Die wichtigsten Gesetze und Vorschriften zur Cybersicherheit in Frankreich

Als prominente Stimme in der Europäischen Union (EU) und Mitbegründer des Europäischen Rates hat Frankreich auch die europäische Digitalstrategie und ihre Bemühungen um mehr Sicherheit und Autonomie vorangetrieben.

Frankreich hat seine Gesetze und Vorschriften zur Cybersicherheit aktualisiert und verfeinert, um sein Engagement für die Entwicklung besserer Cybersicherheitspraktiken widerzuspiegeln. In diesem Beitrag werden diese Gesetze und Vorschriften vorgestellt, um Ihnen zu helfen, die Cybersicherheitsanforderungen in Frankreich zu verstehen und die Einhaltung der Vorschriften zu erreichen.

Erfahren Sie, wie UpGuard Unternehmen dabei hilft, Gesetze und Vorschriften einzuhalten >

Die französische nationale Strategie für digitale Sicherheit

Im Jahr 2015 kündigte der französische Premierminister Manuel Valls die nationale französische Strategie für digitale Sicherheit an, um die Franzosen beim vollständigen Übergang zu einer modernen, digitalen Gesellschaft zu unterstützen. Die Strategie wurde von der Agence nationale de la sécurité des systèmes d'information (ANSSI), auch bekannt als französische Nationale Agentur für die Sicherheit von Informationssystemen, geleitet.

Diese Initiative reagiert auf die aufkommenden Probleme des digitalen Zeitalters. Neue Technologien haben zwar zu Innovation und Wachstum geführt, aber es ist notwendig, die gestiegenen Risiken von Cyberkriminalität, Sabotage, der Ausbeutung personenbezogener Daten, Spionage und Propaganda anzugehen. Diese Cyberbedrohungen betreffen den französischen Staat und die EU, seine Bürger und wirtschaftlichen Akteure.

Frankreich hat festgestellt, dass Cyberangriffe von staatlichen oder nichtstaatlichen Gruppen:

• Sind nicht durch Grenzen oder Entfernungen eingeschränkt
• Sind schwer nachzuvollziehen
• Kann die Funktionalität von Telekommunikations- und Informationssystemen sowie kritischen Infrastrukturen relativ einfach und mit geringen Kosten für den Angreifer zerstören

Dementsprechend konzentriert sich Frankreichs nationale Strategie für digitale Sicherheit auf Folgendes:

• Die Sicherheit kritischer Betreiber, die grundlegende Dienstleistungen für Wirtschaft und Gesellschaft erbringen, um die nationale Souveränität zu gewährleisten
• Datenschutz, Schutz personenbezogener Daten und Förderung des digitalen Vertrauens mit einer soliden Antwort auf Cyberkriminalität
• Weiterbildung, Schulung und Sensibilisierung für das digitale Ökosystem und die Cybersicherheit
• Industriepolitik, digitale Technologie für Unternehmen und Exporte, die digitale Sicherheit für französische Unternehmen vorteilhaft machen
• Digitale Autonomie in Europa und Stabilität des Cyberspace, wodurch Frankreichs Einfluss international gestärkt wird

Im Mai 2022 führte eine Initiative der Europäischen Union zum Treffen von drei europäischen Cybersicherheitsgemeinschaften: dem Cyber Crisis Liaison Organisation Network (CyCLONe), dem CSIRTs (Computer Security Incident Response Teams) Network und der Network and Information Systems (NIS) Cooperation Group. Zu diesen Gruppen gehören auch die Europäische Kommission und die ENISA. Gemeinsam verfolgen sie das gemeinsame Ziel, die Cybersicherheit in Europa zu stärken.

In Zusammenarbeit mit der ANSSI, dem französischen Verteidigungsministerium und dem Innenminister sowie internationalen Foren wie der NATO, der G7 und der OSZE verbessert Frankreich die Cybersicherheit in Europa und im Heimatland. Sie ist entschlossen, auf die technischen Fortschritte der Informationssysteme mit geeigneten Sicherheitsmaßnahmen zu reagieren, um die Infrastruktur und die Wirtschaft des Landes zu schützen.

Commission Nationale de l'Informatique et des Libertés (CNIL) Geldbußen

In Frankreich ist die Datenschutzbehörde die Commission Nationale de l'Informatique et des Libertés (CNIL), die der Öffentlichkeit Informationen und Unterstützung zum Schutz von Daten und zur Einhaltung von Vorschriften bietet.

Die CNIL wurde nach einem Vorschlag der Regierung gegründet, einen eindeutigen Identifikator für jeden Bürger Frankreichs (SAFARI) einzuführen - der Vorschlag zielte darauf ab, behördliche Unterlagen miteinander zu verbinden. Die Regierung richtete ein unabhängiges Aufsichtsgremium ein, um sicherzustellen, dass Organisationen trotz der Entwicklungen in der Informationstechnologie (IT) angemessene Anstrengungen unternehmen, um die Privatsphäre, Rechte und Freiheiten der Menschen zu schützen.

Die französische CNIL möchte jedem, der mit Daten arbeitet, dabei helfen, dies unter Wahrung der Privatsphäre zu tun. Diese Ziele werden durch Workshops, Online-Informationen und die Beratung von Unternehmen erreicht, damit sie ihre Aktivitäten unter Berücksichtigung des Datenschutzes beginnen können.

Die CNIL ist auch für die Untersuchung der Nichteinhaltung der Datenschutzgesetze und die Verhängung von Bußgeldern bei Nichteinhaltung in Frankreich zuständig. Es kann vor Ort oder online untersucht werden. Im Jahr 2021 führte sie 173 ihrer 384 Untersuchungen online durch.

Einige der Bußgelder der französischen Datenschutzbehörde, die im Folgenden aufgeführt sind, veranschaulichen, wie eine Geldstrafe ein Unternehmen, insbesondere einen Branchenriesen, dazu motivieren kann, seine Daten, Kunden und sein Land zu schützen.

• November 2020 - Die CNIL verhängte gegen Carrefour France und Carrefour Bank eine Geldstrafe von 2,25 Millionen Euro bzw. 800.000 Euro. Zu den Problemen bei der Nichteinhaltung des Datenschutzes gehörten die zu lange Aufbewahrung von Daten, die Bereitstellung unvollständiger oder unzugänglicher Daten für betroffene Personen und die Nichtreaktion, wenn betroffene Personen Zugang zu ihren Daten verlangten.
• Dezember 2020 - Amazon Europe Core erhielt von der französischen Datenschutzbehörde CNIL eine Strafe in Höhe von 35 Millionen Euro, weil es Cookies ohne die erforderlichen Berechtigungen und Informationen auf den Geräten der Nutzer platziert hatte.
• Dezember 2021 - Nach zahlreichen Beschwerden führte die Untersuchung der französischen Datenschutzbehörde CNIL gegen Facebook zu einer Geldstrafe in Höhe von 60 Millionen Euro, da sie der Ansicht war, dass die Nutzer Cookies nicht so einfach ablehnen wie akzeptieren konnten, was in die Einwilligungsfreiheit der Internetnutzer einschränkte. Die CNIL forderte Facebook auf, das Problem innerhalb von drei Monaten zu beheben oder mit einer Geldstrafe von 100.000 Euro pro Tag zu rechnen.

Die wichtigsten Gesetze und Vorschriften zur Cybersicherheit in Frankreich

Frankreichs Bestreben, den Übergang zu einer modernen digitalen Gesellschaft zu vollziehen und gleichzeitig die inhärenten und wachsenden Cybersicherheitsrisiken anzugehen, hat zu neuen Gesetzen, Dekreten und Verordnungen sowie zu Aktualisierungen veralteter Gesetze geführt. Wir haben die wichtigsten und wichtigsten zusammengestellt, um in Frankreich tätige Unternehmen bei der Bewältigung der Komplexität der französischen Cybersicherheitsgesetze und -vorschriften zu unterstützen.

Alle folgenden Cybersicherheitsvorschriften unterstützen die Sicherheit von Kundendaten und die Widerstandsfähigkeit gegen Datenschutzverletzungen. Um das Verständnis dieser französischen Gesetze und Vorschriften zu erleichtern, haben wir die folgenden hilfreichen Informationen in jede aufgeführte Verordnung aufgenommen:

• Ob die Verordnung verbindlich ist oder nicht
• Bußgelder bei Nichteinhaltung
• Links zu Compliance-Ressourcen

1. Gesetz über den Datenschutz von 1978

Diese Datenschutzverordnung macht folgende Datentypen erlaubnispflichtig:

• Sozialversicherungsnummern, es sei denn, sie werden für wissenschaftliche Forschung, historische Forschung, statistische Zwecke oder zur Bereitstellung eines Online-Behördendienstes für Benutzer verarbeitet;
• Biometrische und Gesundheitsdaten erfordern, dass die Organisation vor der Datenverarbeitung eine Konformitätserklärung bei der CNIL abgibt

Ist die Einhaltung des Data Protection and Privacy Act 1978 obligatorisch?

Das französische Datenschutzgesetz von 1978 verpflichtete die Informationssicherheit aus dem Jahr 1978. Das Gesetz wird durch die EU-DSGVO verstärkt.

Die Artikel 34 und 34-bis des DSG 1978 befassen sich mit der Cybersicherheit und bestehen darauf, dass öffentliche und private Stellen bei der Verarbeitung personenbezogener Daten angemessene Sicherheitsmaßnahmen ergreifen. Zu den Bestimmungen gehört der Schutz dieser Daten vor unbefugtem Zugriff, Änderung oder Diebstahl.

Diese Artikel verpflichten Internet Service Provider (ISPs) auch, Cyberangriffe aufzuzeichnen und Datenschutzverletzungen unverzüglich an die CNIL zu melden.

Welche Strafen drohen bei Nichteinhaltung des Data Protection and Privacy Act 1978?

Die Nichteinhaltung des DPA 1978 wurde mit einer Geldbuße von maximal 3 Mio. EUR geahndet. Mit der Einführung der EU-Datenschutz-Grundverordnung (DSGVO), die am 25. Mai 2018 in Kraft getreten ist, riskieren alle privaten oder öffentlichen Datenverantwortlichen und -verarbeiter jedoch eine Verwaltungsstrafe von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist.

Die CNIL kann auch eine einstweilige Verfügung beantragen, um das Unternehmen daran zu hindern, Daten zu verarbeiten, Inspektionen durchzuführen und Warnungen bei Nichteinhaltung der Vorschriften an die Öffentlichkeit auszusprechen. Im Falle strafrechtlicher Sanktionen drohen dem für die Verarbeitung Verantwortlichen bis zu fünf Jahre Gefängnis.

Ressourcen zur Einhaltung der DPA 1978

Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die Einhaltung von DPA 1978 zu erreichen:

• Das Datenschutzgesetz
• Datenschutzgesetze und -vorschriften Frankreich

2. Datenschutz-Grundverordnung (DSGVO)

Die CNIL ist die Regulierungsbehörde für die EU-DSGVO, die Organisationen des öffentlichen und privaten Sektors zum Schutz von Daten verpflichtet. Die DSGVO trat im Mai 2018 in Kraft, um den Rahmen des Data Protection and Privacy Act 1978 zu stärken. Mit der DSGVO stellt die Sicherheit personenbezogener Daten jetzt mehr Anforderungen. Und die Datenschutzbehörden sind stärker in der Lage, Organisationen zu unterstützen.

Gemäß der DSGVO müssen Organisationen, die mit Daten umgehen:

• Implementieren Sie Richtlinien und Verfahren zum Schutz von Daten
• Aufzeichnen von Datenschutzverletzungen
• Durchführung einer Datenschutz-Folgenabschätzung (PIA) im Falle einer besonders sensiblen, risikoreichen Verarbeitung
• Melden Sie Datenschutzverletzungen innerhalb von 72 Stunden bei der französischen Datenschutzbehörde, wenn Personen gefährdet sind
• Informieren Sie Einzelpersonen, wenn eine Datenschutzverletzung auftritt, wenn ein hohes Risiko besteht, dass sie davon betroffen sind

Ist die Einhaltung der DSGVO verpflichtend?

Ja, alle Unternehmen, die in der EU Daten erheben oder verarbeiten, müssen die DSGVO einhalten. Es erlegt Unternehmen aller Größen und Branchen Cybersicherheitsverpflichtungen auf.

Die CNIL hat die Befugnis, den Grad der Einhaltung der DSGVO durch ein Unternehmen zu untersuchen und zu überprüfen. Sie kann eine Mahnung und Geldbußen gegen einen für die Verarbeitung Verantwortlichen verhängen, wenn er nicht zufrieden ist.

Welche Strafen drohen bei Nichteinhaltung der DSGVO?

Die Nichteinhaltung der DSGVO kann zu einer Geldstrafe von 20 Millionen Euro oder 4 % des Jahresumsatzes des Unternehmens führen, je nachdem, welcher Betrag höher ist.

Ressourcen zur Einhaltung der DSGVO

Die folgende Liste kostenloser Ressourcen kann Unternehmen dabei helfen, die Einhaltung der DSGVO zu erreichen:

• 10-Schritte-Checkliste: Leitfaden zur Einhaltung der DSGVO für 2022
• DSGVO: Die beste Prävention gegen Cyber-Risiken

3. Military Programming Act von 2013

Gemäß den Dekreten 2015-350 und 2015-351 (27. März 2015) müssen Organisationen in Schlüsselsektoren:

• Implementierung von Erkennungstools zur Verhinderung von Cyberangriffen auf ihre Netzwerke und IT-Infrastrukturen
• Unverzüglich Meldung von Cybersicherheitsverletzungen an die zuständigen Behörden
• Regelmäßige Prüfung von IT-Infrastrukturen

Dieses Gesetz beauftragte die Regierungsbehörde ANSSI, die dem Generalsekretär für Verteidigung und nationale Sicherheit untersteht, sicherzustellen, dass das Gesetz korrekt angewendet wird und die Sicherheit von Netzwerk- und Informationssystemen aufrechterhalten wird.

Ist die Einhaltung des Military Programming Act von 2013 verpflichtend?

Ja. Organisationen müssen auf Verlangen der zuständigen Behörden bestimmte Maßnahmen ergreifen.

Welche Strafen drohen bei Nichteinhaltung des MPA 2013?

Die Nichteinhaltung des MPA 2013 kann ein Bußgeld von 150.000 Euro nach sich ziehen.

MPA 2013 Compliance-Ressourcen

Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die MPA 2013-Konformität zu erreichen:

• Cybersicherheit in Frankreich
• Frankreich - Die Vorschriften zur Bekämpfung der Cyberkriminalität

4. Gesetz über die militärische Programmplanung 2014-2019 (MPA 2014-2019)

Dieses Gesetz (Nr. 2013-1168 vom 18. Dezember) umreißt mehrere Cybersicherheitsverpflichtungen für lebenswichtige Betreiber (VIOs). Artikel L.1332-1 des französischen Verteidigungsgesetzbuches definiert diese lebenswichtigen Betreiber als öffentliche oder private Einrichtungen, deren Verlust die wirtschaftliche oder militärische Macht des Landes ernsthaft beeinträchtigen würde. Dazu gehören Banken, Kernkraftwerke, Krankenhäuser, Restaurierung, Bildung und digitale Infrastruktur. Die vollständige Liste der VIOs finden Sie im Anhang des Dekrets Nr. 2018-384.

Artikel 22 des MPA 2014 - 2019 gab der französischen Nationalen Agentur für Cybersicherheit (ANSSI) neue Vorrechte im Namen des Premierministers. Mit der Einführung dieses Gesetzes könnte sie Sicherheits- und Kontrollmaßnahmen durchsetzen.

Ist die Einhaltung des MPA 2014 - 2019 verpflichtend?

Gemäß Artikel 22 dieses Gesetzes sind Betreiber von entscheidender Bedeutung verpflichtet, Vorfälle, die auf ihren IT-Systemen festgestellt werden, den zuständigen Behörden zu melden.

Gemäß den Dekreten 2015-350 und 2015-351 müssen VIOs Erkennungstools implementieren, um Cyberangriffe auf ihre Netzwerke und IT-Infrastrukturen zu verhindern. Sie müssen zudem regelmäßige Sicherheitsüberprüfungen ihrer IT-Infrastrukturen durchführen und gegebenenfalls besondere Maßnahmen ergreifen, die von den zuständigen Behörden verlangt werden.

Wie hoch sind die Strafen für die Nichteinhaltung des MPA 2014-2019?

Bei Nichteinhaltung kann ein Bußgeld von bis zu 150.000 Euro verhängt werden.

MPA 2014-2019 Compliance-Ressourcen

Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die Einhaltung von MPA 2014 - 2019 zu erreichen:

• Cybersicherheit in Frankreich
• Frankreich - Die Vorschriften zur Bekämpfung der Cyberkriminalität

5. NIS2-Richtlinie

Die Hauptziele der NIS2-Richtlinie, die im Dezember 2020 vorgeschlagen wurde, sind:

• Deckt mehr Sektoren ab als NIS1
• Ersetzen Sie den Identifikationsprozess von NIS1
• Harmonisierung der Sicherheitsanforderungen und Meldepflichten

NIS2, das im November 2022 verabschiedet wurde, standardisiert und klärt Risikomanagementmaßnahmen und Berichtspflichten in allen kritischen Sektoren. Sie legt regulatorische Mindestvorschriften fest und fördert die Zusammenarbeit zwischen den zuständigen Behörden der einzelnen Mitgliedstaaten.

Mit dieser Richtlinie wurde CyCLONe gegründet, das das Krisenmanagement für groß angelegte Cybersicherheitsvorfälle koordiniert.

Mit NIS2 wird auch eine Größenbeschränkung eingeführt, so dass die Richtlinie für alle mittleren und großen Unternehmen gilt. Sie gilt für öffentliche Verwaltungen, da sie häufig Ziele von Cyberangriffen sind, häufig über Ransomware, gilt aber nicht für Verteidigungs- oder nationale Sicherheitsbehörden, die Justiz, die Strafverfolgung, die öffentliche Sicherheit, Parlamente und Zentralbanken.

Um eine übermäßige Berichterstattung und eine Belastung der betroffenen Unternehmen zu vermeiden, werden mit NIS2 frühere Berichtspflichten gestrafft. Sie schlägt auch vor, dass die Verschlüsselung für Schlüsseldienste obligatorisch wird.

Ist die Einhaltung von NIS2 verpflichtend?

Diese NIS-Richtlinie beinhaltet verschiedene Verpflichtungen zur Meldung von Vorfällen und zum Informationsmanagement, um die Cybersicherheit in der gesamten EU zu stärken.

Welche Strafen drohen bei Nichteinhaltung von NIS2?

Jeder EU-Mitgliedstaat kann seine eigene Strafgrenze für die Nichteinhaltung von NIS2 festlegen. Die Nichteinhaltung von NIS2 könnte dazu führen, dass Unternehmen mit Geldstrafen in der französischen Region von 20 Millionen Euro rechnen müssen.

NIS2-Compliance-Ressourcen

Die folgende Liste kostenloser Ressourcen kann Organisationen dabei helfen, die NIS2-Konformität zu erreichen:

• Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates
• Die NIS-2-Richtlinie

6. eIDAS-Verordnung (910/2014)

eIDAS steht für Electronic Identification, Authentication, and Trust Services. Diese wurde geschaffen, um das digitale Vertrauen in elektronische Transaktionen in den EU-Mitgliedstaaten zu fördern. Es soll eine Grundlage für eine sichere elektronische Übertragung zwischen Behörden, Unternehmen und Bürgern geschaffen werden, um öffentliche und private Online-Dienste, Unternehmen und Handel effektiver zu gestalten.

Die eIDAS-Verordnung baut auf der Richtlinie des Europäischen Parlaments und des Europäischen Rates von 1999/93/EG auf, mit der ein sicherer Rahmen für sichere elektronische Transaktionen geschaffen wurde. Ziel ist es, die digitalen Rechte der Menschen und die Nutzung eines Binnenmarkts mit grenzüberschreitenden digitalen Dienstleistungen zu stärken und gleichzeitig die potenziell vielfältigen Möglichkeiten der Cyberkriminalität zu bekämpfen.

Die Richtlinie 1999/93/EG zielt darauf ab, den Zugang der Menschen zu Dienstleistungen, wie z. B. der Gesundheitsversorgung, in ganz Europa mit den für ihr Heimatland gemeinsamen Zugangsdaten zu erleichtern. Dieses Maß an Zugänglichkeit und digitaler Infrastruktur erfordert jedoch Datenschutz, sichere elektronische Identifizierung und Authentifizierung, die durch eIDAS geregelt werden.

eIDAS definiert die Standards für die elektronische Identifizierung in der EU, darunter:

• Elektronische Signaturen
• Elektronische Dichtungen
• Zeitstempel

Ziel ist es, elektronischen Transaktionen die Rechtsgültigkeit von Papierdokumenten zu verleihen.

Ist die Einhaltung von eIDAS verpflichtend?

Die Einhaltung von eIDAS ist für Vertrauensdiensteanbieter, die Kunden innerhalb der EU bedienen, obligatorisch. Dazu gehören Unternehmen, die Folgendes anbieten:

• Dienstleistungen der Validierung
• Elektronische Zustelldienste für Einschreiben
• Qualifiziertes Webzertifikat für die Authentifizierung
• Qualifizierte Zeitstempel
• Elektronische Identifizierung
• Fortschrittliche und qualifizierte elektronische Siegel

Welche Strafen drohen bei Nichteinhaltung von eIDAS?

Es gibt keine spezifischen Strafen für die unsachgemäße oder unbefugte Verwendung des EU-Gütesiegels.

Ressourcen zur eIDAS-Compliance

• eIDAS: Die Verordnung über die digitale Identifizierung für Europa
• Was ist die eIDAS-Verordnung?

7. Datensicherheitsstandard für die Zahlungskartenindustrie (PCI DSS)

Die im September 2006 eingeführten PCI DSS-Anforderungen zielen darauf ab, sicherzustellen, dass alle Unternehmen, die Kreditkarteninformationen speichern, verarbeiten und übertragen, dies sicher tun. Es verwaltet PCI-Sicherheitsstandards und zielt darauf ab, die Kontosicherheit zu verbessern.

Es handelt sich um eine unabhängige Stelle, die von JCB, Discover, American Express, MasterCard und Visa gegründet und vom PCI Security Standards Council (PCI SSC) verwaltet wird, aber die Zahlungsmarken sind für die Durchsetzung der Einhaltung verantwortlich.

Diese Unternehmen möchten, dass die Menschen ihre Karten weltweit verwenden, daher gelten diese Standards auch in Frankreich. Die 12 Anforderungen für die PCI DSS-Konformität lauten in keiner beabsichtigten Reihenfolge wie folgt:

1. Ordnungsgemäße Dokumentenrichtlinien, einschließlich regelmäßiger Geräteinventare, Protokolle über den Zugriff auf Karteninhaberdaten und Dokumente über den Informationsfluss über Kartentransaktionen;
2. Regelmäßige Scans und Schwachstellentests der Infrastruktur des Zahlungssystems, einschließlich Hardware, Software und Mitarbeiter;
3. Führung von Zugriffsprotokollen, um den Datenfluss zu verfolgen und zu verfolgen, wie und wann auf sensible Daten zugegriffen wurde;
4. Beschränkung des physischen Zugriffs auf Karteninhaberdaten, ob digital oder schriftlich.
5. Pflege eindeutiger Zugangsdaten für jeden Mitarbeiter, der berechtigt ist, auf Karteninhaberdaten zuzugreifen oder diese zu verarbeiten;
6. Beschränkung des Zugangs zu den Daten, so dass nur diejenigen darauf zugreifen können, die die Daten des Karteninhabers benötigen;
7. Sofortige Software-Updates für alle Software auf Geräten, die Karteninhaberdaten speichern oder mit ihnen interagieren;
8. Ordnungsgemäße Verwendung von Antivirensoftware, wozu auch gehört, dass das Unternehmen sie am Laufen hält und aktualisiert und der POS-Anbieter dasselbe tut, wenn sie nicht direkt vom Benutzer installiert werden kann;
9. Verschlüsselung aller Karteninhaberdaten;
10. Verschlüsselung aller übertragenen Daten des Karteninhabers;
11. Die Verwendung und Pflege sicherer Passwörter für den Zugriff auf und die Verarbeitung von Karteninhaberdaten;
12. Eine ordnungsgemäße Firewall-Wartung schützt vor Hackern und verhindert unbefugten Zugriff auf Karteninhaberdaten.

Ist die Einhaltung von PCI DSS verpflichtend?

PCI DSS ist ein Standard, kein Gesetz. Es wird jedoch durch Verträge zwischen Händlern, Zahlungsmarken und Banken durchgesetzt. Um Bußgelder und andere Konsequenzen zu vermeiden, müssen alle Dienstleister und Händler, die Karteninhaberdaten verarbeiten, übertragen oder speichern, PCI DSS einhalten.

Welche Strafen drohen bei Nichteinhaltung von PCI DSS?

Die Nichteinhaltung von PCI DSS kann dazu führen, dass ein Unternehmen mit einer Strafe zwischen 4.300 € und 86.000 € pro Monat belegt wird, bis es die Vorschriften einhält.

Banken können auch Gebühren erheben oder ihre Transaktionen verteuern. Und die Kartenmarke kann eine Entschädigung für die durch den Sicherheitsvorfall entstandenen Kosten verlangen. Diese Kosten können bis zu 4700 bis 9500 Euro pro Monat betragen.

PCI DSS-Compliance-Ressourcen

• Was ist PCI-Compliance?
• Die 12 Anforderungen der PCI DSS-Konformität

8. PSD 2

Die Zahlungsdiensterichtlinie der EU ist eine europäische Verordnung für elektronische Zahlungsdienste. Ziel ist es, den Zahlungsverkehr in Europa sicherer zu machen, die Anpassung von Bankdienstleistungen an neue Technologien zu unterstützen und Innovationen zu fördern. Es hat Banken geholfen, ihre Zahlungsdienste für Drittanbieter von Zahlungsdiensten zu öffnen.

Die ursprüngliche PSD begann im Jahr 2007. Die PSD2 von 2013 berücksichtigt zwei Entwicklungen, die die Landschaft der Zahlungsabwicklung verändert haben: Account Information Services (AIS), die es Kunden ermöglichten, ihre finanzielle Situation effizient zu überblicken, und Payment Initiation Services (PIS), die das Online-Banking für Online-Zahlungen erleichterten.

Nach einigen Verzögerungen trat PSD2 schließlich im September 2019 in Kraft, einschließlich Vorschriften zum Schutz von Online-Zahlungen, zur Verwendung einer starken Authentifizierung, wie z. B. der Multi-Faktor-Authentifizierung, und zur Verbesserung der Sicherheit von Kundendaten.

Ist die Einhaltung von PSD2 verpflichtend?

Ja, PSD2 ist in der EU und im Europäischen Wirtschaftsraum verpflichtend. Unternehmen müssen eine Lizenz beantragen, um Zahlungsauslösedienstleister (PISP) oder Kontoinformationsdienstleister (AISP) zu werden.

Welche Strafen drohen bei Nichteinhaltung von PSD2?

Mögliche Strafen für die Nichteinhaltung von PSD2 sind erheblich. Ein Unternehmen kann mit einer Geldstrafe von 4 % seines Gesamtumsatzes belegt werden, je nachdem, welche Strafe höher ist.

PSD 2-Compliance-Ressourcen

• Die 13 wichtigsten Cybersicherheitsvorschriften für Finanzdienstleistungen
• PSD2 - Starke Einhaltung der Kundenauthentifizierung