 DSGVO) setzt die Incident-Response-Fähigkeit eines Unternehmens (Reaktion auf Sicherheitsvorfälle) unter direkten Druck: Erkennung von Pannen, forensische Triage und Folgenabschätzung müssen schnell genug erfolgen, um die gesetzliche Frist einzuhalten.
Die Meldung muss die Art der Verletzung beschreiben, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu deren Behebung (Art. 33 Abs. 3 DSGVO).
Umgehende Information an betroffene Personen (aufgrund der Datenschutzverletzung)
Wenn die Verletzung voraussichtlich zu einem hohen Risiko für Einzelpersonen führt, erfordert Artikel 34 DSGVO zusätzlich die direkte Benachrichtigung der betroffenen Personen.
Für Unternehmen im Anwendungsbereich des Digital Operational Resilience Act (DORA), einer EU-Verordnung, die im gesamten EWR einschließlich Liechtenstein unmittelbar gilt und Banken, Versicherer, Vermögensverwaltungsgesellschaften, Wertpapierfirmen, Crypto Asset Service Provider (CASPs), Zahlungsinstitute und andere Finanzunternehmen abdeckt, lösen Cybersicherheits-Vorfälle einen separaten und zusätzlichen Meldeweg neben der DSGVO-Meldepflicht aus (an die Finanzmarktaufsicht Liechtenstein/FMA, siehe hierzu später).
DORA verlangt von Finanzunternehmen, IKT-bezogene Vorfälle nach definierten Schweregradkriterien zu klassifizieren und schwerwiegende IKT-bezogene Vorfälle ihrer zuständigen Behörde zu melden. In Liechtenstein ist dies die Finanzmarktaufsicht (FMA), siehe betreffend Meldewesen separate Unter-Page der FMA.
Unternehmen unter DORA sind grds. verpflichtet, schwerwiegende IKT-Vorfall innerhalb von 7 Tagen zu melden. Das DORA-Meldesystem folgt einem phasenweisen Zeitplan: eine Erstmeldung, ein Zwischenbericht, sobald neue Informationen vorliegen, und ein Abschlussbericht, sobald die Ursachenanalyse abgeschlossen ist. Dies unterscheidet sich von einer etwaigen DSGVO-Meldung an die DSS (falls personenbezogene Daten betroffen waren) und läuft parallel dazu. Das bedeutet, dass ein einziger Cyber-Vorfall bei einem DORA-regulierten Unternehmen zwei unabhängige regulatorische Meldeströme mit unterschiedlichen Zeitplänen, Schwellenwerten und inhaltlichen Anforderungen auslösen kann.
Für Compliance- und IT-Teams bedeutet diese vielschichtige Struktur, dass die Cybersicherheits-Governance Kontrollen nicht nur auf technische Rahmenwerke (ISO/IEC 27001, NIST CSF 2.0) abbilden muss, sondern auch auf die spezifischen rechtlichen Auslöser gemäß DSGVO/DSG sowie, sofern zutreffend, DORA. Dazu gehört die Pflege einer Vorfall-Klassifizierungsmatrix, eines 72-Stunden-Runbooks zur Bewertung von Datenpannen und klarer interner Eskalationswege sowohl zur DSS als auch zur FMA.
Für Compliance- und IT-Teams bedeutet diese vielschichtige Struktur, dass die Cybersicherheits-Governance Kontrollen nicht nur auf technische Rahmenwerke (ISO/IEC 27001, NIST CSF 2.0) abbilden muss, sondern auch auf die spezifischen rechtlichen Auslöser gemäß DSGVO/DSG sowie, sofern zutreffend, DORA. Dazu gehört die Pflege einer Vorfall-Klassifizierungsmatrix, eines 72-Stunden-Runbooks zur Bewertung von Datenpannen und klarer interner Eskalationswege sowohl zur DSS als auch zur FMA.
Wir ermöglichen einen effizienten und unkomplizierten Zugang zu Compliance-spezifischem Know-how unter anderem:
