Datenhoheit für die Fertigungsindustrie: Compliance in globalen Lieferketten
Die Fertigungsindustrie steht vor einem Datenhoheitsproblem, das in dieser Form einzigartig ist. Ein fertiges Automobilbauteil kann zwölf Landesgrenzen überschreiten – und dabei mit Engineering-Teams, Tier-1-Zulieferern, Auftragsfertigern und Logistikpartnern in Kontakt kommen – bevor es zur Endmontage gelangt. Bei jedem Übergang werden Daten bewegt: CAD-Designs, Produktionsspezifikationen, Qualitätsaufzeichnungen, Mitarbeiterinformationen, Kundenaufträge. Jede Jurisdiktion, die diese Daten berühren, kann eigene Gesetze geltend machen. Das Ergebnis ist keine statische Compliance-Checkliste – sondern ein dynamischer, multijurisdiktionaler Hoheits-Perimeter, der sich mit der Lieferkette bewegt. Die Fertigungsindustrie meldet mit 52 % (Kiteworks 2026) die höchste Rate an Datenhoheits-Compliance-Vorfällen aller Branchen – vor Finanzdienstleistungen, Gesundheitswesen und Technologie. Dieser Beitrag zeigt die relevanten Rahmenwerke, die risikoreichsten Datenkategorien und die passenden Kontrollmechanismen auf.
Executive Summary
Kernaussage: Globale Fertigungsunternehmen unterliegen Datenhoheits-Compliance-Anforderungen, die sich über mehrere parallele Rahmenwerke erstrecken – DSGVO für personenbezogene Daten aus der EU, die NIS-2-Richtlinie für Betriebstechnologie und Cybersicherheit in der Lieferkette, ITAR für verteidigungsbezogene technische Daten, Chinas PIPL für Aktivitäten mit chinesischen Unternehmen sowie branchenspezifische Standards wie TISAX für Automobil-Lieferketten. Die Lieferkette bildet den Compliance-Perimeter: Werden Daten mit einem Tier-2-Zulieferer in einer nicht konformen Jurisdiktion geteilt, entsteht für den Haupthersteller ein Hoheitsrisiko. Die Konvergenz von IP-Schutz, Datenresidenz und Risikomanagement in der Lieferkette bedeutet, dass Datenhoheits-Compliance nicht an der Unternehmensgrenze gelöst werden kann – sie muss im gesamten Ökosystem des Datenaustauschs durchgesetzt werden.
Warum das relevant ist: Die 52%ige Hoheitsvorfallrate in der Fertigung – der höchste Wert aller Branchen – resultiert aus verteilten Lieferketten, wertvollem geistigen Eigentum und einem niedrigeren Cybersicherheitsniveau als bei Finanzdienstleistern oder im Gesundheitswesen. Ein Hoheitsvorfall bedeutet hier nicht nur eine behördliche Strafe: Es kann zur Exfiltration von IP an Wettbewerber, zum Verlust eines Verteidigungsauftrags oder zu einer DSGVO-Strafe führen, ausgelöst durch einen Infrastrukturausfall beim Zulieferer.
wichtige Erkenntnisse
- Die Lieferkette ist der Hoheits-Perimeter. Die Compliance-Position eines Herstellers ist nur so stark wie sein schwächster datenverarbeitender Zulieferer. Risikomanagement in der Lieferkette und Datenhoheit sind untrennbar miteinander verbunden.
- Die Fertigung verarbeitet drei unterschiedliche Datenkategorien mit eigenen Hoheitsregeln: personenbezogene Daten (Mitarbeiter- und Kundendaten – DSGVO), operative Daten (Produktionsspezifikationen, Maschinendaten – NIS 2, China DSL) und kontrollierte technische Daten (geistiges Eigentum, Verteidigungsdesigns – ITAR, TISAX).
- NIS 2 wurde auf die Fertigungsindustrie ausgeweitet. Große EU-Hersteller unterliegen nun verpflichtenden Cybersicherheitsanforderungen in der Lieferkette, 24-Stunden-Meldepflichten für Vorfälle und einer persönlichen Haftung des Managements, die es in der ursprünglichen NIS-Richtlinie nicht gab.
- ITAR folgt den Daten, nicht dem Unternehmen. Teilt ein Hersteller verteidigungsbezogene CAD-Designs mit einem ausländischen Mitarbeiter oder internationalen Zulieferer, kann dies eine Exportverletzung darstellen – unabhängig davon, ob ein physisches Produkt eine Grenze überschreitet.
- Besitzlose Zusammenarbeit ist die Lösung für IP-Hoheit. Werden Design-Dateien an Offshore-Zulieferer gesendet, gehen die Daten – und die Hoheit darüber – in deren Jurisdiktion über. Dokumentenbasiertes DRM, das Zulieferern das Betrachten und Bearbeiten von Dateien ohne deren Erhalt ermöglicht, eliminiert dieses Risiko vollständig.
Warum die Fertigung die höchste Hoheitsvorfallrate hat
Finanzdienstleister haben mehr in Hoheitskontrollen investiert als jede andere Branche. Das Gesundheitswesen arbeitet seit Jahrzehnten unter strengen regulatorischen Vorgaben. Die Fertigungsindustrie hat Cybersicherheit und Data Governance historisch der operativen Effizienz untergeordnet – und die Vorfalldaten spiegeln dies wider. Drei strukturelle Faktoren verstärken die Gefährdung.
Die Lieferkette vergrößert die Angriffsfläche. Ein Tier-1-Automobilzulieferer kann geistiges Eigentum mit Dutzenden Tier-2- und Tier-3-Partnern in verschiedenen Ländern teilen. Jede Verbindung stellt eine potenzielle Hoheitslücke dar: Ein Zulieferer mit nicht konformer Infrastruktur, ein Subunternehmer in einer Jurisdiktion mit widersprüchlichen Lokalisierungsgesetzen, ein Auftragsfertiger mit unbekannter Sicherheitslage. Anders als bei Finanzdienstleistern, wo das Datenökosystem relativ begrenzt ist, fließen Fertigungsdaten überall dorthin, wo die Lieferkette verläuft.
Betriebstechnologie schafft einen Sichtbarkeits-Blindspot. Fertigungsumgebungen kombinieren IT- und OT-Systeme – Unternehmensdatenmanagement neben Steuerungssystemen auf dem Shopfloor, IoT-Sensoren und SCADA-Netzwerken. Hoheitskontrollen auf Unternehmensebene greifen oft nicht in OT-Umgebungen, sodass Produktionsdaten, Maschinenspezifikationen und Qualitätsaufzeichnungen grenzüberschreitend ohne die gleiche Governance wie Geschäftsdaten fließen.
Geistiges Eigentum ist das primäre Hoheitsziel. Die wertvollsten Daten in der Fertigung sind nicht Kundendaten, sondern proprietäre Designs, Rezepturen, Prozessspezifikationen und Produkt-Roadmaps. Eine Design-Datei, die die falsche Grenze überschreitet oder auf Infrastruktur landet, die einer ausländischen Regierung zugänglich ist, macht jahrelange F&E-Investitionen potenziell für Wettbewerber oder staatliche Akteure verfügbar. Das Hoheitsrisiko ist also nicht nur regulatorisch, sondern vor allem wettbewerbsrelevant.
Welche Data-Compliance-Standards sind relevant?
Jetzt lesen
Die relevanten regulatorischen Rahmenwerke
DSGVO – personenbezogene Daten in der EU-Lieferkette
Die DSGVO gilt für jeden Hersteller, der personenbezogene Daten von EU-Bürgern verarbeitet – also Mitarbeiter, Auftragnehmer, Kunden und Lieferkettenkontakte. Die Übermittlungsbeschränkungen nach Kapitel V regeln, wann diese Daten die EU verlassen, etwa zu Zulieferern in Asien, Logistikpartnern in den USA oder bei Nutzung von Fertigungssystemen auf nicht-EU-Infrastruktur. Nach Schrems II bleiben Standardvertragsklauseln das wichtigste Übermittlungsinstrument, können aber den US CLOUD Act nicht aushebeln: Personenbezogene Daten auf Cloud-Infrastruktur mit US-Hauptsitz unterliegen unabhängig vom Standort des Rechenzentrums dem US-Zugriffsrecht. Kundenseitig verwaltete Verschlüsselung schließt diese Lücke architektonisch.
NIS 2 – Cybersicherheit in der Lieferkette für EU-Hersteller
Die NIS-2-Richtlinie, von den EU-Mitgliedstaaten im Oktober 2024 umgesetzt, hat die Cybersicherheitsanforderungen für Hersteller erheblich ausgeweitet. Große Hersteller in kritischen Sektoren – Automobil, Luft- und Raumfahrt, Chemie, Medizintechnik – gelten nun als „wichtige Einrichtungen“ und unterliegen den NIS-2-Anforderungen an die Sicherheit der Lieferkette, der 24-Stunden-Meldepflicht für Vorfälle und der persönlichen Haftung des Managements bei Cybersicherheitsversäumnissen. Die Hoheitsdimension ist der Lieferkettenauftrag: Hersteller müssen Cybersicherheitsrisiken in ihren ICT-Lieferketten bewerten und steuern. Ein Zulieferer-Vorfall, der Produktionsdaten oder geistiges Eigentum kompromittiert, löst für den Hersteller Meldepflichten nach NIS 2 aus. Die NIS-2-Compliance-Strafen reichen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, mit direkter persönlicher Haftung des Managements.
ITAR – Verteidigungshersteller und kontrollierte technische Daten
ITAR-Compliance betrifft Hersteller aus Luft- und Raumfahrt, Verteidigung und Dual-Use-Technologien und bringt personenbezogene Zugriffsbeschränkungen mit sich, die es in zivilen Rahmenwerken nicht gibt. Die „deemed export“-Regel behandelt das Teilen kontrollierter technischer Daten mit einem ausländischen Staatsangehörigen als rechtlich gleichwertig mit dem Export in dessen Herkunftsland – unabhängig vom Standort. Teilt ein Verteidigungszulieferer Raketenleitsysteme mit einem ausländischen Ingenieur in den USA, liegt bereits ein Exportverstoß vor, ohne dass Daten eine Grenze überschreiten. Für globale Lieferketten gilt: Das Teilen von ITAR-kontrollierten Designs mit internationalen Partnern erfordert eine Lizenz oder ein Technical Assistance Agreement.
China PIPL und Lokalisierungsgesetze
Hersteller mit Aktivitäten in China unterliegen dem Personal Information Protection Law (PIPL), das eine Sicherheitsbewertung verlangt, bevor in China erhobene personenbezogene Daten ins Ausland übermittelt werden. Das chinesische Datenschutzgesetz (Data Security Law) erstreckt sich auf „wichtige Daten“, darunter Produktions- und Lieferketteninformationen, die als national bedeutend eingestuft werden. Für Hersteller, die globale ERP- oder PLM-Systeme nutzen, die Daten regionsübergreifend konsolidieren, können chinesische Aktivitäten Lokalisierungspflichten auslösen, die einer einheitlichen Datenarchitektur entgegenstehen.
Branchenspezifische Standards: TISAX und ISO 27001
Automobilhersteller und -zulieferer unterliegen TISAX – dem brancheneigenen Rahmenwerk zum Schutz sensibler Lieferketteninformationen wie Fahrzeugdesigns, Produktionsprozesse und Kundendaten. TISAX-Zertifizierung ist für viele OEM-Zulieferbeziehungen in Europa Voraussetzung. ISO 27001 bildet das übergeordnete Fundament für Informationssicherheitsmanagement, das TISAX untermauert und zunehmend als Basisqualifikation für Zulieferer in der Fertigung dient.
Die drei Datenkategorien und ihre Hoheitsregeln
Die Datenhoheits-Compliance in der Fertigung wird durch drei Datenkategorien erschwert, die durch dieselbe Lieferkette fließen und jeweils eigene Anforderungen an Datenresidenz, Zugriff und Übermittlung stellen:
| Datenkategorie | Beispiele | Primäres Rahmenwerk | Zentrale Anforderung | Risikoszenario |
|---|---|---|---|---|
| Personenbezogene Daten | Mitarbeiterakten, Auftragnehmerdaten, Kundenaufträge, HR-Kommunikation | DSGVO, China PIPL, regionale Datenschutzgesetze | Residenz- und Übermittlungsbeschränkungen; Auftragsverarbeitungsverträge mit Zulieferern | Globales ERP konsolidiert EU- und China-Mitarbeiterdaten ohne juristikationsbewusste Architektur |
| Operative Daten | Produktionsspezifikationen, Qualitätsaufzeichnungen, Maschinendaten, IoT-Sensordaten | NIS 2, China DSL, branchenspezifische Vorgaben | Cybersicherheitskontrollen in der Lieferkette; Vorfallmeldung; OT-Zugriffssteuerung | Smart-Factory-Daten auf US-Cloud-Plattformen, die dem CLOUD Act unterliegen |
| Kontrollierte technische Daten | Proprietäre Designs, CAD-Dateien, Rezepturen, Verteidigungsspezifikationen | ITAR, TISAX, Exportkontrollen, Geschäftsgeheimnisgesetz | Zugriff nur für autorisierte Personen; kein Zugriff ausländischer Staatsangehöriger ohne Lizenz (ITAR); juristikationskontrollierte Speicherung | Design-Dateien werden per E-Mail oder unkontrolliertem Filesharing an internationale Zulieferer gesendet |
Die Komplexität steigt, wenn ein Austausch mehrere Kategorien betrifft – erhält ein Zulieferer einen Produktionsauftrag mit Mitarbeiterautorisierungen, Maschinenspezifikationen und proprietären Prozessparametern, greifen DSGVO, NIS 2 und potenziell ITAR gleichzeitig.
Die Lieferkette als Compliance-Perimeter
Das prägende Merkmal der Datenhoheits-Compliance in der Fertigung ist, dass der Compliance-Perimeter nicht an der Unternehmensgrenze endet. Nach DSGVO ist der Hersteller als Datenverantwortlicher auch für die Compliance seiner Auftragsverarbeiter verantwortlich – nutzt ein Tier-1-Zulieferer EU-Personendaten auf nicht konformer Infrastruktur, haftet der Hersteller. Nach NIS 2 ist die Sicherheit der Lieferkette explizit Herstellersache. Nach ITAR folgt die Exportlizenzpflicht den kontrollierten Daten, unabhängig davon, welcher Zulieferer sie verarbeitet.
Die praktische Hoheitsfrage lautet nicht nur „Wo liegen unsere Daten?“ – sondern „Wo liegen unsere Daten, nachdem wir sie mit Zulieferern geteilt haben?“ Zwei technische Ansätze helfen dabei. Plattformbasierte Governance verlangt, dass Lieferkettenpartner auf geteilte Daten über kontrollierte Plattformen zugreifen, die Residenz, Zugriff und Prüfprotokolle durchsetzen – statt Dateien per E-Mail oder über unkontrollierte Kanäle zu erhalten. Besitzlose Zusammenarbeit nutzt dokumentenbasiertes DRM, das Zulieferern das Anzeigen, Kommentieren und Bearbeiten von Designs ermöglicht, ohne dass die Dateien den Sicherheitsperimeter des Herstellers verlassen. SafeEDIT macht dies für Engineering-Workflows praxistauglich – ein Ingenieur des Zulieferers kann mit einem CAD-Design in einer gerenderten Umgebung arbeiten, ohne dass die Datei auf seine Systeme oder in seine Jurisdiktion übertragen wird.
Was Datenhoheits-Compliance in der Fertigung tatsächlich erfordert
Datenklassifizierung über alle drei Kategorien hinweg. Personenbezogene Daten, operative Daten und kontrollierte technische Daten benötigen jeweils eigene Hoheitskontrollen. Ein Governance-Rahmen, der alle Fertigungsdaten gleich behandelt, schränkt entweder operative Abläufe zu stark ein oder schützt geistiges Eigentum und personenbezogene Daten unzureichend.
Jurisdiktionsbewusste Datenresidenz. EU-Personendaten müssen auf EU-Infrastruktur verbleiben. Chinesische operative Daten können Lokalisierungspflichten unterliegen. ITAR-kontrollierte technische Daten müssen auf Systemen gespeichert werden, die nur US-Personen zugänglich sind. Ein globaler Hersteller braucht Infrastruktur, die Datenresidenz nach Kategorie und Jurisdiktion durchsetzt – keine Ein-Region-Lösung, die alle Daten einem Hoheitsregime unterwirft.
Drittparteien-Risikomanagement in der Lieferkette. Nach NIS 2 und DSGVO liegt die Hoheit über die Lieferkette beim Hersteller. Zulieferer-Audits müssen nachweisen, dass Partner mit kontrollierten Daten eine Hoheitsarchitektur vorweisen – nicht nur Sicherheitszertifikate, sondern dokumentierte Kontrollen, wo Daten liegen und wer darauf zugreifen kann.
Schutz kontrollierter technischer Daten über den Perimeter hinaus. Mit Zulieferern geteiltes geistiges Eigentum braucht Schutz, der mit den Daten reist. Verschlüsselung während der Übertragung und im ruhenden Zustand schützt Daten in Bewegung; besitzlose Zusammenarbeit stellt sicher, dass kontrollierte Designs nie den Hoheitsperimeter des Herstellers verlassen müssen. Wo Dateien geteilt werden, begrenzen granulare Zugriffskontrollen, Download-Restriktionen und Ablaufdaten das Hoheitsrisiko zeitlich.
Unveränderliche Prüfprotokolle über alle Kanäle hinweg. Die Meldepflichten für Lieferkettenvorfälle nach NIS 2, das Rechenschaftsprinzip der DSGVO, ITAR-Aufzeichnungspflichten und TISAX-Audit-Trail-Anforderungen laufen auf dasselbe hinaus: Jeder Datenaustausch mit jedem Lieferkettenpartner muss in manipulationssicheren Prüfprotokollen erfasst werden – was wurde geteilt, mit wem, wann und aus welcher Jurisdiktion.
Wie Kiteworks die Datenhoheit in der Fertigung unterstützt
Das Private Data Network von Kiteworks ist für den Datenaustausch in der Lieferkette konzipiert, wie ihn die Datenhoheits-Compliance in der Fertigung verlangt – Governance über das erweiterte Partner-Ökosystem hinweg, nicht nur innerhalb des Unternehmensperimeters.
Jurisdiktionskonfigurierbare Bereitstellung – On-Premises, Private Cloud und regionale Cloud – ermöglicht es Herstellern, EU-Personendaten auf EU-Infrastruktur zu halten, ITAR-kontrollierte technische Daten auf Systemen, die nur US-Personen zugänglich sind, und chinesische Betriebsdaten unter PIPL-konformen Kontrollen – alles auf einer einheitlichen Plattform. Kundenseitig verwaltete Verschlüsselung (BYOK/BYOE) mit FIPS 140-3 Level 1-validierter Verschlüsselung, AES-256 im ruhenden Zustand und TLS 1.3 während der Übertragung schließt die CLOUD-Act-Lücke für personenbezogene und operative Daten. Zero trust-Sicherheitskontrollen erzwingen Need-to-know-Zugriff über die gesamte Lieferkette – jede Zulieferer-Interaktion wird protokolliert, jeder Zugriff auf Autorisierung begrenzt.
Für den IP-Schutz ermöglicht SafeEDIT DRM besitzlose Zusammenarbeit: Offshore-Produktionspartner und internationale Designbüros können Konstruktionszeichnungen ansehen und kommentieren, ohne dass Dateien den Hoheitsperimeter des Herstellers verlassen. Secure MFT, verschlüsselte E-Mails und sicheres Filesharing ersetzen unkontrollierte E-Mail-Anhänge durch gesteuerte, prüfbare Datenaustausche. Das einheitliche, unveränderliche Prüfprotokoll deckt alle Kanäle ab – sichtbar im CISO-Dashboard mit vorkonfigurierten Compliance-Vorlagen für DSGVO, NIS 2, ITAR und ISO 27001, exportierbar in SIEM– und Audit-Workflows. Für Verteidigungshersteller unterstützt Kiteworks die CMMC-2.0-Compliance und deckt damit fast 90 % der Level-2-Kontrollen direkt ab.
Fazit
Das Hoheitsproblem der Fertigung unterscheidet sich strukturell von allen anderen Branchen. Die Lieferkette ist der Compliance-Perimeter und erstreckt sich über Dutzende Länder, Hunderte Zulieferer und drei Datenkategorien – jede mit eigenen Rahmenwerken und Durchsetzungsmechanismen. DSGVO, NIS 2, ITAR, China PIPL und TISAX stehen nicht im Wettbewerb zueinander – sie addieren sich, und jeder Lieferkettenübergang ist potenziell eine Lücke in allen gleichzeitig.
Die Lösung ist eine Plattform, die Hoheitskontrollen am Punkt des Datenaustauschs durchsetzt – nicht nur im Unternehmen. Jurisdiktionsbewusste Datenresidenz, besitzlose IP-Zusammenarbeit und unveränderliche Prüfprotokolle über das gesamte Partnerökosystem der Lieferkette hinweg – das senkt die Vorfallrate der Fertigung von der höchsten aller Branchen auf ein verteidigbares Niveau. Das Private Data Network von Kiteworks macht dies für globale Lieferketten praxistauglich.
Erfahren Sie mehr über Datenhoheits-Compliance für Hersteller und vereinbaren Sie noch heute eine individuelle Demo.
Häufig gestellte Fragen
Ja, in zweierlei Hinsicht. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten von EU-Bürgern, unabhängig vom Sitz des Unternehmens – Mitarbeiterdaten von EU-Personal, Kundenauftragsdaten von EU-Käufern und Lieferkettenkontakte lösen DSGVO-Pflichten aus. Besteht eine Niederlassung in der EU (Fabrik, Büro oder Tochtergesellschaft), fällt die damit verbundene Verarbeitung ebenfalls unter die DSGVO. Übermittlungsbeschränkungen nach Kapitel V greifen, wenn diese Daten in Ihr Hauptsitzland oder zu nicht-EU-Zulieferern übertragen werden – dann sind Angemessenheitsbeschlüsse, Standardvertragsklauseln oder verbindliche Unternehmensregeln als rechtliche Übermittlungsmechanismen erforderlich.
Mehrere, je nach Datenart. Enthalten die Designs personenbezogene Daten, greifen die Übermittlungsbeschränkungen der DSGVO nach Kapitel V. Bei ITAR-kontrollierten technischen Daten erfordert die Weitergabe an einen ausländischen Hersteller eine Exportlizenz oder ein Technical Assistance Agreement – und die Weitergabe an einen ausländischen Mitarbeiter kann bereits eine Exportverletzung darstellen. Bei proprietärem geistigem Eigentum, das nicht ITAR-kontrolliert ist, besteht das Risiko vor allem im Wettbewerb: Verlässt eine Datei Ihren Perimeter, unterliegt sie den Gesetzen und der Infrastruktur der jeweiligen Jurisdiktion. Besitzlose Kollaborationslösungen, die Designs rendern, ohne Dateien zu übertragen, eliminieren dieses Risiko vollständig.
Die NIS-2-Richtlinie macht die Cybersicherheit in der Lieferkette explizit zur Aufgabe des Herstellers. Sie müssen Cybersicherheitsrisiken in Ihrer ICT-Lieferkette bewerten und steuern – einschließlich Sicherheitsüberprüfungen bei Zulieferern, die Produktionsdaten oder geistiges Eigentum verarbeiten. Kommt es bei einem Zulieferer zu einer Datenpanne, müssen Sie den Vorfall innerhalb von 24 Stunden melden – unabhängig vom Ursprungsort. Praktisch bedeutet das: Zulieferverträge benötigen Cybersicherheitsanforderungen und Audit-Rechte, und Sie brauchen technische Kontrollen – nicht nur vertragliche Regelungen –, die nachweisen, wie Zulieferer mit den von Ihnen geteilten Daten umgehen.
Das hängt von Jurisdiktion und Datentyp ab. EU-Hersteller, die als wichtige Einrichtungen nach NIS 2 eingestuft sind, unterliegen mit Produktionssystemdaten Cybersicherheits- und Meldepflichten. Das chinesische Datenschutzgesetz (Data Security Law) wendet „wichtige Daten“-Beschränkungen auf operative Aufzeichnungen bestimmter Branchen an, darunter Produktionsparameter und Lieferkettenaufzeichnungen. Unabhängig von regulatorischen Vorgaben enthalten Smart-Factory-Daten oft Prozessspezifikationen, die wettbewerbsrelevantes geistiges Eigentum darstellen – Hoheitskontrollen sind hier ein Wettbewerbsfaktor, nicht nur eine regulatorische Pflicht.
TISAX adressiert die Informationssicherheit für Daten der automobilen Lieferkette – Fahrzeugdesigns, Produktionsprozesse, Prototypeninformationen – und liegt damit größtenteils außerhalb des DSGVO-Geltungsbereichs (die DSGVO betrifft personenbezogene Daten; die meisten automobilen Produktionsdaten sind keine personenbezogenen Daten). Die TISAX-Zertifizierung verlangt den Nachweis von Kontrollen auf drei Schutzstufen je nach Sensibilität der Daten, wobei die höchste Stufe einen Schutz auf Verteidigungsniveau für geistiges Eigentum erfordert. OEMs verlangen zunehmend TISAX-Zertifizierung in der gesamten Tier-1- und Tier-2-Zulieferkette, wodurch TISAX zum Hoheitsstandard für die Automobilbranche wird. ISO 27001 bildet das Fundament für das Informationssicherheitsmanagement, das sowohl DSGVO- als auch TISAX-Anforderungen unterstützt.
Weitere Ressourcen
- Blog Post
Datenhoheit: Best Practice oder regulatorische Pflicht? - eBook Datenhoheit und DSGVO
- Blog Post Diese Fallstricke bei der Datenhoheit vermeiden
- Blog Post Data Sovereignty Best Practices
- Blog Post Datenhoheit und DSGVO [Verständnis von Datensicherheit]