Liste der Gesetze und Vorschriften zur Cybersicherheit in Großbritannien

Die digitale Bedrohungslandschaft im Vereinigten Königreich (UK) entwickelt sich weiter, da Unternehmen, die einen massiven Wandel hin zu einer zunehmenden Digitalisierung und Cloud-basierten Migrationen durchlaufen, gezwungen sind, ihre IT-Systemabläufe zu ändern.

Noch wichtiger ist, dass die britischen Gesetze und Vorschriften auch angepasst werden müssen, um sicherzustellen, dass britische Unternehmen und Organisationen daran arbeiten, ihre Cybersicherheit und IT-Infrastruktur zum Schutz der Datensicherheit und des Datenschutzes zu verbessern. Insbesondere in der Zeit nach dem Brexit müssen Unternehmen die Einhaltung der neuesten britischen Cybersicherheitsgesetze und -vorschriften sicherstellen.

In diesem Artikel untersuchen wir die aktuellsten Cybersicherheitsgesetze und -vorschriften in Großbritannien, wie sie einzuhalten sind, die Strafen und Gebühren, die sie bei Nichteinhaltung auferlegen, die neuesten gesetzlichen Maßnahmen der NIS-Vorschriften und welche Schritte britische Unternehmen unternehmen können, um ihre Netzwerke, Daten und Systeme zu schützen.

Liste der Gesetze und Vorschriften zur Cybersicherheit in Großbritannien

Es gibt zwar kein übergreifendes, primäres nationales Cybersicherheitsgesetz, aber es gibt vier wichtige Gesetzgebungssysteme, die die Cybersicherheit, den Datenschutz und den Datenschutz im Vereinigten Königreich regeln:

DSG (Datenschutzgesetz 2018)
UK-GDPR (BRITISCHE DATENSCHUTZ-GRUNDVERORDNUNG)

NIS-Vorschriften (Network and Information Security Regulations 2018)
Gesetz über Computermissbrauch von 1990

Während diese vier Gesetze zur Cybersicherheit in Großbritannien am einflussreichsten sind, werden wir auch die folgenden Themen behandeln:

Telekommunikationsgesetz (Sicherheit) 2021
UK eIDAS (Elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen Verordnung 2016)
PECR (Vorschriften zum Schutz der Privatsphäre und der elektronischen Kommunikation)

Es gibt auch andere globale Cybersicherheitsvorschriften und -rahmenwerke wie PCI-DSS, NIST, SOX und HIPAA, die viele britische Unternehmen und Organisationen aktiv befolgen. Unternehmen sind jedoch nach britischem Recht nicht verpflichtet, diese zu befolgen.

Erfahren Sie mehr über den Unterschied zwischen einer Regulierung und einem Cyber-Framework >

DSG (Datenschutzgesetz 2018)

Der Data Protection Act 2018 (DPA 2018) ist das primäre Gesetz der britischen Regierung über die Verarbeitung personenbezogener Daten im Vereinigten Königreich, das zusammen mit der UK-DSGVO durchgesetzt wird. Es dient als Datenschutzrahmen, der alle Aspekte der Kontrolle und Verarbeitung personenbezogener Daten durch Unternehmen, Organisationen und Regierungsbehörden regelt.

Da das Vereinigte Königreich auch in der Post-Brexit-Ära noch als EU-Mitgliedstaat gilt, unterliegen viele seiner Unternehmen immer noch der DSGVO. Das Vereinigte Königreich hat jedoch eine eigene Version der DSGVO geschaffen, um seinen nationalen Gesetzen besser gerecht zu werden, die sogenannte UK-DSGVO.

Das DPA 2018 verlangt von allen britischen Datenverantwortlichen (Unternehmen und Organisationen, die die Verarbeitung personenbezogener Daten kontrollieren), angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten zu implementieren und aufrechtzuerhalten. Genauer gesagt gilt es für Unternehmen, die in der Regel Kundendaten und -aufzeichnungen verarbeiten.

Ist die Einhaltung des DPA 2018 verpflichtend?

Ja. Alle Unternehmen, die dem Datenschutzgesetz von 2018 unterliegen, müssen über geeignete Maßnahmen zum Schutz von Daten wie personenbezogenen Daten, Krankenakten und Kundendaten verfügen.

Darüber hinaus sind Datenverarbeiter verpflichtet, Datenschutzverletzungen und Cybervorfälle innerhalb von 72 Stunden unverzüglich den zuständigen Behörden zu melden, den für die Verarbeitung Verantwortlichen über die Datenschutzverletzung zu informieren und alle an der Datenschutzverletzung Beteiligten zu informieren.

Welche Strafen drohen bei Nichteinhaltung der DPA 2018?

Wenn britische Unternehmen das DPA 2018 nicht einhalten, können sie mit einer Geldstrafe von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes belegt werden.

Darüber hinaus sind Verantwortliche, die personenbezogene Daten verarbeiten, gemäß den Data Protection (Charges and Information) Regulations 2018 verpflichtet, je nach Größe und Umsatz des Unternehmens eine jährliche Datenschutzgebühr an das Information Commissioner's Office (ICO) zu zahlen.

Funktionsweise des Datenschutzgesetzes in Verbindung mit der UK-DSGVO

Der Data Protection Act 2018 ergänzt und bringt die Datenschutzbemühungen der DSGVO in das britische Datenschutzrecht ein. Sowohl die UK-DSGVO als auch das DPA 2018 arbeiten zusammen, um den Datenschutz und die Privatsphäre im Vereinigten Königreich zu regeln.

Sowohl die britische DSGVO als auch die DPA 2018 verlangen von allen britischen Unternehmen, Organisationen und Regierungsbehörden, strenge Cybersicherheitsmaßnahmen zu ergreifen, um die von ihnen erfassten und verarbeiteten personenbezogenen Daten angemessen zu schützen und Sicherheitsverletzungen zu minimieren.

Während der Data Protection Act 2018 für alle britischen Unternehmen gilt, die die Verarbeitung personenbezogener Daten kontrollieren, gilt die DSGVO für diejenigen, die personenbezogene Daten im Auftrag von Verantwortlichen verarbeiten.

Zu den Cyberstraftaten, die unter das DPA 2018 fallen, gehören die Zerstörung, Fälschung, unrechtmäßige Verwendung oder unrechtmäßige Erlangung personenbezogener Daten sowie die Veränderung von Informationen, um eine Offenlegung gegenüber der betroffenen Person zu verhindern.

Das DPA 2018 stellt sicher, dass britische Bürger die Freiheit haben, darüber informiert zu werden, wie ihre Daten von britischen Organisationen und Regierungsbehörden verwendet werden, und sie können die Löschung, Aktualisierung oder Wiederverwendung der Daten verlangen oder der Art und Weise, wie sie verarbeitet werden, widersprechen.

UK-GDPR (BRITISCHE DATENSCHUTZ-GRUNDVERORDNUNG)

Die UK-GDPR (General Data Protection Regulation) ist die Datenschutzverordnung des Vereinigten Königreichs, die auf den Data Protection Act 2018 zugeschnitten ist und diesen ergänzt. Sie lehnt sich ebenfalls an die EU-DSGVO an und regelt und regelt, wie britische Organisationen und Unternehmen personenbezogene Daten erheben, speichern, verwenden und verarbeiten.

Vor dem Brexit waren die Vorschriften zur Datenverarbeitung Teil der EU-DSGVO unter der Gerichtsbarkeit des EWR (Europäischer Wirtschaftsraum). Obwohl das Vereinigte Königreich heute nicht an die europäische Politik angeschlossen ist, verwendet es dieselben Komponenten der Verordnung mit leichten Anpassungen und Modifikationen, um sie an die nationalen Gesetze im Vereinigten Königreich anzupassen.

Die UK-DSGVO-Verordnung gilt für jedes Land des Vereinigten Königreichs (England, Schottland, Wales und Nordirland) und verpflichtet Unternehmen, alle personenbezogenen Daten zu schützen, indem sie nur Dritten Zugriff auf die personenbezogenen Daten gewähren, die "ausreichenden Garantien unterliegen, die die Sicherheit der Verarbeitungsdienste betreffen. ”

Darüber hinaus schützt die UK-DGPR das Recht der betroffenen Personen (Personen, deren Daten gemäß dem Datenschutzgesetz 2018 gespeichert werden), zu kontrollieren, wie mit ihren Daten umgegangen wird.

Die UK-GDPR kennt sieben Hauptprinzipien für die Verarbeitung personenbezogener Daten durch Unternehmen:

Rechtmäßigkeit, Fairness und Transparenz
Zweckbindung
Datenminimierung
Genauigkeit
Begrenzung der Lagerung
Integrität und Vertraulichkeit (Sicherheit)
Verantwortlichkeit

Die UK-GDPR-Vorschriften verpflichten Unternehmen, die Daten britischer Bürger in einer Weise zu speichern, zu verarbeiten und zu verarbeiten, die den Anforderungen der Grundsätze entspricht.

Lesen Sie hier, um mehr über die sieben Prinzipien zu erfahren und wie sie bei der Einhaltung helfen.

Ist die Einhaltung der UK-DSGVO obligatorisch?

Alle britischen Organisationen und Unternehmen, die an der Erfassung, Handhabung, Speicherung oder Verarbeitung personenbezogener/privater Daten aller Unternehmen im Vereinigten Königreich beteiligt sind, müssen die UK-DSGVO einhalten.

Die UK-GDPR gilt für britische Organisationen, die personenbezogene Daten verarbeiten und Controller sind und verpflichtet sind, Sicherheitsmaßnahmen zum Schutz personenbezogener Daten zu ergreifen, wie sie in den Richtlinien der UK-GDPR empfohlen werden.

Einer der wichtigsten Schritte zur Erreichung der Einhaltung der britischen DSGVO sowie der DPA-Konformität besteht darin:

Halten Sie sich an die sieben Grundsätze der Datenverarbeitung
Erstellen Sie eine IT-Sicherheitsrichtlinie, um die Sicherheitsanforderungen der DSGVO zu erfüllen
Implementieren Sie starke Datenschutzkonzepte
Pflegen Sie eine klare, umfassende und geeignete Datenschutzrichtlinie

Welche Strafen drohen bei Nichteinhaltung der britischen DSGVO?

Unternehmen, die sich nicht an die britische DSGVO halten, können mit einer Geldstrafe von bis zu 17,5 Millionen Pfund (20 Millionen Euro) oder 4 % ihres gesamten Jahresumsatzes (je nachdem, welcher Betrag höher ist) bestraft werden. Unternehmen können mit einer Geldstrafe belegt werden, auch wenn sie nicht von einem Cyberangriff oder einer Datenschutzverletzung betroffen sind, wenn sie es versäumen, angemessene Sicherheitsstandards für den Zugriff auf Daten von Drittanbietern zu implementieren.

NIS-Vorschriften (Netzwerk- und Informationssysteme)

Eines der wichtigsten Gesetze zur Cybersicherheit im Vereinigten Königreich sind die Network and Information Systems (NIS Regulations) 2018, die vor dem Brexit aus der EU-Cybersicherheitsrichtlinie umgesetzt wurden.

Das Hauptmandat der NIS-Verordnungen besteht darin, "Bedrohungen für die Sicherheit von Netz- und Informationssystemen in akzeptabler und verhältnismäßiger Weise zu erkennen und zu bewältigen. ”

Während der Hauptfokus auf der Cybersicherheit liegt, umfasst es auch die Regulierung von Nicht-Cyber-Bedrohungen wie Stromausfällen, störenden Ereignissen oder Netzwerkausfällen, die durch Umweltkatastrophen verursacht werden.

Die Verordnungen bieten rechtliche Maßnahmen und erlegen Cybersicherheitsverpflichtungen auf für:

Relevante Anbieter digitaler Dienste (RDSPs - Cloud-Computing-Dienstleister und Anbieter von Online-Marktplätzen)
Betreiber grundlegender Dienstleistungen (OES — Gesundheitsversorgung, Energie, Verkehr und Infrastruktur sowie sonstige öffentliche Dienstleistungen)

Diese Dienstleister sind verpflichtet, die Anforderungen an die Cybersicherheit zu erfüllen und sich bei den jeweils zuständigen Behörden zu registrieren.

Ähnlich wie bei der UK-DSGVO und dem DPA 2018 müssen Dienstanbieter auch erhebliche Cybersicherheitsvorfälle unverzüglich den zuständigen Behörden und Regulierungsbehörden wie dem Ofcom (Office of Communications, Ofgem (The Office of Gas and Electricity Markets) und dem ICO melden.

Ist die Einhaltung der NIS-Vorschriften verpflichtend?

Ja. Alle britischen OES und RDSPs müssen die NIS-Vorschriften einhalten.

Um die NIS-Vorschriften einzuhalten, sind alle britischen OES und DSPs verpflichtet, angemessene Cybersicherheitsmaßnahmen und Cyber-Resilienzprogramme zu implementieren, die Folgendes umfassen:

angemessene und robuste Cybersicherheitsmaßnahmen zu implementieren,
Erstellen Sie Incident-Response-Pläne und melden Sie alle Vorfälle an die zuständigen Betreiber

Durchführung von Risikobewertungen
Fokus auf Business Continuity Management
Aufrechterhaltung der Cybersicherheitsüberwachung
Regelmäßige Auditierung
Regelmäßige Penetrationstests und Schwachstellenmanagement
Die Einhaltung einschlägiger internationaler Standards wie ISO 27001, ISO 27035, PCI-DSS und HIPAA, sofern relevant, kann ebenfalls die Grundlage für die NIS-Konformität bilden

Welche Strafen drohen bei Nichteinhaltung der NIS-Vorschriften?

Die NIS-Vorschriften werden durch die Verhängung hoher Geldstrafen durchgesetzt, und bei Nichteinhaltung werden Geldstrafen verhängt. Alle britischen OES und RDSPs, die die Anforderungen nicht erfüllen, können mit einer Strafe von bis zu 17,5 Millionen Pfund (19 Millionen Euro) oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) belegt werden.

Was ist der Unterschied zwischen den NIS-Vorschriften und der DSGVO?

Während die NIS-Verordnungen nur die Sicherheit von Informationssystemen für relevante Anbieter digitaler Dienste (RDSPs) und Betreiber wesentlicher Dienste (OES) regeln, gilt die DSGVO für alle Organisationen, die mit personenbezogenen Daten umgehen.

Die gute Nachricht ist, dass viele der Bestimmungen der NIS-Richtlinie und der Verordnungen mit der britischen DSGVO übereinstimmen. Britische Organisationen, die die UK-DSGVO einhalten, können gleichzeitig auch die Anforderungen erfüllen, die in Verbindung mit den NIS-Vorschriften gelten.

Gesetz über Computermissbrauch von 1990

Der Computer Misuse Act 1990 ist das wichtigste Cybersicherheitsgesetz, das die digitale Beziehung des Vereinigten Königreichs zwischen Einzelpersonen und böswilligen Parteien regelt. Sie wird direkt mit dem Data Protection Act 2018 und der UK-GDPR durchgesetzt, die die personenbezogenen Daten von Einwohnern des Vereinigten Königreichs schützen.

Der Computer Misuse Act 1990 wurde 1990 in erster Linie zum Schutz von Telefonzentralen entwickelt und verfolgt auch Kriminelle für unbefugten Zugriff auf Computer zum Zwecke der Änderung, Entfernung oder Manipulation von Daten sowie für böswillige Cyberkriminalität und Cyberangriffe wie Ransomware und DDoS-Angriffe.

Dazu gehören Cyberkriminelle, die ein Cyberverbrechen im Vereinigten Königreich begangen haben, oder Computer, die sich im Vereinigten Königreich befinden. Bei den Informationen, auf die ein Cyberkrimineller illegal Zugriff hat, muss es sich nicht unbedingt um personenbezogene Daten handeln, die Cyberkriminelle verwenden, um Identitätsbetrug oder Identitätsdiebstahl zu begehen.

Wie von den CPS (Crown Prosecution Services) angegeben, bezieht sich ein "Computer" auf Geräte wie Smartphones, Tablets und andere Geräte neben persönlichen Desktop-Computern, die sensible Informationen und Daten speichern, abrufen und verarbeiten.

In Bezug auf ethisches Hacking

Die häufigste Herausforderung durch die rechtlichen Maßnahmen des Computer Misuse Act 1990 ist die Regulierung von ethischem Hacking, das nach dem Gesetz technisch illegal ist, da es jeden nicht einvernehmlichen Systemzugriff als Verbrechen definiert, unabhängig von den Vorteilen der Cybersicherheit.

Der Computer Misuse Act 1990 ist mehr als 30 Jahre alt, und obwohl er seitdem geändert wurde, glauben britische Organisationen und Unternehmen, dass er unbeabsichtigt die Arbeit ethischer Hacker behindert.

Cybersicherheitsforscher, Cyber-Bedrohungsanalysten und Penetrationstester haben Schwierigkeiten, im Rahmen der Verordnung zu arbeiten. Die Handlung könnte von aktualisierten Abschnitten profitieren, die den Unterschied zwischen ethischem und böswilligem Hacking besser veranschaulichen.

Während Cybersicherheitsteams im Rahmen dieses Gesetzes nicht viel Spielraum haben, um ethisches Hacking durchzuführen, gibt es keine Fälle, in denen Cybersicherheitsteams in Großbritannien für ethisches Hacking bestraft wurden.

Ist die Einhaltung des Computer Misuse Act 1990 verpflichtend?

Der Computer Misuse Act 1990 verfolgt Cyberkriminelle, wenn sie die folgenden illegalen Aktivitäten begehen:

Unbefugter Zugriff auf die Daten und sensiblen Informationen eines Computers in böswilliger Absicht und ohne Erlaubnis
Die vorsätzliche Verwendung von Computern, um eine Straftat zu begehen oder anderen zu schaden
Die Änderung, Entfernung, Manipulation oder Lösegeldforderung von personenbezogenen Daten durch Malware und Viren
Selbstgefälligkeit und Beihilfe zum Computermissbrauch durch Erstellung oder Beschaffung von Informationen zur Durchführung anderer Cyberkriminalität

Was sind die Strafen für die Nichteinhaltung von Computermissbrauch von 1990?

Die Geldstrafen und Gefängnisstrafen für Gesetzesverstöße nach dem Computer Misuse Act 1990 variieren, umfassen aber im Allgemeinen Folgendes:

eine Geldstrafe von 5.000 Pfund oder eine sechsmonatige Haftstrafe für unbefugten Zugriff auf oder böswillige Nutzung von Daten;
Unbefristete Geldstrafe oder eine fünfjährige Haftstrafe für die Absicht, Cyberkriminalität zu begehen;
Unbegrenzte Geldstrafe oder eine fünfjährige Gefängnisstrafe für die Änderung, böswillige Manipulation, Entfernung und Lösegeldzahlung
Unbegrenzte Geldstrafe oder eine 10-jährige Gefängnisstrafe für Selbstgefälligkeit und Beihilfe zum Computermissbrauch

Telekommunikationsgesetz (Sicherheit) 2021

Der Telecommunications (Security) Act, der im November 2021 in Kraft trat (vollständige Umsetzung bis März 2024 erwartet), ist ein strenges, allumfassendes Gesetz, das die Netzwerksicherheit gegen Cyberangriffe aller Mobilfunkanbieter in Großbritannien regelt.

Die neuen Vorschriften wurden nach dem Communications Act 2003 geändert und von der Ofcom mit Hilfe und Unterstützung des National Cyber Security Centre durchgesetzt und formuliert.

Dieses Gesetz regelt die Art und Weise, wie Telekommunikationsanbieter Infrastrukturen und Dienste wie 5G-Netze beschaffen, sowie die Anreize zum Schutz von Software, Ausrüstung und Daten, die von Netzwerken und Diensten verarbeitet werden.

Das Telekommunikationsgesetz (Sicherheitsgesetz) umfasst:

Wie CSPs (Communication Service Provider) Aktivitäten und Zugriffe überwachen;
Wie sie Investitionen in Sicherheit und Datenschutz überwachen;
Wie Dienstanbieter Stakeholder über Datenschutzverletzungen oder Cybervorfälle informieren.

Ist die Einhaltung des Telekommunikations(sicherheits)gesetzes verpflichtend?

Die Einhaltung des UK Telecommunications (Security) Act ist für Kommunikationsdienstleister (CSPs) obligatorisch.

Der Rechtsakt verpflichtet CSPs,

Minimierung von Cybersicherheitsrisiken
Schützen Sie die Informationen, die von ihren Netzwerkinformationen verarbeitet werden.
Konzentrieren Sie sich auf die Risiken der Lieferkette und kümmern Sie sich darum, wer Zugang zu ihren Netzwerken und Diensten hat
Umgehende Information der Regulierungsbehörde im Falle von Cybersicherheitsverletzungen
Schutz der Überwachung und Analyse von Hardware und Software ihres Netzwerks und ihrer Dienste
Verbessern Sie ihre Fähigkeit, Cybersicherheitsanomalien zu verstehen und zu identifizieren und ungewöhnliche Aktivitäten zu melden

Welche Strafen drohen bei Nichteinhaltung des Telecommunications (Security) Act?

Die Nichteinhaltung des Telecommunications (Security) Act bedeutet, dass britische Mobilfunkanbieter und Breitbanddienstanbieter mit Geldstrafen in Höhe von 117.000 £/Tag oder 10 % des Jahresumsatzes belegt werden können, die von Ofcom durchgesetzt werden.

UK eIDAS (Elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen Verordnung 2016)

Die eIDAS-Verordnung, oder die Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen, gilt für britische Dienste, die die Identität britischer Bürger und Geschäfte online sowie die Authentizität ihrer elektronischen Aufzeichnungen und Dokumente überprüfen.

Die eIDAS-Verordnung ist ein Rechtsrahmen, der die Anforderungen an Vertrauensdiensteanbieter in Bezug auf elektronische Signaturen, Zeitstempel, digitale Dokumente und Zertifikatsdienste festlegt, um einen qualifizierten Status als Vertrauensdiensteanbieter zu erreichen. Ein Vertrauensdienstzertifikat zeigt, dass das Unternehmen seriös ist und dass die Kunden ihm die Echtheit und Überprüfung ihrer elektronischen Daten anvertrauen können.

Gemäß der eIDAS-Verordnung müssen britische Vertrauensdiensteanbieter organisatorische Maßnahmen für das Cybersicherheitsrisikomanagement ergreifen, um die Auswirkungen von Sicherheitsvorfällen im Falle einer Verletzung des elektronischen Identifizierungssystems zu minimieren.

Obwohl es sich hierbei um die ENISA-Dokumente (Agentur der Europäischen Union für Netz- und Informationssicherheit) als Teil der EU-eIDAS-Verordnung handelt, stellen sie auch eine anwendbare Ressource für die eIDAS-Konformität im Vereinigten Königreich dar.

Lesen Sie hier, um mehr über Richtlinien und Empfehlungen zur Einhaltung der eIDAS-Verordnung zu erfahren.

Ist die Einhaltung von eIDAS im Vereinigten Königreich obligatorisch?

Vertrauensdiensteanbieter müssen alle Cyber-Verstöße melden und innerhalb von 24 Stunden einen designierten ICO (Information Commissioner) sowie alle Betroffenen benachrichtigen.

Der Information Commissioner fungiert als Durchsetzungsstelle und Aufsicht, die Audits durchführt und allen britischen Dienstleistern, die unter die eIDAS-Verordnung fallen, den qualifizierten Status des Vertrauensdienstes entziehen und gewähren kann.

Welche Strafen drohen bei Nichteinhaltung von eIDAS in Großbritannien?

Wenn ein Vertrauensdiensteanbieter einer britischen eIDAS-Durchsetzungs-/Bewertungs-/Informationsmitteilung des ICO nicht nachkommt, kann er mit Geldstrafen von bis zu 17,5 Mio. GBP oder 4 % seines gesamten weltweiten Jahresumsatzes bestraft werden.

PECR (Vorschriften zum Schutz der Privatsphäre und der elektronischen Kommunikation)

Die Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR) sind das britische Gesetz für elektronische Kommunikationsnetze und -dienste in Übereinstimmung mit dem Datenschutzgesetz und der UK-DSGVO, das die Datenschutzrechte in Bezug auf die elektronische Kommunikation regelt.

PECR spielt eine wichtige Rolle bei der Aufrechterhaltung der Sicherheit britischer Kommunikationsdienste, der Privatsphäre der Kunden und der Standortdaten und kriminalisiert auch die Übertragung automatisierter und aufgezeichneter Marketingnachrichten per Telefon, E-Mail, Fax oder SMS ohne Zustimmung des Abonnenten. Darüber hinaus regelt sie auch die Verwendung von Tracking-Cookies.

Die PECR-Anforderungen gelten nur für Organisationen, Netzwerke und Dienstanbieter, die elektronische Kommunikationsdienste wie E-Mail, Text, Fax und Telefonmarketing anbieten, Cookies verwenden und Telefonverzeichnisse erstellen.

PECR arbeitet in Verbindung mit der UK-DSGVO und verwendet den Einwilligungsstandard der britischen DSGVO. Unternehmen, die Tracking-Cookies verwenden oder mit elektronischem Marketing arbeiten, müssen sowohl die britische DSGVO als auch die PECR einhalten, und die Überschneidung der Datenschutzanforderungen beider Vorschriften bedeutet, dass Unternehmen, die die PECR einhalten, auch die Anforderungen der britischen DSGVO erfüllen können.

Ist die Einhaltung von PECR verpflichtend?

Ja, die Einhaltung von PECR ist verpflichtend. Unternehmen, die sich nicht daran halten, werden vom ICO bestraft.

Um die PECR einzuhalten, müssen Unternehmen:

Informieren Sie ihre Kunden und Nutzer darüber, dass sie Cookies verwenden, und erklären Sie, warum sie verwendet werden
Benachrichtigen Sie das ICO und alle betroffenen Parteien im Falle einer Datenschutzverletzung innerhalb von 24 Stunden nach Entdeckung und führen Sie ein Protokoll
Bitten Sie um die Zustimmung des Kunden für Tracking-Cookies
Geben Sie an, wie lange die Cookies verwendet werden.

Welche Strafen drohen bei Nichteinhaltung von PECR?

Unternehmen und Organisationen, die die PECR-Anforderungen nicht erfüllen, müssen mit einer Prüfung und nicht-strafrechtlichen Durchsetzung rechnen. Häufige Rechtsverletzer können vom Information Commissioner mit einer Geldstrafe von bis zu 500.000 GBP oder einer strafrechtlichen Verfolgung bestraft werden.

Meldung von Cyberkriminalität in Großbritannien

Unabhängig davon, ob es sich um eine geringfügige Straftat wie ein unbeabsichtigtes Datenleck oder eine schwere Cyberkriminalität wie Hacking handelt, müssen alle Cyberkriminalität in Großbritannien den jeweiligen Meldestellen und Strafverfolgungsbehörden für Cyberkriminalität gemeldet werden.

Es gibt Organisationen in Großbritannien, die als Meldezentren für Cyberkriminalität fungieren, und einige bieten auch Anleitungen zur Eindämmung und Betrugsprävention an.

Nationales Zentrum für Cybersicherheit (NCSC)

Während das Vereinigte Königreich kein nationales CERT (Computer Emergency Response Team) oder CSIRT (Computer Security Incident Response Team) hat, spielt das NCSC eine wichtige Rolle bei der Information und Bereitstellung von technischem Support und Richtlinien für britische Unternehmen und Organisationen für die Meldung von Cybervorfällen.

Das NCSC, das Teil des GCHQ (Government Communications Headquarters) ist, spielt eine wichtige Rolle in der technischen Behörde für Cybersicherheit, die:

Fungiert als CSIRT, das Organisationen, die einen Cybersicherheitsvorfall gemeldet haben, Anleitung und Unterstützung bietet
Arbeitet mit EU-Partnern als SPOC (Single Point of Contact) zusammen, um jährliche Statistiken zu Cybersicherheitsvorfällen einzureichen und Anfragen zu koordinieren

Berät Betreiber wesentlicher Dienste und zuständige Behörden mit Cybersicherheitswissen und technischer Expertise für NIS-Sicherheitsprinzipien, Cyber-Assessment-Frameworks und Best Practices
Dient als nationale Organisation für die Meldung von Sicherheitsverletzungen und die Meldung von Cyberkriminalität und bietet Anleitungen und geeignete Verfahren zur Reaktion auf Vorfälle für die britische Öffentlichkeit

Die Partnerschaft für den Informationsaustausch im Bereich Cybersicherheit

Die CiSP (Cybersecurity Information Sharing Partnership) ist eine staatlich finanzierte Initiative, die gemeinsam mit dem National Cyber Security Centre Informationen über Cyberbedrohungen in Echtzeit mit dem NCSC austauscht, um das Bewusstsein für Cyberkriminalität zu schärfen und Sicherheitsverletzungen in Großbritannien zu minimieren.

Das CiSP dient als digitaler Dienst, der private britische Sektoren und Organisationen dazu ermutigt, mit staatlichen Sektoren zusammenzuarbeiten, um Cyberkriminalität zu verhindern.

Praktische Schritte zur Einhaltung gesetzlicher Vorschriften für britische Unternehmen

Zur Einhaltung der Anforderungen der DSGVO, der NIS-Vorschriften und anderer Gesetze, die Cybersicherheit und Datenschutz vorschreiben, sollten britische Unternehmen die folgenden Anweisungen befolgen:

Regelmäßige Aktualisierung von Systemen und Software
Verwenden Sie sichere Kennwörter, die Groß- und Kleinbuchstaben, Zahlen und Symbole kombinieren, und vermeiden Sie die Verwendung doppelter Kennwörter
Implementieren Sie eine vollständige Festplattenverschlüsselung auf ihren Systemen.
Nutzen Sie das Prinzip der kleinsten Privilegien in IT-Systemen, um die Sicherheit der Zugriffsrechte für Mitarbeiter und Angestellte zu verbessern
Erstellen und pflegen Sie starke Incident-Response-Pläne und Disaster-Recovery-Pläne, um die UK-DSGVO und NIS innerhalb der erforderlichen 72 Stunden nach einem Cybervorfall zu benachrichtigen
Regelmäßiges Scannen aller gesendeten und empfangenen Daten, Informationen, Nachrichten und Anhänge
Verwenden Sie eine effektive Standardkonfiguration für IT-Geräte und -Anlagen
Pflegen Sie das Inventar aller IT-Geräte, digitalen Assets und Software
Minimieren Sie die Verwendung von Wechseldatenträgern wie USB-Laufwerken oder externen Festplatten für einen verbesserten Datenschutz vor Missbrauch, Datenlecks und Datenverlust
Installieren Sie Firewalls, um ein sicheres Netzwerk zu gewährleisten
Nutzen Sie KI, maschinelles Lernen und Automatisierung, um die Endpunkterkennung und -identifizierung, den Incident-Response-Prozess und die allgemeine Cybersicherheitsstrategie des Unternehmens zu verbessern
Führen Sie regelmäßig Sicherheitsaudits und Sicherheitsüberprüfungen durch, z. B. Schwachstellenscans, Schwachstellenmanagement und Penetrationstests.
Stellen Sie sicher, dass der autorisierte Zugriff auf wichtige Daten nur privilegierten Mitarbeitern gewährt wird, wenn sie ihre eigenen Geräte verwenden, um sich mit Netzwerken zu verbinden
Erstellen Sie bei der Entsorgung von Speichergeräten Richtlinien für die Datenlöschung, und befolgen Sie Best Practices beim Löschen aller Daten, um sich vor Datenlecks zu schützen
Implementieren Sie interne Unternehmensrichtlinien für die sichere Verwendung von E-Mails und das Surfen im Internet gegen böswillige Angriffe
Implementieren Sie Mitarbeiterschulungen und Best Practices, um ihnen zu helfen, Ransomware und Bedrohungen durch Identitätsdiebstahl zu erkennen und Datenschutzverletzungen zu verhindern, die zum Diebstahl geistigen Eigentums führen können
Protokollieren und überwachen Sie regelmäßig die Nutzung aller digitalen Assets und IT-Systeme
Stellen Sie sicher, dass alle Cybersicherheitsmitarbeiter von einer kritischen Aufsichtsbehörde akkreditiert sind
Bemühen Sie sich um die Einhaltung und Einhaltung von Aufsichtsbehörden wie ISO 27001
Stellen Sie sicher, dass das Unternehmen Cybersicherheitsressourcen effektiv nutzt, indem Sie regelmäßig alle Angriffsvektoren in der Cyber-Bedrohungslandschaft bewerten und bewerten

Liste der Gesetze und Vorschriften zur Cybersicherheit in Großbritannien