Anforderungen und Verantwortung · Details
Zugänge liegen in der Verantwortung des Unternehmens
Ungeregelte Zugänge, verspäteter Rechteentzug oder fehlende Protokolle können bei Vorfällen und Prüfungen Probleme verursachen. Die und die auf beruhenden Regelungen bestimmen die zu erfüllenden Pflichten. Der folgende Überblick konzentriert sich auf zugangsbezogene Bereiche.
1 · Eindeutige Identität und Authentifizierung
Ein Unternehmen muss einzelne Benutzer unterscheiden und deren Authentifizierung festlegen. Für die Kategorie niedrigerer Pflichten des tschechischen Cybersicherheitsgesetzes konkretisieren §§ 7 und 8 der Verordnung Nr. 410/2025 Slg. diese Bereiche. Der Maßnahmenumfang richtet sich nach der jeweiligen Pflichtenkategorie und dem regulierten Dienst.
Vor der Zugangsgewährung muss die berechtigte Person authentifiziert und müssen ihre Authentifizierungsdaten geschützt werden. Das Verfahren muss zur Sensibilität des Systems und den geltenden Anforderungen passen. Wo vorgeschrieben ist, sind unterschiedliche Faktorarten erforderlich. Die Karte allein ist ein Besitzfaktor; die automatische Übergabe eines gespeicherten Passworts schafft für sich genommen keinen zweiten unabhängigen Faktor.
2 · Zugänge vergeben, ändern und entziehen
Mitarbeitende benötigen Rechte, die ihrer Tätigkeit entsprechen. Bei einem Rollenwechsel sind Zugänge anzupassen, beim Austritt zu entziehen. Das Unternehmen muss wissen, wer Zugänge vergibt, wer sie prüft und nach welchen Kriterien entschieden wird. Für regulierte Organisationen ist die Verwaltung von Identitäten, Rollen und Berechtigungen eine konkrete Sicherheitsmaßnahme. Administrator- und normale Benutzerzugänge haben dabei unterschiedliche Zwecke.
Praktisch betrifft dies den gesamten Lebenszyklus: Zugang bei Eintritt vergeben, bei Tätigkeitsänderung anpassen und nach Wegfall des Bedarfs entziehen. Die tschechische Verordnung Nr. 410/2025 Slg. behandelt dies vor allem in § 7; für die Kategorie höherer Pflichten gelten eigene entsprechende Anforderungen.
3 · Schutz personenbezogener Daten
Artikel 32 DSGVO verlangt eine risikogerechte Sicherheit personenbezogener Daten. Dazu gehören beispielsweise Verschlüsselung, Vertraulichkeit, Verfügbarkeit und regelmäßige Prüfung der Wirksamkeit. Unternehmen müssen daher Übertragung und Speicherung, Administratorrechte sowie Wiederherstellung nach Ausfällen berücksichtigen. Auch Mitarbeiterdaten im Kartenverzeichnis und zugehörige Protokolle benötigen Schutz.
4 · Relevante Ereignisse protokollieren
Zur Bewertung verdächtiger Ereignisse werden Nachweise benötigt. Die Aufzeichnung relevanter Sicherheitsereignisse gehört zu den tschechischen Cybersicherheitsanforderungen. Inhalt, Verfügbarkeit, Schutz und Aufbewahrung der Protokolle sind entscheidend. Einträge mit personenbezogenen Daten benötigen zugleich einen klaren Zweck und eine angemessene Aufbewahrungsdauer; eine regellose Sammlung ist nicht das Ziel.
Für die Kategorie niedrigerer Pflichten ist insbesondere § 9 der tschechischen Verordnung Nr. 410/2025 Slg. relevant. Die DSGVO selbst schreibt keine allgemeine Protokollierung jeder Anmeldung vor; die Angemessenheit richtet sich nach Zweck und Risiko.
Für wen die Pflichten gelten und was Verstöße kosten können
Die DSGVO gilt für die Verarbeitung personenbezogener Daten in ihrem Anwendungsbereich. Bei Verstößen gegen Artikel 32 beträgt die Obergrenze 10 Millionen Euro oder bei Unternehmen 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Dies ist ein Höchstbetrag; die konkrete Geldbuße hängt von den Umständen des Verstoßes ab.
Das tschechische Gesetz Nr. 264/2025 Slg. zur Umsetzung von NIS2 gilt seit dem 1. November 2025. Es betrifft Anbieter regulierter Dienste nach den gesetzlichen Kriterien; allein Computernutzung oder Fabrikbetrieb genügen nicht. Für bestimmte Verstöße können die Höchstbeträge bei höheren Pflichten 250 Millionen CZK oder 2 % des weltweiten Jahresnettoumsatzes erreichen, bei niedrigeren Pflichten 175 Millionen CZK oder 1,4 %. Es gilt der höhere Betrag. Maßgeblich sind die konkrete Pflicht, die Kategorie und die Umstände.
Was der CRA bringt
Der betrifft vor allem die Sicherheit digitaler Produkte und die Pflichten ihrer Hersteller. Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026, die Hauptanforderungen ab dem 11. Dezember 2027. Für Kunden geht es um die Sicherheit gekaufter Produkte, Support und den Umgang mit Schwachstellen. Durch den Einsatz von ChipLogin wird ein Kunde nicht automatisch zum Hersteller; der CRA ersetzt auch nicht die eigenen Pflichten beim Betrieb.