Schlagwortarchiv für: NIS2

Hinweisgeberschutzgesetz: am 02.07.2023 in Kraft getreten

Was es jetzt zu beachten gibt

von Karin Selzer, Consultant Compliance und Datenschutz der SAVISCON GmbH

Im März 2023 hat unser Geschäftsführer, Ingo Simon, bereits über das Hinweisgeberschutzgesetz in einem Blog-Beitrag berichtet. Dort hat er erklärt, was das Hinweisgeberschutzgesetz (HinSchG) überhaupt ist, wen es betrifft und was die wichtigsten Anforderungen sein werden.

Nun ist das Hinweisgeberschutzgesetz zum 02.07.2023 in Kraft getreten und wir wollen Ihnen heute einen Überblick geben, was jetzt für Sie zu beachten ist und wie einfach Sie die Einrichtung eines internen Hinweisgebersystems mit unserer Software, dem GRC-COCKPIT umsetzen können.

Aber blicken wir nochmal kurz zurück:

Das HinSchG ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie von 2019. Bereits im November 2020 wurde der erste Referentenentwurf des HinSchG durch das Bundesministerium der Justiz vorgelegt, der allerdings scheiterte. Dann passierte erstmal lange nichts, denn die Bundesregierung ließ die Frist zur Umsetzung eines deutschen Hinweisgeberschutzgesetzes verstreichen. Es folgte die Einleitung eines Vertragsverletzungsverfahrens der EU-Kommission gegen die Bundesrepublik Deutschland. Im April 2022 wurde ein zweiter Referentenentwurf vorgelegt und letztlich am 27. Juli 2022 ein Regierungsentwurf beschlossen und veröffentlicht. Doch damit war man noch nicht am Ziel, denn im Februar 2023 wurde dieser Entwurf durch den Bundesrat abgelehnt. In einem Vermittlungsausschuss haben sich Bund und Länder dann auf einen Kompromiss geeinigt und der Bundesrat hat schließlich im Mai 2023 dem neuen Gesetz zugestimmt. Nach der Veröffentlichung im Bundesgesetzblatt (02.06.2023) ist das HinSchG am 02.07.2023 nun endlich in Kraft getreten.

Was bedeutet das jetzt konkret?

Das HinSchG verpflichtet Unternehmen mit mehr als 50 Mitarbeitenden, ein internes Hinweisgebersystem einzurichten. Unternehmen ab 250 Mitarbeitende werden sofort ab Inkrafttreten des Gesetzes in die Pflicht genommen (also seit 02.07.2023), kleinere Unternehmen mit einer Größe von 50 bis 249 Beschäftigten wird eine Übergangsfrist bis zum 17.12.2023 gewährt.

Hinweisgeber müssen die Möglichkeit haben, Hinweise mündlich, schriftlich oder auf Wunsch auch persönlich abzugeben. Bei der Bearbeitung der Hinweise sind folgende Fristen zu berücksichtigen:

  • innerhalb 7 Tagen muss die interne Meldestelle dem Hinweisgeber den Eingang des Hinweises bestätigen.
  • innerhalb 3 Monaten muss die Meldestelle den Hinweisgeber über die ergriffenen Maßnahmen informieren.

Zusätzlich zur internen Meldestelle hat die Bundesregierung eine externe Meldestelle eingerichtet:
Meldestelle Bundesamt für Justiz

Hinweisgeber können frei wählen, ob sie eine Meldung an die interne Meldestelle ihres Unternehmens oder an die externe Meldestelle abgeben möchten. Allerdings wird empfohlen, die interne Meldung dem externen Meldekanal vorzuziehen, da aufgrund der Sachnähe die Abstellung des Verstoßes am effektivsten möglich ist.

Welche Änderungen wurden im Vermittlungsausschuss beschlossen?

  • Ein Streitthema war das Abgeben von anonymen Hinweisen. Ursprünglich sollten die Unternehmen dazu verpflichtet werden, die Abgabe anonymer Hinweise zu ermöglichen. Darauf wurde nun verzichtet und aus dem MUSS wurde ein SOLL: „Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.“ (Auszug § 16 HinSchG)
  • Auch im Anwendungsbereich des Gesetzes hat es Änderungen gegeben. Es dürfen nur Verstöße gemeldet werden, die sich auf den eigenen beruflichen Kontext beziehen, d.h. auf den Beschäftigungsgeber oder eine andere Stelle, mit der die hinweisgebende Person beruflich im Kontakt stand.
  • Eine weitere Änderung betraf die Bußgeldhöhe. Die vorgesehenen Bußgelder lagen bisher bei max. 100.000 Euro und wurden nun auf max. 50.000 Euro gesenkt. Außerdem wurde entschieden, die Bußgeldandrohung bei Verstößen gegen die gesetzliche Regulierung erst sechs Monate nach Veröffentlichung des HinSchG anzuwenden, also erst ab 01.12.2023.

Einführung eines digitalen Hinweisgebersystems

Auch wenn die Abgabe anonymer Meldungen nicht ermöglicht werden muss, ist es empfehlenswert sie trotzdem anzubieten, denn dadurch wird die Hemmschwelle zur Meldung von Fehlverhalten möglichst niedrig gehalten. Um die Anonymität zu gewährleisten, bietet sich ein digitales Hinweisgebersystem an, wie z.B. unser GRC-COCKPIT.

Das Hinweisgebersystem im GRC-COCKPIT kann textlich individuell für das Unternehmen konfiguriert und z.B. im Intranet/Internet des Unternehmens eingebunden werden. Über einen Link können Mitarbeitende zum digitalen Hinweisgebersystem des Unternehmens gelangen und dort ihren Hinweis abgeben. Nach Versand des Hinweises bekommt der Hinweisgeber Zugriff auf ein anonymes Postfach, über das dann kommuniziert und weitere Informationen ausgetauscht werden kann. Die Dokumentation bezüglich der Bearbeitung von Hinweisen, die auf anderen Kanälen (persönlich, Post, Fax, Telefon, Mail) abgegeben wurden, erfolgt ebenfalls zentral im GRC-COCKPIT, sodass der gesamte Hinweisgeberprozess dort zusammengehalten wird.

Nutzen Sie jetzt die Vorteile des digitalen Hinweisgebersystems im SAVISCON GRC-COCKPIT und erfüllen Sie so alle Anforderungen aus dem Hinweisgeberschutzgesetz.

Sie wollen mehr über unser Hinweisgebersystem erfahren? Sehen Sie sich hier die Aufzeichnung unseres Webinars „Digitales Hinweisgebersystem“ an!

 

Über die Autorin

Porträtfoto Karin Slezer

Karin Selzer ist als Compliance- und Datenschutz Consultant, sowie interne Datenschutzbeauftragte bei der SAVISCON GmbH tätig.

Karin Selzer ist Consultant für Compliance & Datenschutz und interne Datenschutzbeauftragte bei der SAVISCON GmbH. Seit Januar 2021 kümmert sie sich um maßgebliche Richtlinien und die Umsetzung aller relevanten Themen rund um Compliance und Datenschutz. Zusätzlich steht sie unseren GRC-COCKPIT Kunden und Interessenten mit Rat und Tat zur Seite. Kontakt: karin.selzer@saviscon.de oder vernetzen Sie sich mit mir: XING Profil Karin SelzerLinkedIn Profil Karin Selzer

NIS2: ISMS umsetzen, Vorsprung sichern.

Wie Sie die EU-Richtlinie als Wettbewerbsvorteil nutzen können

von Ingo Simon, Geschäftsführer der SAVISCON GmbH

Die Bedrohungslage im digitalen Raum hat sich in den letzten Jahren erheblich verschärft. Cyber-Angriffe werden immer häufiger und raffinierter. Die Schäden, die sie anrichten, können die wirtschaftliche Existenz von Unternehmen nachhaltig gefährden.

NIS2: die neue EU-Richtlinie

Hier kommt NIS2 ins Spiel, die neue EU-Richtlinie, die wir schon in meinem letzten Blog „NIS2: Die neue EU-Richtlinie für Cybersicherheit“ beleuchtet haben. Sie verpflichtet Unternehmen und Organisationen aus verschiedensten Branchen dazu, angemessene Sicherheitsmaßnahmen zu ergreifen, um die Netzwerk- und Informationssicherheit zu gewährleisten. Ein wichtiger Bestandteil von NIS2 ist die Forderung nach einem wirksamen Informationssicherheitsmanagementsystem (ISMS). Lesen Sie für weitere Hintergrundinformationen zur EU-Richtlinie NIS2 gerne den oben genannten Blog-Beitrag.

In diesem Artikel möchten ich Ihren Blick auf die generellen Wettbewerbsvorteile eines wirksamen ISMS lenken und, so hoffe ich, Sie für die essentielle Bedeutung dieses Themas in Ihrem Unternehmen sensibilisieren.

Was ist das Ziel eines Informationssicherheitsmanagementsystem und inwiefern profitiert Ihre Organisation von der Implementierung?

Ein ISMS unterstützt Sie dabei, die IT-Risiken Ihrer Organisation klar zu identifizieren, zu bewerten und angemessene Maßnahmen zur Risiko-Minderung zu ergreifen. Die Risiken und Maßnahmen werden mithilfe entsprechender Umsetzungshilfen, wie der ISO 27001, dem IT-Grundschutz oder branchenrelevanten Normen (z. B. B3S), kontextabhängig erarbeitet. So sind die von Ihnen ergriffenen Informationssicherheitsmaßnahmen stets auf Ihre Geschäftsabläufe und -ziele abgestimmt. Die IT-Sicherheits-Prozesse und Verfahren zur Gewährleistung der Informationssicherheit entfalten so ihr gesamtes Potenzial. Um Ihr ISMS von Beginn an strukturiert und effizient aufzusetzen, ist die Nutzung einer dafür ausgelegten Software, wie z. B. dem SAVISCON GRC-COCKPIT, empfehlenswert.

Warum stellt ein ISMS einen Wettbewerbsvorteil dar?

Die Digitalisierung deutscher Unternehmen nimmt (wenn auch verzögert) weiter an Fahrt auf. Ein höherer Digitalisierungsgrad Ihrer Organisation verlangt zwangsläufig einen höheren Grad an IT-Sicherheit. Digitalisierung und IT-Sicherheit bilden eine untrennbare Einheit und müssen im Gleichschritt aufgebaut werden. Ein ISMS sichert als grundlegendes Fundament Ihre zukünftige Geschäftsfähigkeit ab. Es stellt somit tatsächlich einen Wettbewerbsvorteil für die Organisationen dar, die es umgesetzt haben oder in der Umsetzung sind, und zwar aus folgenden Gründen:

  1. Kundenvertrauen: Unternehmen, die ein ISMS implementieren, zeigen ihren Kunden und Partnern, dass sie die Sicherheit ihrer Informationen ernst nehmen. Kunden legen zunehmend Wert auf die Sicherheit ihrer persönlichen Daten und Geschäftsinformationen. Ein robustes ISMS kann dazu beitragen, das Vertrauen der Kunden zu gewinnen und sie dazu ermutigen, mit dem Unternehmen zusammenzuarbeiten.
  2. Reduzierung von Sicherheitsvorfällen: Ein gut durchdachtes ISMS kann dazu beitragen, das Risiko von Sicherheitsvorfällen wie Datenlecks, Cyberangriffen und anderen Sicherheitsverletzungen zu minimieren. Durch die Vermeidung von Sicherheitsvorfällen können Unternehmen kostspielige Ausfallzeiten, Reputationsschäden und finanzielle Verluste verhindern.
  3. Schutz von Innovationen und geistigem Eigentum: Ein ISMS kann dazu beitragen, wertvolle Informationen und geistiges Eigentum vor unbefugtem Zugriff oder Diebstahl zu schützen. Unternehmen, die in der Lage sind, ihre innovativen Ideen und geistigen Eigentumsrechte zu schützen, können einen Wettbewerbsvorteil gegenüber Unternehmen haben, die dies nicht tun.
  4. Business Continuity und Resilienz: Ein ISMS hilft Organisationen, sich auf Sicherheitsvorfälle vorzubereiten. Dies umfasst z. B. die Implementierung von Notfallplänen, Backup-Systemen, Redundanzmaßnahmen und Wiederherstellungsstrategien. Durch die Gewährleistung der Geschäftskontinuität und Resilienz können Organisationen besser auf Sicherheitsvorfälle reagieren und den Betrieb besser aufrechterhalten oder bei Eintritt eines Vorfalls schneller wieder herstellen.
  5. Erfüllung von Compliance-Anforderungen: Viele Branchen und Länder haben strenge Vorschriften und Compliance-Anforderungen im Hinblick auf Informationssicherheit. Ein ISMS hilft Unternehmen, diese Anforderungen zu erfüllen und Risiken von Strafen und rechtlichen Konsequenzen zu minimieren. Unternehmen, die in der Lage sind, ihre Informationssicherheit nachzuweisen und Compliance-Anforderungen zu erfüllen, können im Wettbewerb mit anderen Unternehmen einen Vorteil haben.
  6. Risikomanagement: Ein ISMS unterstützt Organisationen bei der Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken. Durch proaktives Risikomanagement können Organisationen Bedrohungen frühzeitig erkennen und geeignete Maßnahmen ergreifen, um Risiken zu minimieren oder zu eliminieren.
  7. Effiziente Geschäftsprozesse: Ein ISMS umfasst die Identifikation und Bewertung von Risiken sowie die Implementierung von Sicherheitsmaßnahmen, um diese Risiken zu minimieren. Durch eine effektive Risikobewertung und -bewältigung können Unternehmen ihre Geschäftsprozesse optimieren und unnötige Risiken in den Prozessen reduzieren. Effiziente Geschäftsprozesse können zu Kosteneinsparungen führen, die in einem wettbewerbsintensiven Marktumfeld einen Vorteil verschaffen können.

Fazit

Die Argumente zeigen es aus meiner Sicht eindeutig: ein ISMS zu implementieren stellt in der heutigen digitalen Welt zunehmend einem wichtigen Wettbewerbsvorteil dar. Unternehmen, die noch kein ISMS haben, sollten sich ernsthaft mit dem Thema auseinandersetzen und die Vorteile, die die Implementierung bietet, nutzen. Wie sieht es in Ihrem Unternehmen aus? Lassen Sie uns gerne in den Austausch gehen.

NIS2 Whitepaper

Sie möchten alle Hintergrundinformationen zu NIS2 in einem PDF-Dokument nachlesen? Dann laden Sie sich jetzt unser NIS2 Whitepaper herunter:

WHITEPAPER NIS2: EU-Richtlinie als Wettbewerbsvorteil nutzen  

 

Über den Autor

Foto Ingo Simon

Ingo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahm die SAVISCON GmbH die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Ingo Simon ist zertifizierter Compliance & Integrity-Manager und ebenfalls zertifizierter ISMS-Manager. Kontakt: ingo.simon@saviscon.de oder vernetzen Sie sich mit mir:

XING Profil Ingo Simon LinkedIn Profil Ingo Simon