Die Meldungen dieser Woche reichen von Gesundheitsdatenschutz und DORA-Prüfungen über Kapitalmarktrisiken und Prospektanforderungen bis zu Insider Threats, Shadow AI und dem Schutz von KI-Modellen. Daneben rücken technologische Entwicklungen in den Blick, die klassische Grenzen zwischen Datenschutz, Informationssicherheit und Ermittlungsfähigkeit zunehmend verschieben.
Auffällig ist dabei, dass neue Technologierisiken immer häufiger nicht isoliert behandelt werden können, sondern Veränderungen bei Governance, Zugriffssteuerung, Kontrollarchitektur und Verantwortlichkeiten zugleich auslösen.
1. BfDI: Handlungsempfehlungen zur elektronischen Patientenakte
Anwendbar für: Gesetzliche Krankenversicherungen, Gesundheitswesen, Datenschutz, ePA-Verantwortliche, Data Governance, Digital Health
Relevante Maßnahmen:
- Steuerungsmodelle für die ePA stärker an granularer Datenfreigabe, Zweckbindung und Nutzerautonomie ausrichten.
- Nutzungsszenarien für Sekundärverwendung und automatisierte Auswertung als eigenständige Datenschutzrisiken in die Governance aufnehmen.
- Transparenz, Einwilligungssteuerung und Datenzugriffe als zusammenhängenden Kontrollrahmen behandeln.
2. BGBl.: DORA-Vorgaben werden in Prüfungsverordnungen integriert
Anwendbar für: Wertpapierinstitute, Schwarmfinanzierungsdienstleister, Wirtschaftsprüfung, DORA-Compliance, Informationssicherheit, Interne Revision
Relevante Maßnahmen:
- DORA-Nachweisfähigkeit als dauerhafte Governance-Anforderung und nicht nur als Prüfungsvorbereitung etablieren.
- IKT-Risikomanagement, Kontrollnachweise und Prüfungsfeststellungen in einem konsistenten Assurance-Modell zusammenführen.
- Erkenntnisse aus Abschlussprüfung, Interner Revision und DORA-Kontrollen systematisch für die Resilienzsteuerung nutzen.
3. ESMA: Geopolitische und wirtschaftliche Risiken trotz hoher Anlegerzuversicht
Anwendbar für: Banken, Wertpapierfirmen, Asset Manager, Risikomanagement, Marktüberwachung, Geschäftsleitung
Relevante Maßnahmen:
- Marktoptimismus und fundamentale Risikosignale bewusst getrennt in Risikoappetit und Management-Reporting abbilden.
- Bewertungs-, Konzentrations- und Liquiditätsrisiken stärker auf gemeinsame Stressauslöser und Korrelationen hin steuern.
- Geopolitische Risiken als potenzielle Verstärker bestehender Markt- und Portfoliorisiken in Szenariologiken verankern.
4. ESMA: Prospektanforderungen werden an den Listing Act angepasst
Anwendbar für: Emittenten, Banken, Kapitalmarktgeschäft, Legal, Compliance, Investor Relations
Relevante Maßnahmen:
- Prospekt-Governance stärker nach Materialität, Aktualisierungsbedarf und Verantwortlichkeit für Anlegerinformationen ausrichten.
- Schnittstellen zwischen Legal, Finance, Investor Relations und Compliance für kapitalmarktrelevante Offenlegungen neu bewerten.
- Änderungen an Prospekten und Nachträgen stärker mit internen Disclosure- und Governance-Prozessen verzahnen.
5. CISA: Aktualisierter Leitfaden zum Management von Insider Threats
Anwendbar für: Informationssicherheit, Personal, physische Sicherheit, Compliance, Critical Infrastructure, Geschäftsleitung
Relevante Maßnahmen:
- Insider-Risk-Governance über klassische IT-Sicherheitsgrenzen hinaus auf Personal-, Zugriffs- und physische Risiken ausweiten.
- Verhaltens-, Berechtigungs- und Kontextinformationen stärker in gemeinsame Risikoindikatoren und Eskalationslogiken überführen.
- Kritische Rollen, privilegierte Zugriffe und Veränderungen im Beschäftigungsverhältnis als eigenständige Risikotreiber steuern.
6. CISA, NSA und FBI: Schutz von KI-Modellen vor Knowledge Distillation
Anwendbar für: KI-Anbieter, Informationssicherheit, Model Security, API Governance, Threat Intelligence, Intellectual Property
Relevante Maßnahmen:
- Modellwissen und API-Zugänge als schützenswerte digitale Assets in die Informations- und KI-Governance aufnehmen.
- Missbrauchsszenarien wie Model Extraction, Distillation und systematische Abfragekampagnen in Threat Models integrieren.
- Schutz von Modellen stärker mit Identity Governance, Nutzungsanalytik und IP-Schutz verzahnen.
7. JRC und Europol: Privacy-Technologien verändern die Rahmenbedingungen für e-Evidence
Anwendbar für: Strafverfolgung, Plattform- und Cloudanbieter, Datenschutz, Legal, Informationssicherheit, Digital Identity
Relevante Maßnahmen:
- Privacy-enhancing technologies zugleich hinsichtlich Datenschutzwirkung und Auswirkungen auf Ermittlungs- und Nachweisfähigkeit bewerten.
- Zielkonflikte zwischen Vertraulichkeit, Datensparsamkeit und rechtmäßigem Zugriff in strategischen Technologieentscheidungen explizit machen.
- Verschlüsselung, digitale Identitäten und dezentrale Architekturen frühzeitig in Legal- und Compliance-Szenarien einbeziehen.
8. DSK: Strategieklausur zur Weiterentwicklung der Datenschutzaufsicht
Anwendbar für: Datenschutz, öffentliche Verwaltung, Unternehmen mit länderübergreifenden Verarbeitungen, Legal, Compliance
Relevante Maßnahmen:
- Mögliche Vereinheitlichung der Datenschutzaufsicht in der Governance für bundesweit einheitliche Datenschutzentscheidungen vorwegnehmen.
- Aufsichtliche Entscheidungen, Prüfergebnisse und Auslegungshinweise stärker zentral erfassen und organisationsweit nutzbar machen.
- Verwaltungsdigitalisierung und Datenschutz stärker als gemeinsame Architektur- und Governance-Frage behandeln.
9. NCSC: Shadow AI als Governance-Lücke
Anwendbar für: Unternehmen, Informationssicherheit, KI-Governance, Datenschutz, IT, Compliance
Relevante Maßnahmen:
- Shadow AI als Governance-Lücke zwischen Fachbereichsinnovation, IT-Steuerung und Informationssicherheit behandeln.
- Zulässige KI-Nutzung über Freigabemodelle, Datenklassen und akzeptierte Use Cases statt ausschließlich über Verbote steuern.
- Ursachen nicht autorisierter KI-Nutzung als Signal für Defizite bei Tooling, Beschaffung, Awareness oder Governance auswerten.
Das NCSC betont ausdrücklich, dass Shadow AI häufig dort entsteht, wo freigegebene Werkzeuge oder Prozesse die praktischen Anforderungen der Beschäftigten nicht ausreichend abdecken; Ziel sollte daher Risikoreduktion statt der Annahme vollständiger Vermeidung sein.
Die wichtigsten Compliance-Meldungen jetzt jede Woche kostenlos erhalten
Bereits viele Compliance-Beauftragte nutzen unseren kostenlosen Service und erhalten die wichtigsten Neuigkeiten aus den Bereichen Compliance, Geldwäscheprävention, Datenschutz und IT-Sicherheit. Wir geben wöchentlich einen Überblick über die wichtigsten Meldungen und ordnen diese ein.
Möchten Sie täglich auf dem aktuellen Stand sein?
Mit unserer Legal Risk Monitoring Software erhalten Sie Zugriff auf alle Meldungen und können diese nach Relevanz, Art und Bereich filtern. Sie können Zusammenfassungen erstellen und herunterladen. Sprechen Sie uns an.
Kontaktieren Sie uns für ein kostenfreies Erstberatungsgespräch.
Wir wünschen Ihnen eine erfolgreiche Woche.
Ihr Team von Riscreen