Die EU het 'n nuwe Digitale Omnibus-wetsontwerp ingestel wat ontwerp is om databeskerming, kuberveiligheid en KI-regulering te stroomlyn. Hoe kan organisasies verseker dat hul eie voldoeningsstrategieë aanpasbaar en samehangend is om veerkragtig te bly soos digitale regulering ontwikkel?
Deur Kate O'Flaherty
Om deur die menigte digitale wette oor talle jurisdiksies te navigeer, is 'n mynveld vir die meeste organisasies. En die voortdurende stryd om aan hulle almal individueel te voldoen, maak min sin wanneer soveel van die regulasies se vereistes oorvleuel.
Dit is met dit in gedagte dat die EU 'n voorstel gemaak het Digitale Omnibuswetsontwerp ontwerp om databeskerming, kuberveiligheid en KI-regulering te stroomlyn en in lyn te bring.
Die wetsontwerp, wat die eerste keer in November 2025 aangekondig is, is tans onder konsultasie en word vroeg in 2027 geïmplementeer. Daar word verwag dat dit teen 2029 tot 5 miljard euro in besparings sal lewer.
Namate digitale regulering wat databeskerming, kuberveiligheid en KI dek, konvergeer, hervorm dit verwagtinge rondom bestuur, aanspreeklikheid en risikobestuur. Organisasies benodig nou aanpasbare en saamgevoegde voldoeningsstrategieë om te bly veerkragtige soos digitale regulering ontwikkel.
Perfekte oomblik vir 'n rekening
Die Wetsontwerp het op die perfekte oomblik aangebreek. Met verloop van tyd het die ophoping van nuwe reëls oor digitale sekuriteit, data-integriteit en privaatheid die kompleksiteit verhoog en voldoeningskoste vir organisasies wat in die EU werksaam is, opgedryf, sê Ben Lipczynski, direkteur van sekuriteitsdienste by Origina.
Regulasies soos die EU-algemene databeskermingsregulasie (GDPR), Netwerk- en Inligtingstelsels 2 (NIS2), die Wet op kuberveerkragtigheid en die EU KI-wet is met duidelike doelwitte bekendgestel.
Tog het hul oorvleueling “onnodige administratiewe las geskep en mededingendheid verminder”, sê Lipczynski. Met die voorgestelde Digitale Omnibus-wetsontwerp het die EU erken dat “gefragmenteerde en dupliserende digitale regulering” die doeltreffendheid van die interne mark ondermyn, vertel hy. IO.
Die Digitale Omnibus is nie net nog 'n wet nie. Dit moet gesien word as die EU wat erken dat die ou model om veelvuldige regulasies as aparte silo's te behandel, nie meer werk nie, sê Tracey Hannan-Jones, konsulterende direkteur, inligtingsekuriteit en GRC en groep-DPO by UBDS Digital. “Dit is die EU se eerste poging om die digitale reëlboek gedeeltelik te verenig, met optimalisering oor data, KI en kuber, deur bestaande instrumente te wysig – eerder deur nuwes bo-op te lê.”
In werklikheid beteken dit dis “’n horisontale skoonmaak”. Dit wysig die AVG, NIS2, die EU se KI-wet, die Wet op Databestuur, en ander, deur middel van “een gekoördineerde pakket”, verduidelik Hannan-Jones.
Wet oorvleuel
Huidige digitale wette oorvleuel oor verskeie gebiede. Byvoorbeeld, NIS2, die Wet op Kuberveerkragtigheid en die EU se KI-wet oorvleuel in verband met voorvalrapportering en veerkragtigheidsvereistes. Hierdie oorvleuelings sal na verwagting aangespreek word deur die voorgestelde Enkeltoegangspunt, wat daarop gemik is om verslagdoeningsverpligtinge oor raamwerke heen te vereenvoudig en te konsolideer, sê Lipczynski van Origina.
Dit sal 'n groot verskuiwing wees weg van dikwels geïsoleerde regulatoriese raamwerke, wat kan lei tot "verhoogde kompleksiteit en mededingende vereistes", sê Lipczynski. Tans, wanneer organisasies kubervoorvalle aanmeld, kan hulle vereis word om aan verskeie onafhanklike agentskappe te rapporteer – elk met die prioriteit van verskillende datastelle binne die voorvalverslag. "Dit kan 'n beduidende administratiewe las op 'n kritieke tydstip skep."
Net so voeg die opsporing en reaksie op veranderinge oor talle regulasies – dikwels gekommunikeer deur onafhanklike en verspreide kanale – verdere kompleksiteit by. “Hierdie fragmentering maak dit moeiliker om reaksieplanne en bestuursstrukture in lyn te bring, wat beide voldoeningspoging en operasionele risiko verhoog,” sê Lipczynski.
Belyning kan organisasies in staat stel om hul voldoeningsraamwerke te stroomlyn en te standaardiseer en operasionele doeltreffendheid te verwesenlik – en dus besparings, sê Lipczynski. “Hulpbronne kan dan gerig word op pogings wat die vermoëns en mededingendheid van die besigheid verder kan ontwikkel.”
Organisasies moet egter daarop let dat hoewel regulatoriese konvergensie geleenthede skep, dit ook 'n paar uitdagings kan skep, sê David Dumont, vennoot van Hunton Andrews Kurth. “’n Geharmoniseerde en duidelike stel digitale reëls kan vereis dat organisasies 'n meer omvattende en konsekwente benadering tot hul datapraktyke en verwante verpligtinge volg, wat minder ruimte laat om weg te kruip agter die kompleksiteite en teenstrydighede van die huidige lappieskombers van regulasies.”
Gesamentlike Digitale Risikobestuur in die Praktyk
Die Digitale Omnibus-wetsontwerp is 'n duidelike teken dat maatskappye hul geïsoleerde benaderings tot databeskerming, kuberveiligheid en KI-nakoming moet opskud.
Firmas moet streef na "gesamehangende" digitale risikobestuur, wat beteken dat "interne multidissiplinêre belanghebbendes saam moet werk en dieselfde taal moet praat", sê Dumont van Hunton Andrews Kurth.
Om dit te bereik, moet privaatheids-, regs- en voldoeningspanne probeer om wetlike vereistes in tegniese terme te vertaal. “Dit sal IT- en databestuurspanne help om relevante bestaande maatreëls binne die organisasie te identifiseer en dit ten volle te benut vir voldoening aan die raamwerk van nuwe digitale wette,” adviseer hy.
In die praktyk beteken gesamentlike digitale risikobestuur die vestiging van 'n enkele bestuurslaag waardeur alle sensitiewe datakommunikasie – of dit nou e-pos, lêerdeling, bestuurde lêeroordrag of webvorms is – gerouteer, gemonitor en beheer word onder een konsekwente stel beleide, sê Dario Perfettibile, hoofbestuurder, EMEA GTM en kliëntebedrywighede by Kiteworks. “Dit beteken dat dieselfde enkripsiestandaarde, toegangsbeheer en ouditlogboeke wat aan die GDPR se databeskermingsvereistes voldoen, ook dien as bewys vir NIS2-voorvalrapportering en kwesbaarheidsbestuur van die Wet op Siberveerkragtigheid.”
Dit beteken ook dat wanneer 'n werknemer data met 'n derdeparty-KI-verskaffer deel, die uitruil outomaties beheer word deur dieselfde beheermaatreëls wat pasiëntrekords of finansiële transaksies beskerm. “Jy sal 'n volledige bewaringsketting nodig hê wat sigbaar is vir ouditeure oor elke toepaslike raamwerk,” voeg Perfettibile by.
Toekomsbestande Nakoming
Met die Digitale Omnibuswetsontwerp wat oor 'n jaar kom, maak dit sin om te begin toekomsbestand maak van u nakoming strategie nou. In lyn met bestuursraamwerke en ISO-standaarde soos ISO 27001 (inligtingsekuriteit), ISO 42001 (KI-bestuur), en ISO 27701 (privaatheid), is noodsaaklik om deur die veranderinge te navigeer.
Om gesamentlike nakoming in die toekoms te verseker, raai UBDS Digital se Hannan-Jones firmas aan om hul beheerliggame te konsolideer. As deel hiervan stel sy die skepping van 'n enkele digitale risikokomitee voor om die databeskermingsstrategie (GDPR), kuberveiligheidshouding (NIS2/CRA), KI-beheer (KI-wet) en produknakoming (CRA/sektorreëls) te beheer.
Terselfdertyd, as jy oor verskeie jurisdiksies werksaam is, is die strategiese stap om na alle wette en raamwerke te kyk en die oorvleueling te karteer, nie net die verpligtinge nie, sê Hannan-Jones.
Sy beveel aan dat 'n matriks gebou word wat wys waar regulasies soos die AVG, NIS en die KI-wet risikobepalings, bestuursrolle, tegniese en organisatoriese maatreëls, voorvalrapportering en dokumentasie met rekordhouding vereis. “Ontwerp dan gedeelde prosesse waar die oorvleueling die sterkste is.”
Organisasies kan hul assesserings en dokumentasie standaardiseer deur een kernrisiko-assesseringsmetodologie te ontwikkel met modules vir privaatheid, KI en sekuriteit. “Verseker dat verenigde basislyne vasgelê word, insluitend toegangsbeheer, logging en monitering, toetsing en enkripsie,” voeg sy by.
Namate digitale regulasies saamvloei, behoort dit terug te skakel na 'n verenigde insidentresponsprogram wat oortredings oor privaatheid, sekuriteit en KI klassifiseer. “En, waar toepaslik, koppel dit outomaties aan die relevante wetlike rapporteringspligte en tydlyne,” sê Hannan-Jones. “Dit sal jou in staat stel om een bewysspoor te skep wat vir verskeie reguleerders hergebruik kan word.”
