Der Kunde will das Audit sehen, nicht die Absichtserklärung.
Meistens beginnt es mit einem Fragebogen. Ein Grosskunde, eine Bank oder ein Konzern aus der EU schickt eine Liste mit vierzig Punkten, und irgendwo in der Mitte steht eine Frage, auf die niemand im Haus antworten kann. Dann ist Sicherheit plötzlich keine IT-Frage mehr, sondern eine Vertragsfrage.
Analyse-Gespräch buchenEs fehlt fast nie das Konzept. Es fehlt die Zuständigkeit.
In den meisten Unternehmen liegen Dokumente vor: eine Richtlinie, ein Notfallplan, vielleicht ein Datenschutzhinweis auf der Website. Was fehlt, ist die Person, die dafür geradesteht, und der Nachweis, dass irgendjemand das je gelebt hat. Genau danach fragen Prüfer.
Die Bruchstellen, die wir immer wieder sehen: kein Verzeichnis der Bearbeitungstätigkeiten, Auftragsbearbeitungsverträge mit Cloud-Anbietern fehlen oder sind ungeprüft, niemand weiss, in welchem Land die Daten liegen, und der Meldeweg bei einem Vorfall existiert nur im Kopf des IT-Leiters. Wenn dann etwas passiert, entscheidet sich in den ersten achtundvierzig Stunden, ob es ein Vorfall bleibt oder ein Fall wird.
Drei Regelwerke treffen auf ein Schweizer Unternehmen gleichzeitig.
Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023 und verlangt unter anderem Bearbeitungsverzeichnisse, Information bei der Beschaffung und eine Meldung von Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten. Die DSGVO greift, sobald du Personen in der EU bearbeitest, unabhängig davon, wo du sitzt. Und NIS2 erreicht Schweizer Unternehmen selten direkt, dafür über die Lieferkette: europäische Kunden geben ihre Pflichten vertraglich weiter.
Dazu kommt, je nach Branche, die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gegenüber dem Bundesamt für Cybersicherheit. Welche dieser Pflichten dich trifft, klären wir am Anfang, nicht im Projekt.
Erst Bestandsaufnahme, dann Verantwortliche, dann Papier.
Wir nehmen auf, was tatsächlich existiert: Systeme, Dienstleister, Datenflüsse, Verträge. Danach klären wir Zuständigkeiten, auf Ebene Geschäftsleitung und Verwaltungsrat, denn dort liegt die Verantwortung und nicht in der IT-Abteilung. Erst danach entstehen Verzeichnisse, Richtlinien, Auftragsbearbeitungsverträge und ein Meldeweg, der auch an einem Freitagabend funktioniert.
Die rechtliche Prüfung und die Vertragsentwürfe kommen von Anwälten aus unserem Netzwerk, die technische Prüfung von Sicherheitsspezialisten. Wir führen das Projekt, halten die Reihenfolge ein und sorgen dafür, dass am Ende ein Stand dokumentiert ist, den du einem Kunden zeigen kannst.
Wir sitzen auf der anderen Seite des Tisches ebenfalls.
Delal ist Verwaltungsrätin und Head of Legal zweier IT-Unternehmen. Verträge mit Kunden, die Sicherheitsanhänge enthalten, Fragebögen von Konzerneinkäufern, Diskussionen über Haftung bei Vorfällen: das ist bei uns Alltagsgeschäft und nicht Theorie aus einem Kurs.
Das heisst auch, dass wir ziemlich schnell sehen, welche Forderung eines Kunden verhandelbar ist und welche nicht. Und wo ein Unternehmen Geld in ein Zertifikat steckt, das für sein Geschäft niemand verlangt.
Delal Iscan-Stamate
Unternehmerfamilie, ab dem sechsten Lebensjahr im Betrieb. eine Big-Four-Gesellschaft, eine Wirtschaftskanzlei, Stuttgarter Notariat, Münchner Kanzlei. Nebenberufliches Rechtsstudium an einer eidgenössisch akkreditierten universitären Institution. Verwaltungsrätin und Head of Legal zweier IT-Unternehmen, eigene Gesellschaft in Katar, Netzwerk in Europa und im Nahen Osten.
Ich bin Expertin für internationale Expansion und Strukturierung. Ich bin keine Anwältin und erbringe keine Rechtsberatung: die kommt von unseren Partnern, wir koordinieren.
Bring den Fragebogen mit, der dich gerade beschäftigt.
Wir gehen ihn durch und sagen dir, welche Punkte du heute schon erfüllst, welche Arbeit machen und welche du getrost zurückweisen kannst.
Analyse-Gespräch buchen