Cyber Resilience Act ab September: 24-Stunden-Meldepflicht für Hersteller
Veröffentlicht am: 25.08.2026 um 00:24 Uhr | Redaktion boerse-global.de
Die Überführung allgemeiner Bestimmungen der Datenschutz-Grundverordnung (DSGVO) in konkrete betriebliche Maßnahmen stellt Unternehmen weiterhin vor erhebliche Hürden. Da eine lückenlose Rechtsprechung zu vielen Detailfragen fehlt, gewinnen spezialisierte Schulungsangebote an Bedeutung, um die Lücke zwischen regulatorischen Anforderungen und der praktischen Anwendung zu schließen.
Rechtliche Rahmenbedingungen im Personalwesen und Datenschutz
Ein zentraler Aspekt der betrieblichen Praxis ist der Umgang mit Mitarbeiterdaten und Zugriffsrechten. Juristische Analysen unterstreichen, dass die bloße Weitergabe von Passwörtern an Kollegen bereits gegen Artikel 32 der DSGVO verstoßen kann, der angemessene technische und organisatorische Sicherheitsmaßnahmen fordert.
Zudem berühren solche Handlungen die Rücksichtnahmepflicht gemäß § 241 Abs. 2 BGB sowie bei Geschäftsgeheimnissen das Geschäftsgeheimnisgesetz (§ 4 GeschGehG). Ein unbefugter Zugriff kann zudem strafrechtliche Konsequenzen nach § 202a StGB nach sich ziehen. Experten raten Unternehmen daher, Vertretungsrechte technisch abzubilden, anstatt Passwörter zu teilen.
Auch die private Nutzung von Firmenaccounts bleibt ein sensibles Thema. Während eine private E-Mail-Nutzung nicht automatisch zur Kündigung berechtigt, können Arbeitgeber diese gemäß § 106 GewO regeln.
Sanktionen wie Abmahnungen sind bei Verstößen gegen IT-Richtlinien oder erheblichem Arbeitszeitverlust möglich. Eine Kündigung ist nach der Rechtsprechung des Bundesarbeitsgerichts (BAG vom 19.04.2012 – 2 AZR 186/11) nur bei schwerwiegenden Verstößen vorgesehen.
In gerichtlichen Auseinandersetzungen zeigt sich zudem eine differenzierte Handhabung rechtswidrig beschaffter Daten. Ein Urteil des Europäischen Gerichtshofs vom 18.06.2026 (C-484/24) im Kontext des Falls NTH Haustechnik, bei dem ein Schadersatz von 46.567,91 Euro im Raum stand, verdeutlicht, dass solche Daten nicht zwingend einem Verwertungsverbot unterliegen. Nationale Gerichte müssten jedoch die DSGVO-Prinzipien der Datenminimierung und Anonymisierung wahren.
Wer die komplexen Anforderungen der Datenverarbeitung im Betrieb rechtssicher dokumentieren möchte, steht oft vor großen Hürden. Diese kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung hilft Ihnen, das gesetzlich geforderte Verarbeitungsverzeichnis zeitsparend zu erstellen. Kostenlose Muster-Vorlage und Anleitung jetzt gratis herunterladen
Verschärfte Compliance-Anforderungen durch NIS2 und CRA
Neben der DSGVO rücken neue europäische Richtlinien in den Fokus der Compliance-Abteilungen. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) stellt spezifische Anforderungen an die Zugriffskontrolle und die Implementierung von Multi-Faktor-Authentifizierung (MFA), wie in § 30 Abs. 2 BSIG definiert.
Betroffen sind Unternehmen ab 50 Mitarbeitern oder einem Umsatz von mehr als 10 Mio. €. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen.
Ein Report der ENISA aus dem Jahr 2025 belegt den Druck auf die Wirtschaft: Demnach nannten 70 % der befragten Akteure Compliance als Hauptgrund für Investitionen in Cybersicherheit, während 76 % über Schwierigkeiten bei der Gewinnung qualifizierter Fachkräfte berichteten.
In diesem Kontext bieten Anbieter wie Passwork Lösungen für das Passwortmanagement an, die preislich zwischen 3 € (Standard) und 4,5 € (Advanced) pro Nutzer und Monat bei jährlicher Abrechnung liegen.
Zusätzlich tritt ab dem 11.09.2026 der Cyber Resilience Act (CRA) in Kraft. Dieser verpflichtet Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden. Als Orientierungshilfe für die Umsetzung dient unter anderem die Richtlinie BSI TR-03183.
Angesichts neuer Bedrohungen und verschärfter Gesetze wie dem CRA wird proaktive IT-Sicherheit für Unternehmen zur Pflicht. Ein kostenloser Report klärt darüber auf, welche rechtlichen Pflichten und Cyberrisiken Unternehmer jetzt kennen müssen, um ihre Firma langfristig zu schützen. Gratis-Report zu Cyber Security Trends jetzt abrufen
Strategien zur Qualifizierung und praktischen Umsetzung
Um diesen komplexen Anforderungen gerecht zu werden, setzen Unternehmen verstärkt auf zertifizierte Weiterbildungen. Ein Beispiel hierfür ist ein viertägiger Online-Workshop zum IT-Grundschutz-Praktiker, der für den Zeitraum vom 15. bis 18.09.2026 angesetzt ist.
Das Programm unter der Leitung von Jonathan Weiß, einem ISO 27001 Lead Auditor, umfasst eine Zertifikatsprüfung und ist auf maximal 12 Teilnehmer begrenzt. Für dieses Angebot wird ein Frühbucher-Rabatt von 10 % bis zum 12.10.2026 ausgewiesen.
Auch im Bereich des betrieblichen Gesundheitsmanagements und damit verbundener Kündigungsverfahren bleibt die Einhaltung formaler Prozesse essenziell. Das BAG bestätigte in einem Urteil vom 07.05.2026 (2 AZR 184/25) die Drei-Stufen-Prüfung für krankheitsbedingte Kündigungen.
Hierzu zählen eine negative Gesundheitsprognose, die Beeinträchtigung betrieblicher Interessen sowie eine Interessenabwägung, wobei die Durchführung eines Betrieblichen Eingliederungsmanagements (BEM) nach § 167 SGB IX eine zentrale Voraussetzung bleibt.
