Zusammenfassung

  • Südkoreas Kabinett beschloss am 20. Oktober, die Pflicht zur Offenlegung von Informationssicherheit auszuweiten. Bisherige Ausnahmen für öffentliche Einrichtungen fallen zum 1. Januar 2027 weg.
  • Alle an KOSPI und KOSDAQ notierten Gesellschaften werden unabhängig vom Umsatz erfasst; ausgenommen sind Zweckgesellschaften für Übernahmen. Kleine Unternehmen bekommen bis zum 1. Januar 2029 Zeit.

Von Lieferanten einen Sicherheitsnachweis zu verlangen, ist eine angenehme Übung. Die eigene Personalliste und die eigene Rechnung offenzulegen, ist anspruchsvoller. Genau das wird Südkorea nun auch öffentlichen Einrichtungen abverlangen. Laut der Originalmitteilung des Ministeriums für Wissenschaft und IKT hebt die am 20. Oktober vom Kabinett beschlossene Verordnung bisherige Ausnahmen für staatliche Stellen, Finanzunternehmen und elektronische Finanzdienstleister auf. Hinzu kommen Organisationen, für die eine ISMS-Zertifizierung vorgeschrieben ist.

An der Börse fällt die bisherige Umsatzschwelle von 300 Milliarden Won. Gesellschaften an KOSPI und KOSDAQ werden unabhängig von ihrem Erlös einbezogen. Die amtliche Vorlage nennt eine Ausnahme für Zweckgesellschaften zur Übernahme anderer Unternehmen. Die allgemeinen Regeln gelten ab dem 1. Januar 2027. Für kleine Unternehmen im Sinne der einschlägigen Verordnung beginnt die Pflicht erst zwei Jahre später.

Offengelegt werden Investitionen und Beschäftigte im Bereich Informationssicherheit sowie Zertifizierungen, Bewertungen, Kontrollen und Sicherheitsaktivitäten. Das macht aus einer allgemeinen Versicherung eine überprüfbare Ressourcenfrage. Wer einen öffentlichen digitalen Dienst betreibt, soll künftig zeigen, wie viele Menschen sich um dessen Schutz kümmern und welches Geld dafür bereitsteht.

Auch die Messung der Nutzerzahl ändert sich. Statt des Durchschnitts aus den letzten drei Monaten des Vorjahres zählt künftig der tägliche Durchschnitt des gesamten Vorjahres. Bei saisonalen Angeboten kann diese Verschiebung den Ausschlag geben. Das Ministerium kündigt überarbeitete Leitlinien, Beratung, Online-Sprechstunden und Schulungen in den Regionen an.

Eine Schätzung der zusätzlich erfassten Einrichtungen oder der neuen Sicherheitsausgaben enthält die Mitteilung nicht. Erst die ersten Einreichungen zeigen die tatsächliche Größe des erweiterten Kreises. Die politische Entscheidung steht bereits fest: Weder der Status als öffentliche Einrichtung noch ein Umsatz unter der alten Schwelle soll das Sicherheitsbuch weiter im Schrank halten.

Quellen