Die Kaskade der Compliance-Pflichten

Eine Pflicht, die einem Unternehmen auferlegt wird, endet nicht bei diesem Unternehmen. Sie wird über den Vertrag an seine Lieferanten weitergegeben, nicht über das Gesetz. Hier sind die Artikel, die dies regeln.

Die Zitate auf dieser Seite sind in ihrer amtlichen Fassung wiedergegeben, wie sie im Amtsblatt der Europäischen Union veröffentlicht wurde. Sie wurden nicht von uns übersetzt. Einige Zitate liegen in dieser Sprache noch nicht vor. Wir übersetzen sie nicht selbst: Sie werden ergänzt, sobald die amtliche Fassung geprüft wurde.

Wer muss was und wem gegenüber nachweisen

Rechtstext	Artikel	Wer nachweisen muss	Gegenüber wem	Größenschwelle
Reglement general sur la protection des donnees	28, paragraphe 3, point h)	le sous-traitant	le responsable du traitement, c'est-a-dire le client donneur d'ordre, un autre auditeur mandate par lui	keine
Reglement general sur la protection des donnees	28, paragraphe 1	le sous-traitant, indirectement	le responsable du traitement	keine
Reglement general sur la protection des donnees	32, paragraphe 1, point d)	le responsable du traitement ET le sous-traitant	non nomme	keine
Reglement general sur la protection des donnees	5, paragraphe 2	le responsable du traitement	aucun destinataire nomme	keine
Reglement general sur la protection des donnees	24, paragraphe 1	le responsable du traitement	aucun destinataire nomme	keine
Reglement delegue completant DORA sur la politique relative aux services TIC	6, paragraphe 1	le prestataire tiers de services TIC, c'est-a-dire NOTRE PROSPECT	l'entite financiere, des tiers designes a cet effet, les autorites competentes	aucun seuil de taille cote prestataire ; champ sectoriel cot
Reglement delegue completant DORA sur la politique relative aux services TIC	6, paragraphe 3	le prestataire tiers de services TIC	l'entite financiere	aucun seuil de taille cote prestataire ; champ sectoriel cot
Reglement delegue completant DORA sur la politique relative aux services TIC	8, paragraphe 2	le prestataire	l'entite financiere	aucun seuil de taille cote prestataire ; champ sectoriel cot
Directive NIS2	32, paragraphe 2, troisieme alinea	l'entite controlee	l'autorite competente	Entite Essentielle : 250 salaries OU CA > 50 M EUR et bilan
Directive NIS2	32, paragraphe 2, point g)	l'entite	l'autorite competente	Entite Essentielle : 250 salaries OU CA > 50 M EUR et bilan

Was der jeweilige Rechtstext sagt

Reglement general sur la protection des donnees, artikel 28, paragraphe 3, point h)

dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.

Wer nachweisen muss: le sous-traitant
Gegenüber wem: le responsable du traitement, c'est-a-dire le client donneur d'ordre, un autre auditeur mandate par lui
Häufigkeit: aucune frequence dans le texte ; le droit d'audit est ouvert pendant toute la duree du contrat
Fundstelle: Reglement (UE) 2016/679, JO L 119 du 4.5.2016

Amtlichen Text lesen

Reglement general sur la protection des donnees, artikel 28, paragraphe 1

(1) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Wer nachweisen muss: le sous-traitant, indirectement
Gegenüber wem: le responsable du traitement
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Reglement (UE) 2016/679, JO L 119 du 4.5.2016

Amtlichen Text lesen

Reglement general sur la protection des donnees, artikel 32, paragraphe 1, point d)

ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Wer nachweisen muss: le responsable du traitement ET le sous-traitant
Gegenüber wem: non nomme
Häufigkeit: regulierement, AUCUNE frequence chiffree dans le texte
Fundstelle: Reglement (UE) 2016/679, JO L 119 du 4.5.2016

Amtlichen Text lesen

Reglement general sur la protection des donnees, artikel 5, paragraphe 2

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Wer nachweisen muss: le responsable du traitement
Gegenüber wem: aucun destinataire nomme
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Reglement (UE) 2016/679, JO L 119 du 4.5.2016

Amtlichen Text lesen

Reglement general sur la protection des donnees, artikel 24, paragraphe 1

(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

Wer nachweisen muss: le responsable du traitement
Gegenüber wem: aucun destinataire nomme
Häufigkeit: si necessaire
Fundstelle: Reglement (UE) 2016/679, JO L 119 du 4.5.2016

Amtlichen Text lesen

Reglement delegue completant DORA sur la politique relative aux services TIC, artikel 6, paragraphe 1

(1) In der Leitlinie wird ein angemessenes und verhältnismäßiges Verfahren für die Auswahl und Bewertung der künftigen IKT-Drittdienstleister festgelegt, wobei zu berücksichtigen ist, ob es sich bei dem IKT-Drittdienstleister um einen gruppeninternen IKT-Dienstleister handelt, und verlangt wird, dass das Finanzunternehmen vor Abschluss einer vertraglichen Vereinbarung bewertet, ob der IKT-Drittdienstleister a) über die geschäftliche Reputation, hinreichende Fähigkeiten, Fachkenntnisse und angemessene finanzielle, personelle und technische Ressourcen, Informationssicherheitsstandards, eine angemessene Organisationsstruktur, ein angemessenes Risikomanagement und angemessene interne Kontrollen sowie gegebenenfalls über die erforderlichen Zulassungen oder Registrierungen verfügt, um die IKT-Dienstleistungen zur Unterstützung der kritischen oder wichtigen Funktion zuverlässig und professionell erbringen zu können; b) in der Lage ist, einschlägige technologische Entwicklungen zu überwachen und führende Praktiken im Bereich der IKT-Sicherheit zu ermitteln und sie gegebenenfalls zu implementieren, damit er über einen wirksamen und soliden Rahmen für die digitale operationale Resilienz verfügt; c) IKT-Unterauftragnehmer nutzt oder zu nutzen gedenkt, um IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Teile davon zu erbringen; d) in einem Drittstaat lokalisiert ist oder die Daten in einem Drittstaat verarbeitet oder speichert und, falls dies der Fall ist, ob diese Praxis die operationellen Risiken, Reputationsrisiken oder das Risiko erhöht, von restriktiven Maßnahmen, einschließlich Embargos und Sanktionen, betroffen zu sein, die sich auf die Fähigkeit des IKT-Drittdienstleisters, die IKT-Dienstleistungen zu erbringen, oder die Fähigkeit des Finanzunternehmens, diese IKT-Dienstleistungen zu empfangen, auswirken können; e) vertraglichen Vereinbarungen zustimmt, mit denen effektiv die Möglichkeit sichergestellt wird, dass das Finanzunternehmen selbst, beauftragte Dritte und zuständige Behörden Audits beim IKT-Drittdienstleister, auch in dessen Räumlichkeiten, durchführen; f) in ethischer und sozial verantwortlicher Weise handelt, die Menschenrechte und die Rechte des Kindes achtet, einschließlich des Verbots der Kinderarbeit, die geltenden Grundsätze des Umweltschutzes einhält und angemessene Arbeitsbedingungen gewährleistet.

Wer nachweisen muss: le prestataire tiers de services TIC, c'est-a-dire NOTRE PROSPECT
Gegenüber wem: l'entite financiere, des tiers designes a cet effet, les autorites competentes
Häufigkeit: obligation prealable au contrat
Fundstelle: Reglement delegue (UE) 2024/1773 de la Commission du 13 mars 2024

Amtlichen Text lesen

Reglement delegue completant DORA sur la politique relative aux services TIC, artikel 6, paragraphe 3

Berichte über unabhängige Audits, die auf Verlangen des IKT-Drittdienstleisters erstellt werden;

Wer nachweisen muss: le prestataire tiers de services TIC
Gegenüber wem: l'entite financiere
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Reglement delegue (UE) 2024/1773 de la Commission du 13 mars 2024

Amtlichen Text lesen

Reglement delegue completant DORA sur la politique relative aux services TIC, artikel 8, paragraphe 2

(2) In der Leitlinie ist festzulegen, dass die einschlägigen vertraglichen Vereinbarungen das Recht des Finanzunternehmens auf Zugang zu Informationen, auf die Durchführung von Inspektionen und Audits sowie auf die Durchführung von IKT-Tests vorsehen müssen. In der Leitlinie ist vorzusehen, dass das Finanzunternehmen zu diesen Zwecken — unbeschadet seiner letztlichen Verantwortung — auf folgende Methoden zurückgreifen muss: a) eigene interne Audits oder Audits eines beauftragten Dritten; b) gegebenenfalls Sammelaudits und gepoolte IKT-Tests, einschließlich bedrohungsorientierter Penetrationstests, die gemeinsam mit anderen als Auftraggeber auftretenden Finanzunternehmen oder Firmen, die IKT-Dienstleistungen desselben IKT-Drittdienstleisters nutzen, organisiert und von diesen Finanzunternehmen oder Firmen oder einem von ihnen beauftragten Dritten durchgeführt werden; c) gegebenenfalls Zertifizierungen Dritter; d) gegebenenfalls Berichte über interne oder von Dritten durchgeführte Audits, die vom IKT-Drittdienstleister zur Verfügung gestellt werden.

Wer nachweisen muss: le prestataire
Gegenüber wem: l'entite financiere
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Reglement delegue (UE) 2024/1773 de la Commission du 13 mars 2024

Amtlichen Text lesen

Directive NIS2, artikel 32, paragraphe 2, troisieme alinea

Die Ergebnisse einer gezielten Sicherheitsprüfung sind der zuständigen Behörde zur Verfügung zu stellen. Die Kosten einer solchen gezielten Sicherheitsprüfung, die von einer unabhängigen Stelle durchgeführt wird, sind von der geprüften Einrichtung zu tragen, es sei denn, die zuständige Behörde trifft in hinreichend begründeten Fällen eine anderslautende Entscheidung.

Wer nachweisen muss: l'entite controlee
Gegenüber wem: l'autorite competente
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Directive (UE) 2022/2555, JO L 333 du 27.12.2022, p. 80

Amtlichen Text lesen

Directive NIS2, artikel 32, paragraphe 2, point g)

g) Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von Sicherheitsprüfungen, die von einem qualifizierten Prüfer durchgeführt wurden, und der entsprechenden zugrunde liegenden Nachweise.

Wer nachweisen muss: l'entite
Gegenüber wem: l'autorite competente
Häufigkeit: keine Angabe zur Häufigkeit im Text
Fundstelle: Directive (UE) 2022/2555, JO L 333 du 27.12.2022, p. 80

Amtlichen Text lesen

Diese Seite zitiert amtliche Rechtstexte. Jedes Zitat ist wortgetreu wiedergegeben und verweist auf seine Quelle. Sie stellt keine Rechtsberatung dar und ersetzt nicht die Lektüre des für Ihre Situation maßgeblichen Textes. European Union texts quoted on this page are reused under Decision 2011/833/EU, licensed under the Creative Commons Attribution 4.0 International licence. © European Union, 1998-2026. Quotations are reproduced without modification; only their formatting differs from the original. Source: EUR-Lex (eur-lex.europa.eu). Only European Union legislation printed in the paper edition of the Official Journal of the European Union is deemed authentic.