Compliance as a competitive advantage or a risk factor?

IT-Sicherheit, DSGVO und Datenschutz. Das sind alles Begriffe, die sowohl in den Medien als auch in der Geschäftswelt häufig die Runde machen. Aber was steckt dahinter? Und wie können Sie als Unternehmen sicherstellen, dass Ihr Umgang mit der DSGVO beispielsweise zu einem Wettbewerbsvorteil wird und nicht zu einem Risikofaktor?

TL;DRDie Einhaltung der DSGVO und der Datenschutzbestimmungen, die oft als Belastung angesehen wird, kann zu einem echten Wettbewerbsvorteil werden, wenn sie bei der Auswahl von Lieferanten und Partnern als Qualitätsmerkmal gewertet wird. Acubiz argumentiert, dass Unternehmen, die zertifizierte, konforme SaaS-Lösungen einsetzen, schneller in neue Märkte vordringen und Aufträge von Kunden gewinnen können, für die Datensicherheit ein entscheidendes Beschaffungskriterium ist.

Beginnen wir damit, zu beschreiben, worum es bei diesen Begriffen geht. Umgangssprachlich wird der Oberbegriff „Compliance“ häufig verwendet, wenn es um Daten – oder Sicherheitsvorschriften und -maßnahmen – geht. Vorschriften, von denen wir wissen, dass sie aus gutem Grund existieren, bei denen wir aber in manchen Fällen nicht wirklich wissen, warum. „Compliance“ ist in diesem Sinne eigentlich ein ziemlich guter Begriff, und man könnte ihn auch etwa so formulieren: „in voller Übereinstimmung mit den geltenden Vorschriften“.

Im vergangenen Jahr war das Thema Compliance in aller Munde. Und genau wie bei all den Diskussionen rund um die IT-Sicherheit zur Jahrtausendwende fragten sich viele, ob die Datenschutz-Grundverordnung (DSGVO) die Wirtschaft stark belasten und nach dem 25. Mai 2018, dem Datum des Inkrafttretens der Vorschriften, zu Zusammenbrüchen führen würde.

Wie schon beim Millennium-Problem ist die Wirtschaft nicht zusammengebrochen, aber wir müssen uns natürlich bewusst sein, dass die neue Realität mit erhöhten Risiken für Unternehmen einhergeht, beispielsweise im Zusammenhang mit fehlenden Datensicherheit. Andererseits haben die strengeren Vorschriften in verschiedenen Bereichen sowie die verstärkte Fokussierung auf die Einhaltung von Vorschriften Möglichkeiten zur Schaffung weiterer Wettbewerbsvorteile eröffnet.

Ein Wettbewerbsvorteil

Aber wie kann Compliance zu einem Wettbewerbsvorteil werden? Das ist beispielsweise dann der Fall, wenn Ihr Unternehmen Lieferanten und Partner auswählt, die neue oder überarbeitete Vorschriften erfüllen oder sogar ein höheres Sicherheitsniveau bieten, als es vorgeschrieben ist. Dies gilt insbesondere beim Einkauf von cloudbasierten / SaaS Lösungen, die den gesetzlichen Anforderungen der neuen IT-Realität gerecht werden.

Das bedeutet beispielsweise, dass Sie – vorausgesetzt, der SaaS-Anbieter hat alles im Griff – schnell in Märkten tätig werden können, in denen es unter Umständen schwierig ist, die lokalen Auslegungen internationaler Vorschriften einzuhalten, wie dies beispielsweise bei der DSGVO der Fall ist. Diese können von Land zu Land sehr unterschiedlich sein. Es ist zudem eine Tatsache, dass die meisten Unternehmen es vorziehen, mit Anbietern und Partnern zusammenzuarbeiten, die über angemessene Sicherheitsvorkehrungen verfügen. Mit anderen Worten: Wenn Sie bei Ihren Lieferanten und Partnern – insbesondere bei den wichtigsten Partnern – ein hohes Maß an IT-Sicherheit nachweisen können, wird es Situationen geben, in denen Sie diesen Umstand in Verkaufsgesprächen zu Ihrem Vorteil nutzen können.

Wählen Sie den richtigen Lieferanten aus

Wenn Sie sich für einen Anbieter von Cloud-Software entscheiden, ist es äußerst wichtig, mit einem Partner zusammenzuarbeiten, der über die notwendigen Ressourcen verfügt, um Ihre Daten zu schützen. Natürlich gibt es je nach Art der verarbeiteten Daten bestimmte Kategorien und Geschäftsbereiche, die kritischer sind als andere. Es ist jedoch von entscheidender Bedeutung, dass Ihr Unternehmen in allen Bereichen, in denen Sie externe Dienstleister zur Datenverarbeitung einsetzen, umfassend abgesichert ist.

Daher wird dringend empfohlen, individuelle Datenverarbeitungsvereinbarungen (DPA) abzuschließen, die den Vorschriften und Auslegungen entsprechen, die in den Ländern gelten, in denen Sie tätig sind. Verschiedene Standards und Zertifizierungen können als Orientierungshilfe dienen, wenn Sie sicherstellen möchten, dass der von Ihnen gewählte Anbieter die geltenden Vorschriften, Gesetze und bewährten IT-Praktiken einhält. Die führenden SaaS-Anbieter bieten Ihnen jedoch von vornherein die Möglichkeit, eine umfassend abgedeckte Datenverarbeitungsvereinbarung (DPA) abzuschließen. Denken Sie daran.

Manche Lieferanten gehen sogar noch einen Schritt weiter und lassen sich ISAE 3402 Typ-II-zertifiziert. Dies kann sowohl als direkte Reaktion auf Anforderungen von Kunden und Geschäftspartnern geschehen, als auch darauf zurückzuführen sein, dass das Unternehmen dem Markt ein Signal hoher Glaubwürdigkeit senden möchte. Diese spezielle Zertifizierung ist ein internationaler Standard für IT-Dienstleister, bei dem ein hohes Maß an Sicherheit und Kontrolle erforderlich ist. Dies ist besonders wichtig in sensiblen Branchen wie dem Bank- und Finanzwesen, der Telekommunikation oder dem öffentlichen Sektor. Diese Zertifizierung stellt sicher, dass der Anbieter seiner Verantwortung für die Sicherung der „Cloud“-Infrastruktur in Bezug auf verschiedene Parameter – einschließlich der Datensicherheit – gerecht wird.

Unsere abschließende Empfehlung lautet, dass Sie bereits so früh wie möglich in Ihrer Recherchephase den Umgang potenzieller Lieferanten mit dem Thema Datensicherheit gründlich prüfen sollten. Dies kann Ihnen später im Kaufprozess möglicherweise Zeit und Ressourcen sparen. Das ist zwar ein banaler Ratschlag, aber dennoch vielleicht der wichtigste.

Häufig gestellte Fragen

Inwiefern kann die Einhaltung der DSGVO ein Wettbewerbsvorteil sein und nicht nur Kosten verursachen?

Wenn Ihre Kunden Anbieter bewerten, spielen Compliance und Datensicherheit eine immer größere Rolle als explizite Kriterien. Unternehmen, die eine ordnungsgemäße Einhaltung der DSGVO, Sicherheitszertifizierungen und strenge Prozesse zum Umgang mit Daten nachweisen können, können schneller in regulierte Märkte eintreten und Aufträge von Käufern gewinnen, für die eine Compliance-Lücke ein Ausschlusskriterium wäre. Compliance wird zu einem Verkaufsargument.

Was versteht man unter Compliance im Zusammenhang mit SaaS- und Cloud-Lösungen?

Im Cloud-Kontext bedeutet Compliance, dass der SaaS-Anbieter die geltenden Datenschutzvorschriften, einschließlich der DSGVO, vollständig einhält und dass seine Systeme und Prozesse einer unabhängigen Prüfung unterzogen wurden. Für Kunden bedeutet dies, dass sie die Lösung des Anbieters mit der Gewissheit nutzen können, dass ihre Daten gesetzeskonform und im Einklang mit ihren eigenen Verpflichtungen verarbeitet werden.

Welche Risiken ergeben sich für ein Unternehmen, das Cloud-Software nutzt, bei Nichteinhaltung der DSGVO?

Die Nichteinhaltung der Vorschriften setzt das Unternehmen der Gefahr von Bußgeldern, Reputationsschäden und dem Verlust des Kundenvertrauens aus. Zudem entstehen indirekte Kosten: Wenn ein Lieferant oder Partner ein Compliance-Audit nicht besteht, können Verträge gekündigt werden und die Gewinnung neuer Kunden in anderen Märkten wird blockiert. In dem Beitrag wird darauf hingewiesen, dass die Geschäftswelt zwar nach Inkrafttreten der DSGVO im Mai 2018 nicht zusammengebrochen ist, die anhaltenden Risiken durch unzureichende Datensicherheit jedoch real sind und zunehmen.

Wie kann ich beurteilen, ob ein SaaS-Anbieter unsere Compliance-Anforderungen erfüllt?

Fordern Sie die unabhängigen Prüfberichte des Anbieters an, beispielsweise ISAE 3000 zum Datenschutz und ISAE 3402 zu IT-Kontrollen. Diese Berichte werden von unabhängigen Wirtschaftsprüfern erstellt und bestätigen, ob die vom Anbieter angegebenen Kontrollen tatsächlich wirksam funktionieren. Ein einwandfreier Typ-II-Bericht, der einen Zeitraum von 12 Monaten abdeckt, bietet eine stärkere Sicherheit als eine Typ-I-Bewertung zu einem bestimmten Zeitpunkt.