frag.hugo – Compliance für Chefs

Externer Datenschutzbeauftragter oder interner: Ab wann ein Unternehmen nach Paragraf 38 Bundesdatenschutzgesetz und Artikel 37 DSGVO einen Datenschutzbeauftragten benennen muss. An drei typischen Fällen geht es um das richtige Zählen der zwanzig Personen, den Interessenkonflikt beim IT-Leiter und die Pflicht zur Meldung bei der Aufsichtsbehörde. Dazu: was die angekündigte Abschaffung der Zwanzig-Personen-Regel ändern würde und was nicht.

Kapitel
0:00 Worum es geht
0:53 Fall 1: Falsch gezählt
4:32 Fall 2: Der IT-Leiter macht das mit
7:56 Fall 3: Benannt, aber nur auf Papier
10:23 Zum Mitnehmen

Zum Mitnehmen

• Neu zählen: Teilzeit, Azubis, Leiharbeit und freie Mitarbeiter gehören dazu; GPS-Ortung oder Fingerabdruck-Zutritt können die Pflicht unabhängig von der Zahl auslösen.
• Keine Leitung als Beauftragter: Betriebsratsvorsitz scheidet wegen Interessenkonflikt aus, Geschäftsführung, IT-, Personal- und Marketingleitung in aller Regel ebenso – intern ohne Leitungsfunktion oder extern per Vertrag.
• Bei der Landesbehörde melden, Kontaktdaten veröffentlichen und den Beauftragten vor jeder neuen Datenverarbeitung einbinden.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. Datenschutz in guten Händen, mit TÜV-zertifiziertem Ansprechpartner: externer Datenschutzbeauftragter von frag.hugo.

NIS2-Haftung für Geschäftsführer: Was Paragraf 38 BSIG von der Geschäftsleitung persönlich verlangt und wann sie mit eigenem Vermögen haftet. An drei typischen Fällen geht es um Delegation an die IT, Schadenersatz nach einem Cyberangriff sowie Bußgelder und Tätigkeitsverbot. Dazu: Schulungspflicht, Dokumentation und die Rolle der Manager-Haftpflichtversicherung.

Kapitel
0:00 Worum es geht
1:15 Fall 1: Die IT macht das schon
4:19 Fall 2: Der Angriff kostet Geld
7:19 Fall 3: Bußgeld und Tätigkeitsverbot
10:14 Zum Mitnehmen

Zum Mitnehmen

• Delegieren ja, Verantwortung abgeben nein: Maßnahmen nach § 30 BSIG per Geschäftsführungsbeschluss billigen und die Umsetzung regelmäßig berichten lassen (§ 38 Abs. 1 BSIG).
• Jedes Mitglied der Geschäftsleitung schulen lassen – mindestens alle drei Jahre; das BSI hält vier Stunden meist für zu wenig (§ 38 Abs. 3 BSIG).
• Risiken, Entscheidungen, Berichte und Schulungsnachweise dokumentieren – im Haftungsfall nach § 43 GmbHG bzw. § 93 AktG ist das Ihr Beleg für Sorgfalt.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.

NIS2 betroffen oder nicht? In dieser Folge prüfen Geschäftsführer in drei Schritten, ob ihr Unternehmen unter das deutsche NIS2-Umsetzungsgesetz fällt: Sektor, Größe, Sonderfälle. Dazu typische Fälle aus Maschinenbau, Zulieferung, Lebensmittel und Logistik sowie die Pflichten danach: Registrierung, Risikomanagement, Meldefristen und Schulung der Leitung.

Kapitel
0:00 Worum es geht
1:08 Fall 1: Der Maschinenbauer
6:28 Fall 2: Der Zulieferer
8:44 Fall 3: Lebensmittel und Logistik
11:18 Zum Mitnehmen

Zum Mitnehmen

• Sektor, Größe, Sonderfall prüfen: In den Sektoren der Anlagen 1 und 2 sind Sie ab 50 Beschäftigten oder je über 10 Mio. Euro Umsatz und Bilanzsumme wichtige Einrichtung, ab 250 Beschäftigten oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme in Anlage-1-Sektoren besonders wichtig.
• Wer betroffen ist, registriert sich sofort beim BSI (Mein Unternehmenskonto + BSI-Portal), setzt die zehn Mindestmaßnahmen nach § 30 BSIG um, richtet den 24-Stunden-Meldeweg ein und schult die Geschäftsleitung.
• Nicht betroffene Zulieferer können über die Verträge ihrer betroffenen Kunden mittelbar Anforderungen bekommen (Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG). Vorher prüfen, ob nicht doch eine gelistete Tätigkeit vorliegt, etwa Antriebselemente als Maschinenbau.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.