Die wichtigsten Cybersicherheitsvorschriften in Indien [Aktualisiert 2023]

Indiens ständig wachsende digitale Infrastruktur im Zuge der Pandemie hat die Nachfrage nach neuen, aktualisierten und verbesserten regulatorischen Mandaten zur Stärkung der Cybersicherheit erhöht. Wöchentlich kommt es zu grassierenden Cybersicherheitsvorfällen, die Unternehmen, Organisationen und Einzelpersonen in ganz Indien alarmieren.

Der IBM Security Data Breach Report von 2022 besagt, dass die durchschnittlichen Kosten für Datenschutzverletzungen in Indien für das Geschäftsjahr 2022 ein Rekordhoch von 17,5 Mrd. ₹ (175 Mio. ₹) Rupien oder rund 2,2 Mio. $erreicht haben, was einem Anstieg von 6,6 % gegenüber 2021 und erstaunlichen 25 % gegenüber den durchschnittlichen Kosten von 14 Mrd. ₹ im Jahr 2020 entspricht.

Im Jahr 2021 handelte es sich bei Cybersicherheitsvorfällen um Vorfälle, bei denen es um unbefugten Zugriff und kompromittierte personenbezogene Daten ging. Im Fall von Air India wurden beispielsweise bei einem Cyberangriff Dateien von mehr als 4,5 Millionen Kunden abgeflossen. In einem anderen Vorfall wurden persönliche Datenlecks von rund 180 Millionen Nutzern direkt aus der Datenbank von Domino's India gestohlen.

Als Reaktion auf die sich schnell verändernde digitale Transformation, veraltete Cybersicherheitsgesetze und das Fehlen klarer, umfassender Datenschutzgesetze hat die indische Regierung begonnen, die Regulierung von Cybersicherheit und Cyberkriminalität neu zu bewerten.

Dieser umfassende Leitfaden folgt den wichtigsten indischen Cybersicherheitsvorschriften und -gesetzen, die für Cyberkriminalität relevant sind. Darüber hinaus werden in diesem Artikel die aktuellen indischen Cybersicherheitsgesetze untersucht, wie sie durchgesetzt werden, wie sie Unternehmen und Organisationen schützen und welche Entwicklungen und Verbesserungen für die Zukunft geplant sind.

Die kritischen Fragen der indischen Cybersicherheitsgesetze und -vorschriften

Eines der Hauptprobleme bei Indiens Vorschriften im Bereich der Cybersicherheit besteht darin, dass die Regierung immer noch nach ungeklärten oder veralteten Gesetzen strafrechtlich verfolgt, was den Fortschritt und die Umsetzung angemessener Cybergesetze und -vorschriften behindern kann. Unternehmen haben Schwierigkeiten, aus unklaren Gesetzen und fragmentierten Gesetzgebungsansätzen in den Bereichen Datenschutz und Cybersicherheit die richtigen Richtlinien und Ratschläge abzuleiten.

Um weithin akzeptierte Cybersicherheitsstandards aufrechtzuerhalten, muss Indien umfassendere und informativere Cybersicherheitsgesetze sowie klarere Vorschriften und Reformen verabschieden, um einen besseren Rahmen für die Cybersicherheit und Datenschutzgesetze zu entwickeln.

Andernfalls bleiben die indische Regierung, ihre Strafverfolgungsbehörden und die benannten Regulierungsbehörden an alte Gesetze gebunden, was dazu führen kann, dass Cybersicherheitsprobleme nicht ordnungsgemäß behandelt und ungelöst werden.

In einer Sonderpetition, die 2021 eingereicht wurde, entschied der Oberste Gerichtshof Indiens, dass Cyberangriffe und Datendiebstähle nach dem Information Technology Act (IT Act) von 200 und dem indischen Strafgesetzbuch (IPC) eine Straftat sind. Da das IPC-Strafgesetz über 150 Jahre alt ist, ist ein moderneres und erneuertes IT-Gesetz aus dem Jahr 2000 ab heute die wichtigste Regelung gegen Cyberkriminalität.

Es sind jedoch weitere Arbeiten und Änderungen erforderlich, um Fehler zu korrigieren und weitere Klarstellungen als Reaktion auf neue, aufkommende Bedrohungen der heutigen Zeit zu schaffen.

Erfahren Sie mehr über den Unterschied zwischen einer Regulierung und einem Cyber-Framework >

Top-Cybersicherheitsvorschriften in Indien 2022

Hier sind die aktuellen Gesetze zur Cybersicherheit, die heute in Indien angewendet werden:

1. Das Informationstechnologiegesetz von 2000

Indiens erstes wegweisendes Cybersicherheitsgesetz war der Information Technology Act von 2000.

Der IT Act von 2000 wurde vom indischen Parlament erlassen und vom Indian Computer Emergency Response Team (CERT-In) verwaltet, um die indische Cybersicherheitsgesetzgebung zu leiten, Datenschutzrichtlinien einzuführen und Cyberkriminalität zu regeln. Es schützt unter anderem auch E-Governance, E-Banking, E-Commerce und den Privatsektor.

Indien hat zwar kein exklusives, einheitliches Cybersicherheitsgesetz, nutzt aber das IT-Gesetz und mehrere andere sektorspezifische Vorschriften, um Cybersicherheitsstandards zu fördern. Es bietet auch einen rechtlichen Rahmen für kritische Informationsinfrastrukturen in Indien.

In Abschnitt 43A des IT-Gesetzes müssen indische Unternehmen und Organisationen beispielsweise über "angemessene Sicherheitspraktiken und -verfahren" verfügen, um sensible Informationen vor Kompromittierung, Beschädigung, Offenlegung oder Missbrauch zu schützen.

Gemäß Abschnitt 72A des IT-Gesetzes werden alle Vermittler oder Personen, die personenbezogene Daten ohne Zustimmung des Eigentümers (mit böser Absicht und unter Verursachung von Schäden) offenlegen, mit einer Freiheitsstrafe von bis zu drei Jahren, einer Geldstrafe von bis zu 500.000 Rupien oder beidem bestraft.

2. Gesetz über die Informationstechnologie (Änderung) von 2008

Das Informationstechnologie-Änderungsgesetz 2008 (IT-Gesetz 2008) wurde im Oktober 2008 verabschiedet und trat im folgenden Jahr als wesentliche Ergänzung des IT-Gesetzes von 2000 in Kraft. Diese Änderungen trugen dazu bei, den ursprünglichen Gesetzentwurf zu verbessern, der ursprünglich nicht den Weg für eine weitere IT-bezogene Entwicklung ebnete. Es wurde als innovativer und lang erwarteter Schritt hin zu einem verbesserten Cybersicherheitsrahmen in Indien gefeiert.

Mit dem IT-Gesetz von 2008 wurden aktualisierte und neu definierte Begriffe für den aktuellen Gebrauch hinzugefügt, wodurch die Definition von Cyberkriminalität und die Validierung elektronischer Signaturen erweitert wurden. Es ermutigt Unternehmen auch nachdrücklich, bessere Datensicherheitspraktiken einzuführen, und macht sie für Datenschutzverletzungen haftbar.

Das IT-Gesetz von 2008 gilt für jede Einzelperson, jedes Unternehmen oder jede Organisation (Vermittler), die Computerressourcen, Computernetzwerke oder andere Informationstechnologie in Indien nutzt. Dazu gehören auch Dienstleister für Webhosting, Internet, Netzwerk und Telekommunikation. Dazu gehören auch ausländische Organisationen, die in Indien präsent sind, und Unternehmen außerhalb des Landes, die in Indien tätig sind.

Der neue Information Technology Amendment Act von 2008 deckt mit über neun Kapiteln und 117 Abschnitten wichtige Informationssicherheitspraktiken für Cyberkriminalität und Datenschutz ab und umfasst die folgenden Verantwortlichkeiten:

• Verbesserung von Cybersicherheitsmaßnahmen und Forensik
• Verpflichtung von Intermediären und Körperschaften, Cybersicherheitsvorfälle an das CERT-In zu melden
• Verhinderung der unbefugten/rechtswidrigen Nutzung eines Computersystems
• Schutz privater Daten und Informationen vor Cyberterrorismus, DDoS-Angriffen, Phishing, Malware und Identitätsdiebstahl
• Rechtliche Anerkennung für die Cybersicherheit von Organisationen
• Sicherung von elektronischen Zahlungen und elektronischen Transaktionen sowie Überwachung und Entschlüsselung elektronischer Aufzeichnungen
• Schaffung eines rechtlichen Rahmens für digitale Signaturen
• Anerkennung und Regulierung von Intermediären

Es ist wichtig zu beachten, dass das größte Problem mit dem IT-Gesetz 2008 in Unterabschnitt 69 liegt, der die indische Regierung ermächtigt, Daten und Inhalte nach eigenem Ermessen zügig abzufangen, zu überwachen, zu entschlüsseln, zu blockieren und zu entfernen, was ernsthafte Bedenken hinsichtlich des Datenschutzes aufwerfen kann.

Verstöße gegen das IT-Gesetz können mit Strafen von 1.250 US-Dollar bis zu 3 Jahren Gefängnis geahndet werden, während Strafen für schwerere Straftaten und Cyberkriminalität mit Freiheitsstrafen von bis zu 10 Jahren geahndet werden können.

3. Regeln für die Informationstechnologie, 2011

Ein weiteres wichtiges Segment der Cybersicherheitsgesetzgebung nach dem IT-Gesetz sind die Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules 2011 (Privacy Rules).

Zu den wichtigsten Änderungen gehören Bestimmungen zur Regulierung von Vermittlern, aktualisierte Strafen und Gebühren für Verstöße für Cyberkriminalität, Betrug, Verleumdung und nicht einvernehmliche Veröffentlichung privater Bilder sowie die Zensur/Einschränkung bestimmter Meinungsäußerungen.

Sowohl der Information Technology Act (ITA) als auch die IT-Regeln sind wichtig für die Art und Weise, wie indische Unternehmen und Organisationen sensible Informationen verarbeiten, den Datenschutz, die Datenspeicherung und die Erfassung personenbezogener Daten und anderer sensibler Informationen.

Auch andere indische Sektoren wie Banken, Versicherungen, Telekommunikation und Gesundheitswesen enthalten Datenschutzbestimmungen als Teil ihrer separaten Gesetze.

4. Indische SPDI Rules, 2011 für angemessene Sicherheitspraktiken

Die IS/ISO/IEC 27001-Vorschriften werden von den indischen SPDI Rules, 2011, als internationale Standards identifiziert. Daher sind indische Unternehmen nicht verpflichtet - aber es wird dringend empfohlen -, diese Standards umzusetzen, die dazu beitragen können, die "angemessenen Sicherheitspraktiken" unter indischer Gerichtsbarkeit zu erfüllen.

Die Regeln können Einzelpersonen auch das Recht einräumen, ihre Daten zu korrigieren, und Beschränkungen für die Offenlegung, Datenübertragung und Sicherheitsmaßnahmen auferlegen. Sie gelten nur für Unternehmen, sind jedoch nicht für die Authentizität sensibler personenbezogener Daten (SPD) wie sexuelle Orientierung, Krankenakten und -geschichte, biometrische Informationen und Passwörter verantwortlich.

5. Nationale Cybersicherheitspolitik, 2013

Im Jahr 2013 veröffentlichte das Department of Electronics and Information Technology (DeitY) die National Cyber Security Policy 2013 als Sicherheitsrahmen für öffentliche und private Organisationen, um sich besser vor Cyberangriffen zu schützen.

Das Ziel der National Cyber Security Policy ist es, dynamischere Richtlinien zu schaffen und zu entwickeln, um den Schutz des indischen Cyber-Ökosystems zu verbessern. Die Politik zielt darauf ab, in den folgenden fünf Jahren durch Kompetenzentwicklung und Schulung eine Belegschaft von über 500.000 IT-Experten zu schaffen.

Zu den weiteren Zielen des NSCP gehören:

• Schaffung eines widerstandsfähigen und sicheren Cyberspace für Einzelpersonen, Organisationen und die Regierung
• Überwachung, Schutz von Cyber-Infrastrukturen und -Informationen, Reduzierung von Schwachstellen und Stärkung der Abwehr von Cyberangriffen
• Entwicklung von Frameworks, Funktionen und Strategien für das Schwachstellenmanagement zur Minimierung, schnelleren Prävention oder Reaktion auf Cybervorfälle und Cyberbedrohungen
• Ermutigt Unternehmen, Cybersicherheitsrichtlinien zu entwickeln, die mit strategischen Zielen, Geschäftsabläufen und allgemeinen Best Practices übereinstimmen

• Gleichzeitig institutionelle Strukturen, Menschen, Prozesse, Technologien und Kooperationen schaffen, um den durch Cyberkriminalität verursachten Schaden zu minimieren

6. IT-Regeln, 2021

Am 25. Februar 2021 hat das Ministerium für Elektronik und Informationstechnologie die Regeln für Informationstechnologie (Richtlinien für Vermittler und Ethikkodex für digitale Medien) von 2021 als Ersatz für die IT-Regeln von 2011 eingeführt. Etwas mehr als ein Jahr später, am 6. Juni 2022, wurden die neu aktualisierten Änderungsentwürfe vom indischen MeitY (Ministerium für Elektronik und IT) veröffentlicht, um das IT-Gesetz zu verbessern, um mit den Herausforderungen der sich ständig verändernden digitalen Landschaft Schritt zu halten.

Die neuen Änderungen zielen darauf ab, es normalen Nutzern digitaler Plattformen zu ermöglichen, eine Entschädigung für ihre Beschwerden zu verlangen und Rechenschaft zu verlangen, wenn ihre Rechte verletzt werden, sowie Organisationen eine zusätzliche Sorgfaltspflicht aufzuerlegen.

Die IT-Regeln von 2021 unterscheiden auch zwischen kleineren und bedeutenderen Social-Media-Intermediären auf der Grundlage der Nutzerzahlen und stellen eine viel stärkere Belastung für größere Social-Media-Intermediäre in Bezug auf den Schutz personenbezogener Daten.

Darüber hinaus gibt es Änderungen an den Datenschutz- und Transparenzanforderungen von Intermediären, wie z. B.:

• Intermediäre müssen die Nutzer über Regeln und Vorschriften, Datenschutzrichtlinien und Geschäftsbedingungen für die Nutzung ihrer Dienste informieren
• Verpflichtung von Intermediären, einen Beschwerdebeauftragten zu benennen, der Benutzerbeschwerden über Verstöße gegen die IT-Regeln bearbeiten und lösen kann, 2021

Lesen Sie hier mehr über die neuesten Entwürfe zur Änderung der IT-Regeln 2021.

7. Nationale Strategie für Cybersicherheit 2020

Die Nationale Cybersicherheitsstrategie von 2020 war der lang erwartete Nachfolgeplan der indischen Regierung, um die Cybersicherheitsbemühungen weiter zu verbessern. Obwohl sich der Plan noch in der Entwicklung befindet und auf die Überprüfung durch das Sekretariat des Nationalen Sicherheitsrats wartet, besteht das Hauptziel des Plans darin, als offizielle Anleitung für Interessengruppen, politische Entscheidungsträger und Unternehmensführer zu dienen, um Cybervorfälle, Cyberterrorismus und Spionage im Cyberspace zu verhindern.

Die Strategie zielt darauf ab, die Qualität der Cybersicherheitsprüfung zu verbessern, damit Unternehmen ihre Cybersicherheitsarchitektur und ihr Wissen besser überprüfen können. Die Hoffnung ist, dass Cyber-Auditoren nach der Implementierung der Richtlinie ihre Sicherheitsstandards verbessern und die Unternehmen letztendlich dazu ermutigen, ihre Sicherheitsprogramme zu verstärken.

8. KYC (Kennen Sie Ihren Kunden)

KYC-Prozesse (Know Your Customer) sind Standards und Praktiken, die weltweit verwendet werden und von der RBI (Reserve Bank of India) vorgeschrieben werden. KYC ist die Verfolgung und Überwachung der Sicherheit von Kundendaten für einen verbesserten Schutz vor Betrug und Diebstahl von Zahlungsdaten. Es verlangt von Banken, Versicherungen und allen anderen digitalen Zahlungsunternehmen, die Finanztransaktionen durchführen, dass sie alle ihre Kunden verifizieren und identifizieren.

Für eine ordnungsgemäße KYC-Compliance und zur Erfüllung der finanziellen regulatorischen Anforderungen müssen Unternehmen die folgenden Cybersicherheitsschritte einbeziehen:

• Durchführung eines wissensbasierten Fragebogentests zur Überprüfung der Kundenidentität
• Implementierung von KYC-Verifizierungsmethoden vor der Prüfung, wie z. B. E-Mail-Verifizierung, Telefonverifizierung, Device ID Intelligence und Reputationsdaten
• Einsatz von KI-basierter Technologie und maschinellem Lernen zur Verifizierung von Dokumenten und amtlich ausgestellten Ausweisen
• Verwendung von biometrischen Daten wie Fingerabdrücken und Gesichtserkennung, um die Identität eines Benutzers zu überprüfen
• Pflege einer Kundendatenbank zu Verifizierungszwecken

Unternehmen mit KYC-Richtlinien versichern ihren Kunden, dass sie über die entsprechenden Compliance-Management- und Betrugsbekämpfungslösungen verfügen, um ihre digitalen Identitäten und Zahlungstransaktionsdaten zu schützen. Mit der KYC-Konformität können sich indische Händler auf eine sichere Zahlungsabwicklung verlassen, die Vorschriften von SEBI einhalten und Vertrauen bei den Kunden aufbauen.

Bei Nichteinhaltung der KYC-Anweisungen können Banken, Unternehmen und Konzerne mit einer Geldstrafe von 2 Lakh (200.000 ₹) rechnen.

9. Gesetz der Reserve Bank of India von 2018

Die Reserve Bank of India hat 2018 den RBI Act eingeführt, der die Cybersicherheitsrichtlinien und -rahmen für UCBs (Urban Co-operative Banks) und Zahlungsbetreiber festlegt.

Der RBI-Act von 2018 zielt darauf ab:

• Schaffung von Standards, die die Sicherheitsrahmen von Banken und Zahlungsbetreibern entsprechend ihrer Anpassung an neue Technologien und die Digitalisierung angleichen
• Beauftragen Sie die Banken, ihre Pläne für das Cyber-Krisenmanagement zu erstellen und vorzulegen
• Beauftragen Sie Banken mit der Implementierung von vom Unternehmen genehmigten (vom Vorstand genehmigten) Informationssicherheitsrichtlinien, die die Bereitschaft zur Cybersicherheit erfolgreich beschreiben
• Verpflichten Sie die Banken, obligatorische Benachrichtigungen über Sicherheitsverletzungen einzuführen, bei denen UCBs Cybersicherheitsvorfälle innerhalb von 2 bis 6 Stunden nach Entdeckung umgehend erkennen und an die RBI melden müssen, um besser auf die Angriffe reagieren zu können

• Ermutigen Sie die Banken, regelmäßig Audits zur Bedrohungsbewertung durchzuführen
• Unterstützung von Banken bei der Implementierung ihrer eigenen E-Mail-Domains mit Anti-Phishing- und Anti-Malware-Technologie sowie bei der Durchsetzung von DMARC-Sicherheitskontrollen

Alle indischen Banken müssen diese Richtlinien befolgen, um die Rahmenbedingungen für die Cybersicherheit der Zahlungsabwicklung zu standardisieren und die ständig zunehmenden geschäftlichen Komplikationen in einer digitalen Umgebung zu bekämpfen.

Der RBI Act von 2018 verhängt Geldbußen gegen Banken und den Finanzsektor bei Nichteinhaltung ihrer Cybersicherheitsanforderungen. Die Strafen können bis zu 10 Lakh (1.000.000 ₹) betragen.

10. Das Gesetz zum Schutz digitaler personenbezogener Daten von 2023 (DPDP)

Am 11. August 2023 hat die indische Zentralregierung ihren lang erwarteten Digital Personal Data Protection Act (DPDP) verabschiedet. Das Gesetz entlehnt seine weit gefasste Definition von personenbezogenen Daten der EU-Datenschutz-Grundverordnung (DSGVO) und zielt darauf ab, Datenprinzipale zu schützen und die Aktivitäten von Datentreuhändern einzuschränken.

Das DPDP verpflichtet Datentreuhänder:

• Beauftragen oder beauftragen Sie nur externe Datenverarbeiter, die durch einen gesetzlichen Vertrag zur Einhaltung der DPDP-Verfahren verpflichtet sind
• Stellen Sie sicher, dass personenbezogene Daten vollständig und richtig sind, bevor Sie die Daten verwenden, um eine Entscheidung zu treffen, die den Datenhauptmann betrifft, oder bevor Sie an der Übermittlung personenbezogener Daten teilnehmen
• Implementieren Sie die notwendigen organisatorischen Maßnahmen und technischen Protokolle, um die kontinuierliche Einhaltung sicherzustellen
• Implementierung angemessener Sicherheitsvorkehrungen und Audits zum Schutz personenbezogener Daten und zur Verhinderung von Verletzungen des Schutzes personenbezogener Daten
• Benachrichtigen Sie alle betroffenen Datenverantwortlichen und den Datenschutzausschuss über alle bekannten Datenschutzverletzungen
• Sicheres Löschen und Vernichten aller personenbezogenen Daten, wenn ein Auftraggeber seine Einwilligung widerruft (es sei denn, die Aufbewahrung dieser Daten ist gesetzlich vorgeschrieben)

Darüber hinaus richtete das DPDP das Data Protection Board of India ein und skizzierte eine neue Klasse von Datentreuhändern. Bedeutende Datentreuhänder sind Organisationen, die aufgrund einer behördlichen Bewertung ein erhöhtes Risiko darstellen. Organisationen, die als bedeutende Datentreuhänder eingestuft werden, müssen zusätzliche Anforderungen erfüllen.

Die wichtigsten indischen Regulierungsbehörden für Cybersicherheit

Um Cybersicherheitsvorschriften durchzusetzen, sind dies die wichtigsten Regulierungsbehörden, die sicherstellen, dass Gesetze und Standards von allen indischen Organisationen eingehalten werden.

1. Computer-Notfallreaktionsteam (CERT-In)

Das Computer Emergency Response Team (CERT-In) wurde 2004 offiziell gegründet und ist die nationale Knotenstelle für die Erfassung, Analyse, Vorhersage und Verbreitung unkritischer Cybersicherheitsvorfälle.

Neben der Meldung und Benachrichtigung von Cybersicherheitsvorfällen hilft die CERT-In-Cybersicherheitsrichtlinie auch bei der Herausgabe von Richtlinien für indische Organisationen und bietet die besten Informationssicherheitspraktiken für die Verwaltung und Prävention von Cybersicherheitsvorfällen.

Die Jurisdiction of Information Technology Rules, 2013 ist verantwortlich für die Mandatierung aller indischen Rechenzentren, Dienstanbieter und deren Zwischenhändler. Alle Intermediäre sind verpflichtet, alle Cybersicherheitsvorfälle an das CERT-In zu melden.

Das CERT-In fungiert als primäre Task Force, die:

• Analyse von Cyber-Bedrohungen, Schwachstellen und Warninformationen
• Reagiert auf Cybersicherheitsvorfälle und Datenschutzverletzungen
• Koordiniert die geeignete Reaktion auf Cyberangriffe und führt Forensik zur Behandlung von Vorfällen durch
• Identifizieren, definieren und ergreifen Sie geeignete Maßnahmen zur Minderung von Cyberrisiken
• Empfehlen Sie Unternehmen Best Practices, Richtlinien und Vorsichtsmaßnahmen für das Management von Cybervorfällen, damit sie effektiv reagieren können

Die Rollen und Funktionen des CERT-Ins wurden später in einer zusätzlichen Änderung der Regeln für Informationstechnologie (The Indian Computer Emergency Response Team and Manner of Performing Functions and Duties) (IT-Regeln, 2013) klargestellt.

CERT-In Neueste 6-Stunden-Frist für die Meldung von Datenschutzverletzungen

Die neuesten Vorschriften des CERT-In befassen sich mit der Meldung von Cybersicherheit und verpflichten alle indischen Unternehmen, Dienstleister, Vermittler, Rechenzentren und Unternehmen, identifizierte Cybersicherheitsvorfälle und Datenschutzverletzungen innerhalb einer Frist von 6 Stunden zu melden.

Viele indische Organisationen lehnten die unmögliche Anforderung jedoch ab und erklärten, dass das kurze Meldefenster nicht ausreiche, um auf Cybersicherheitsvorfälle mit einem detaillierten Bericht zu reagieren.

Trotz der Gegenreaktion drohen betroffenen Organisationen, die diese Vorschriften nicht befolgen, bis zu einem Jahr Gefängnis, erhebliche Strafen und Geldstrafen bei Nichteinhaltung, wenn sie Cybersicherheitsvorfälle nicht an das CERT-In melden.

2. Nationales Zentrum für den Schutz kritischer Informationsinfrastrukturen (NCIIPC)

Das National Critical Information Infrastructure Protection Center (NCIIPC) wurde am 16. Januar 2014 von der indischen Regierung gemäß Abschnitt 70A des IT-Gesetzes von 2000 (geändert 2008) gegründet.

Das NCIIPC mit Sitz in Neu-Delhi wurde zum nationalen Knotenpunkt für den Schutz kritischer Informationsinfrastrukturen ernannt. Darüber hinaus wird das NCIIPC als Einheit der National Technical Research Organization (NTRO) betrachtet und untersteht daher dem Büro des Premierministers (PMO).

Das indische Parlament unterteilt die Cybersicherheit in zwei Segmente: "Non-Critical Infrastructure (NCI", für die das CERT-In zuständig ist, und "Critical Information Infrastructure (CII", für die NCIIPIC zuständig ist. CII wird vom indischen Parlament definiert als "Einrichtungen, Systeme oder Funktionen, deren Unfähigkeit oder Zerstörung lähmende Auswirkungen auf die nationale Sicherheit, die Regierungsführung, die Wirtschaft und das soziale Wohlergehen einer Nation haben würde. ”

Das NCIIPC ist verpflichtet, Bedrohungen für kritische Informationsinfrastrukturen auf nationaler Ebene zu überwachen und zu melden. Zu den kritischen Sektoren gehören:

• Strom und Energie
• Banken, Finanzdienstleistungen und Versicherungen
• Telekommunikation und Information
• Transport
• Regierung
• Strategische und öffentliche Unternehmen

NCIIPC hat erfolgreich mehrere Richtlinien für politische Leitlinien, Wissensaustausch und Cybersicherheitsbewusstsein für Organisationen umgesetzt, um präventive Maßnahmen in diesen wichtigen Sektoren, insbesondere in den Bereichen Energie und Energie, durchzuführen. Die Richtlinien stellen das erste Mittel zur Regulierung solcher Sektoren dar und verlangen eine "verbindliche Einhaltung durch alle verantwortlichen Stellen. ”

Darüber hinaus hat die indische Regierung im August 2021 das überarbeitete Distributionssektorprogramm genehmigt. Das Hauptziel dieser Verordnung ist es, die Abläufe von DISCOMs (Distributionsunternehmen) zu verbessern, indem die Cyber-Infrastruktur mit KI-basierten Lösungen erweitert wird. Dies wird letztendlich Organisationen und Unternehmen dabei helfen, die Ziele des Frameworks zu erreichen.

3. Berufungsgericht für Cyber-Vorschriften (CRAT)

Gemäß dem IT Act von 2000, Abschnitt 62, schuf die indische Zentralregierung das Cyber Regulations Appellate Tribunal (CRAT) als oberstes Leitungsgremium und Behörde für die Feststellung von Fakten, die Entgegennahme von Cyber-Beweisen und die Vernehmung von Zeugen.

Obwohl CRAT nicht so viel Zuständigkeit für die Meldung von Cybersicherheit hat wie das CERT-In, dient die Regierung auch dazu, auf damit verbundene Cybersicherheitsvorfälle und -verstöße zu reagieren und darauf zu reagieren.

Gemäß dem Zivilgericht und der Zivilprozessordnung von 1908 hat die CRAT die Befugnis:

• Erhalten Sie Beweise für eidesstattliche Erklärungen
• Stellen Sie sicher, dass alle elektronischen und Cyber-Beweise und -Aufzeichnungen dem Gericht vorgelegt werden
• Durchsetzen, Einberufen und Erlassen regelmäßiger Kommissionen zur Vernehmung von Zeugen, Dokumenten und Personen unter Eid
• Überprüfung der endgültigen Entscheidungen des Gerichts zur Beilegung von Vorfällen und Fällen
• Genehmigen, Abweisen oder Deklarieren der Anträge des säumigen Schuldners als einseitig

4. Securities and Exchange Board (SEBI) von Indien

Das SEBI (Securities and Exchange Board of India) wurde 1988 gegründet und ist die Regulierungsbehörde für Wertpapier- und Rohstoffmärkte in Indien, die dem Finanzministerium untersteht. Sie fungiert als exekutive Regierungseinheit mit gesetzlichen Befugnissen dank des SEBI-Gesetzes vom Januar 1992. SEBI stellt sicher, dass die Bedürfnisse von Marktintermediären, Anlegern und Emittenten von Wertpapieren erfüllt werden, einschließlich des Schutzes ihrer Daten, Kundendaten und Transaktionen.

Mit Stand April 2022 hat SEBI sechs Ausschussmitglieder, die verpflichtet sind, die Leitlinien für Cybersicherheitsinitiativen für den indischen Markt zu überwachen und SEBI bei der Entwicklung und Aufrechterhaltung von Cybersicherheitsanforderungen gemäß globalen Industriestandards zu beraten.

Darüber hinaus kommuniziert SEBI auch mit anderen Behörden wie CERT-In, NCSC (National Cyber Coordination Center), DoT (Department of Telecommunications) und dem Ministerium für Elektronik und Informationstechnologie (MeitY).

SEBI hat Richtlinien eingeführt, die für Organisationen in seinem Zuständigkeitsbereich gelten - unter anderem Börsenmakler, Börsen, AMCs (Vermögensverwaltungsgesellschaften), Investmentfonds und Depotinhaber.

Strafen für die Nichteinhaltung von SEBI, z. B. Verstöße gegen Offenlegungsvorschriften, werden mit einer Geldstrafe von 20.000 ₹ pro Tag geahndet, bis die Unternehmen die Vorschriften einhalten.

5. Regulierungs- und Entwicklungsbehörde für Versicherungen (IRDAI)

Der Versicherungssektor in Indien wird durch IRDAI reguliert, das Richtlinien zur Informationssicherheit für Versicherer herausgibt und sich mit der Bedeutung der Wahrung von Datenintegrität und Vertraulichkeit befasst.

Mit diesen neuen Richtlinien zur Informations- und Cybersicherheit für Versicherer hat die IRDAI:

• Schreibt Versicherungsunternehmen vor, einen CISO (Chief Information Security Officer) zu haben
• Stellt ein Komitee für Informationssicherheit zusammen
• Erstellt Pläne für das Management von Cyberkrisen
• Erstellung und Implementierung von Programmen zur Qualitätssicherung der Cybersicherheit
• Implementiert geeignete Methoden zum Schutz von Daten
• Aufrechterhaltung von Prozessen zur Risikoidentifikation und Risikominderung

Der Versicherungssektor Indiens konzentriert sich hauptsächlich auf Bereiche mit höherem Risiko, darunter Ransomware-Angriffe, Transaktionsbetrug, Datenlecks und Risiken der Verletzung von Rechten an geistigem Eigentum. Laut einem Bericht von Sophos waren 68 % der indischen Unternehmen von Ransomware betroffen und mussten Lösegeld zahlen, um ihre Daten wiederherzustellen.

Am 9. Oktober 2022 führte IRDAI ein verbessertes Cybersicherheits-Framework ein, das sich auf die wichtigsten Sicherheitsbedenken der Versicherer konzentriert. Ziel ist es, Versicherungsunternehmen zu ermutigen, einen robusten Risikobewertungsplan zu erstellen und aufrechtzuerhalten, die Methoden zur Minderung interner und externer Bedrohungen zu verbessern, Ransomware-Angriffe und andere Arten von Betrug zu verhindern und eine starke und robuste Geschäftskontinuität zu implementieren.

Abhängig von der Schwere des Verstoßes können Versicherer und Unternehmen mit einer Strafe von bis zu 1 Lakh (100.000 ₹) bestraft werden. Wenn Versicherer ihre Daten nicht schützen, können sie mit einer Geldstrafe von bis zu 5 Millionen Pfund pro betroffener Person belegt werden. Die IRDAI-Richtlinien für Informations- und Cybersicherheit für Versicherer gelten für alle Versicherer, die durch die Versicherungsaufsichtsbehörde reguliert werden.

6. Indische Regulierungsbehörde für Telekommunikation (TRAI) und Ministerium für Telekommunikation (DoT)

Die indische Regulierungsbehörde für Telekommunikation hat zusammen mit dem DoT (Department of Telecommunication) die Vorschriften für den Datenschutz der Nutzer und deren Verwendung verschärft.

TRAI ist eine Regulierungsbehörde, und das DoT ist eine separate Exekutivabteilung des indischen Kommunikationsministeriums. Obwohl die TRAI mehr Regulierungsbefugnisse erhalten hat, arbeiten beide zusammen, um Telefonbetreiber und Dienstanbieter zu regulieren und zu regulieren.

Am 16. Juni 2018 veröffentlichte die TRAI Empfehlungen für Telekommunikationsanbieter zum Thema "Datenschutz, Sicherheit und Eigentum an Daten im Telekommunikationssektor. "In den neuesten Richtlinien befasst sich TRAI mit neueren Verantwortlichkeiten für Verbraucherdaten, da die meisten digitalen Transaktionen in Indien über Mobiltelefone abgewickelt werden.

Die TRAI befasst sich mit dem Datenschutz mit folgenden Zielen:

• Definieren und verstehen Sie den Geltungsbereich von "Personenbezogene Daten, Eigentum und Kontrolle von Daten", d. h. die Daten der Nutzer der Telekommunikationsdienstleister
• Verstehen und Identifizieren der "Rechte und Pflichten der für die Datenverarbeitung Verantwortlichen"
• Bewertung und Identifizierung der Effizienz des Datenschutzes und der aktuellen Datenschutzmaßnahmen im Telekommunikationssektor
• Identifizieren und Beheben kritischer Probleme in Bezug auf den Datenschutz
• Sammeln und kontrollieren Sie Benutzerdaten von TISP-Diensten (Traffic Information Service Provider)

Das DoT hat mit dem indischen IT-Ministerium zusammengearbeitet, um mehrschichtige Regeln für die Dateneinwilligung einzuführen, die die Verarbeitung personenbezogener Daten schützen. Dies gibt den Nutzern die Freiheit zu entscheiden, ob sie in die Verwendung ihrer personenbezogenen Daten einwilligen oder nicht, und das Recht, die Einwilligung jederzeit zu widerrufen.

Die neuen Regeln besagen, dass Organisationen und Unternehmen nur die notwendigen Benutzerdaten sammeln müssen und dass die Daten nur so lange wie erforderlich aufbewahrt werden dürfen. Darüber hinaus erfüllen indische Telekommunikationsdienstleister gängige Standards wie ISO 27000, 3GPP und 3GPP2 sowie ISO/IEC 15408.