Compliance-Reihe: Was Sie als Eventmanager über Cybersecurity und das NIS2UmsuCG wissen müssen

Grundsätzlich handelt es sich um Organisationen, die in einem dieser Sektoren tätig sind und die Bedingungen hinsichtlich der Unternehmensgröße erfüllen:

• Große Unternehmen: mit 250+ Mitarbeiter oder mehr als 50 Millionen Umsatz.
• Mittelgroße Unternehmen: mit mehr als 50 Mitarbeitenden oder mehr als 10 Millionen Umsatz.

Gehören Sie keinem dieser Sektoren an und/oder arbeiten Sie für ein kleines Unternehmen? Dann ist die Wahrscheinlichkeit groß, dass Sie nicht unter die NIS2-Regelung fallen.

Warum ist das jetzt eine Angelegenheit für die Geschäftsführung?

Die DSGVO schreibt Datenschutz und Datensicherheit schon seit Jahren vor, aber das NIS2UmsuCG geht noch einen Schritt weiter und macht dies zu einem aktiv geprüften Thema. Das Gesetz überträgt die Verantwortung für die Einhaltung dieser Anforderungen direkt auf die Geschäftsführung.

Die Geschäftsführung muss sich intensiv in die Materie einarbeiten und auch Schulungen absolvieren. Zudem besteht die Pflicht, zu gewährleisten, dass die Organisation dieses Gesetz einhält. Dadurch wird Cybersecurity zu einem aktiven Thema auf allen Ebenen der Organisation.

Freek Zindel, Gründer von aanmelder.nl, sagt dazu: „Indem die Verantwortung bei der Geschäftsführung liegt, entsteht im Grunde eine Verantwortungskaskade durch die gesamte Organisation. Eine Führungskraft muss wissen, was zu tun ist, was die eigenen Mitarbeiter tun und welche Pflichten dazugehören. Auch der Einkauf von Software wird dadurch komplexer und aufwendiger.“

Wie fügen sich Events und Eventdaten hier ein?

Jetzt denken Sie vielleicht: Veranstaltungen werden doch in der Regel nicht als wichtige oder (besonders) wichtige Aktivitäten angesehen? In der Regel nicht, nein. Allerdings organisieren wichtige und besonders wichtige Einrichtungen regelmäßig Events. Oft sind das genau die Organisationen, die eine Vielzahl an Stakeholdern erreichen. Denken Sie an ein Krankenhaus, das ein Symposium für hunderte Fachkräfte im Gesundheitswesen veranstaltet, ein Energieunternehmen, das Stakeholder über die Energiewende informiert, oder eine Gemeinde, die eine Veranstaltung für Einwohner sowie Kooperationspartner organisiert.

Bei der Anmeldung zu einer Veranstaltung erfassen Sie unbemerkt viele sensible Daten: Namen, Positionen und direkte Kontaktdaten, aber oft auch Ernährungswünsche, Zahlungsdaten oder Zugriffsrechte.

Wir zeigen Ihnen ein paar Praxisbeispiele, in denen Datensicherheit plötzlich sehr nah rückt:

• Sie organisieren eine Veranstaltung für Einwohner einer bestimmten Gemeinde. Während des Check-ins lässt eine der Hostessen das Tablet mit allen verfügbaren Teilnehmerdaten unbeaufsichtigt auf dem Tisch liegen .
• Sie arbeiten zusammen mit einem Anbieter für Event-Software. Es kommt zu einem Datenleck, wodurch Teilnehmerdaten möglicherweise durchgesickert sind. In solch einem Fall erhalten Sie innerhalb eines bestimmten Zeitraums eine Benachrichtigung mit den korrekten Informationen und diese intern an die zuständigen Personen weiterleiten. Als Eventmanager müssen Sie wissen, wie Ihr Softwareanbieter damit umgeht.
• Sie arbeiten bei einer Organisation mit mehreren Untereinheiten, die jeweils ihre eigenen Events mit eigenen Excel-Übersichten und eigenen Tools organisieren. Dadurch hat die Geschäftsführung, die nun persönlich verantwortlich ist, keinen Überblick darüber, welche Menge an Teilnehmerdaten eigentlich durch die gesamte Organisation kursiert.

Ist das neu? Nicht ganz: Datensicherheit war schon immer wichtig, doch durch NIS2 steigen die Anforderungen an Organisationen deutlich. Als Organisation reicht es nicht mehr aus, die Datensicherheit „im Stillen geregelt zu haben“: Sie müssen diese nun aktiv überprüfen und nachweisbar belegen können.

Worauf sollten Sie bei einem Anbieter von Event-Software achten? Mit der richtigen Event-Software erhalten Sie die richtigen Garantien. Für Sie selbst, Ihre IT- und Compliance-Abteilung, aber auch für externe Stakeholder. Mit der richtigen Event-Software erhalten Sie die richtigen Garantien. Für Sie selbst, Ihre IT- und Compliance-Abteilung, aber auch für externe Stakeholder. Hier sind einige Punkte, auf die Sie achten sollten:

• Meldeverfahren bei Vorfällen: Fragen Sie nach, wie schnell und auf welche Weise ein Anbieter ein Datenleck meldet.
• Aufbewahrungsfristen oder automatisches Löschen: Können Sie einstellen, dass Teilnehmerdaten nach dem Event automatisch und sicher gelöscht werden? Auch danach sollten Sie sich erkundigen.
• Auftragsverarbeitungsvertrag (AVV/DPA) vorab prüfen, nicht im Nachhinein: Hat der Anbieter einen standardmäßigen Auftragsverarbeitungsvertrag vorliegen, anstatt dass Sie ihn selbst einfordern müssen?
• Datum des letzten Penetrationstests/Audits anfragen: Ein Anbieter, der auf Anfrage nachweisen kann, wann er zuletzt extern getestet wurde, bietet mehr Sicherheit als nur eine Zertifizierung, die vor einem Jahr erworben wurde.
• Nachweisbare Sicherheitszertifizierungen: Entscheiden Sie sich für eine Software mit einer ISO 27001-Zertifizierung und einer SOC 2 Typ II-Bescheinigung. Damit belegen Sie, dass die Sicherheit und die Prozesse offiziell geprüft und nachgewiesen sind. ISO ist bereits ein nachweisbarer Standard, der sich auf die Richtlinien und das Risikomanagement im Bereich Informationssicherheit konzentriert. SOC 2 geht noch einen Schritt weiter und weist nach, dass es auch aktiv geprüft wird.
• Europäische Datenspeicherung: Prüfen Sie, ob die Server innerhalb der EU stehen, sodass die gesamte Datenverarbeitung unter EU-Recht fällt.
• Strenge Rechteverwaltung: Stellen Sie sicher, dass Sie genau festlegen können, wer innerhalb Ihres Teams Zugriff auf bestimmte (Teilnehmer-)Daten hat, damit sensible Informationen niemals an den falschen Ort gelangen.
• (Verschlüsseltes) Hochladen innerhalb der Software: Vermeiden Sie den E-Mail-Verkehr von personenbezogenen Daten zwischen Teammitgliedern und laden Sie Daten stattdessen sicher in der Software hoch. Manchmal ergreifen Anbieter auch zusätzliche Maßnahmen, wie z. B. die Verschlüsselung von Teilnehmerdaten innerhalb der Software. So bleiben diese selbst bei einem unverhofften Datenleck geschützt.

Wir empfehlen Ihnen, diese Aspekte bei der Auswahl eines neuen Anbieters stets zu erfragen.