Der Gesetzentwurf zur Cybersicherheit setzt der laschen Datenerfassung ein Ende.

(Dan Tri) - Der Gesetzentwurf zur Cybersicherheit 2025 markiert einen wichtigen juristischen Wendepunkt, da er zum ersten Mal „Datensicherheit“ als wesentlichen Bestandteil der nationalen Sicherheit definiert.

Diese Änderung schließt nicht nur rechtliche Lücken, sondern setzt auch strenge technische Hürden, verpflichtet die Leiter von Organisationen zum Besitz einer Cybersicherheitszertifizierung und beendet die Ära der „einfachen“ Datenerfassung durch Unternehmen.

Daten werden zur Frage des nationalen Überlebens

Auf dem Seminar „Cybersicherheitsgesetz 2025: Ein Schritt vorwärts beim Schutz der Datensicherheit“, das am Nachmittag des 24. November von der National Cybersecurity Association veranstaltet wurde, waren sich die Experten einig, dass der alte Rechtsrahmen seine ursprüngliche Aufgabe erfüllt habe, aber nicht umfassend genug sei, um mit dem aktuellen Tempo der digitalen Transformation Schritt zu halten.

Oberstleutnant Nguyen Dinh Do Thi, stellvertretende Leiterin der Abteilung für Cybersicherheit (Abteilung für Cybersicherheit und Prävention und Bekämpfung von Hightech-Kriminalität - Ministerium für öffentliche Sicherheit ), betonte den Wandel im staatlichen Managementdenken, wenn Daten als das "Blut" der digitalen Wirtschaft betrachtet und die wichtigsten staatlichen Maßnahmen zur Gewährleistung von Cybersicherheit und Datensicherheit identifiziert werden.

Erstens muss der Cybersicherheit in den Bereichen nationale Verteidigung, Sicherheit, Soziales und Wirtschaft , Wissenschaft und Technologie sowie Außenpolitik Priorität eingeräumt werden. Zweitens muss ein sicherer Cyberspace geschaffen werden, der die nationale Sicherheit und die öffentliche Ordnung nicht gefährdet.

Drittens sollten die Ressourcen auf den Aufbau spezialisierter Kräfte, die Entwicklung hochqualifizierter Fachkräfte und die Förderung von Forschung und Entwicklung im Bereich Cybersicherheitstechnologien konzentriert werden. Viertens sollten Organisationen und Einzelpersonen zur aktiven Beteiligung am Risikomanagement und zur Koordination mit den zuständigen Behörden ermutigt werden. Fünftens sollte der Einsatz von Produkten und Dienstleistungen der vietnamesischen Cybersicherheitsbranche priorisiert werden. Sechstens sollte die internationale Zusammenarbeit zum Schutz der Cybersicherheit gestärkt werden.

Oberstleutnant Nguyen Dinh Do Thi, stellvertretende Leiterin der Abteilung für Cybersicherheit, Abteilung für Cybersicherheit und Prävention von Hightech-Kriminalität (Foto: NCA).

Die Dringlichkeit von Datenschutzgesetzen ergibt sich aus der Tatsache, dass das Risiko von Sicherheitslücken zunehmend ernst wird.

Oberst Thi wies darauf hin, dass Vietnam allein im Jahr 2024 mehr als 600.000 Cyberangriffe verzeichnete, von denen Zehntausende auf Systeme staatlicher Behörden abzielten.

Darüber hinaus haben Ransomware-Angriffe viele vietnamesische Unternehmen gezwungen, Millionen von Dollar Lösegeld für ihre Daten zu zahlen – ähnlich wie in den USA, wo die Kosten bis zu 40 Millionen Dollar betrugen. Der Handel mit Daten findet offen statt; so wurde beispielsweise im Februar eine Gruppe zerschlagen, die illegal bis zu sechs Millionen Datensätze mit personenbezogenen Daten handelte.

Herr Vu Ngoc Son, Leiter der Abteilung für Forschung, Beratung, Technologieentwicklung und internationale Zusammenarbeit (Nationaler Verband für Cybersicherheit), teilt diese Ansicht und bewertet die Aufnahme des Konzepts der „Datensicherheit“ als großen Erfolg des Gesetzesentwurfs, da damit die Daten in den Mittelpunkt der Sicherheitsarbeit gestellt werden.

Herr Vu Ngoc Son, Leiter der Abteilung Forschung, Beratung, Technologieentwicklung und internationale Zusammenarbeit, Nationale Vereinigung für Cybersicherheit (Foto: NCA).

Laut Herrn Son wird die neue Verordnung ein strenges Prüfverfahren schaffen, das den Markt in zwei unterschiedliche Gruppen unterteilt: „echte“ Einheiten und „gefälschte“ Einheiten.

Bisher konnten Unternehmen Daten ungehindert sammeln und speichern, ohne in deren Sicherheit investieren zu müssen. Das Gesetz soll diese Situation jedoch beenden. Unternehmen, die keine Infrastruktur und Cybersicherheitslösungen gewährleisten, dürfen künftig keine Daten mehr sammeln und speichern.

Herr Son verglich Daten mit Geld: Die Menschen zahlen ihr Geld nur bei Banken ein, die die Sicherheitsstandards erfüllen, und genauso geben sie keine Daten an Organisationen weiter, die nicht in der Lage sind, die Sicherheit zu gewährleisten.

„Diese Veränderung wird die Entstehung eines neuen Wirtschaftszweigs begünstigen: der Datenindustrie, neben der Cybersicherheitsbranche. Unternehmen, die nicht über die nötigen Qualifikationen verfügen, um ihre Daten selbst zu schützen, werden gezwungen sein, Dienstleistungen in Anspruch zu nehmen, sich mit nationalen Datenbanken zu verbinden oder an seriösen Datenbörsen teilzunehmen, anstatt Daten selbst zu erheben.“

„Dies trägt zur Optimierung der sozialen Ressourcen bei, reduziert die Kosten dezentraler Investitionen und begrenzt das Risiko von Verlusten“, fügte Herr Son hinzu.

Gesichtserkennung allein reicht nicht aus, um Deepfakes zu bekämpfen.

Herr Tran Cong Quynh Lan - stellvertretender Generaldirektor der Vietnam Joint Stock Commercial Bank for Industry and Trade (Vietinbank) sagte, dass derzeit 99% der Transaktionen bei dieser Bank über digitale Kanäle abgewickelt werden.

Um den neuen Anforderungen gerecht zu werden, hat die VietinBank ein mehrschichtiges Sicherheitsmodell eingeführt, das die derzeit angewandte 4-stufige Authentifizierung nutzt:

Schicht 1 und 2: Benutzername/Passwort und OTP-Code.

Klasse 3: Biometrie (Gesicht).

Schicht 4: Authentifizierung über einen Bürgerausweis mit Chip mittels NFC-Technologie (Funkkommunikationstechnologie mit kurzer Reichweite).

Herr Lan betonte die Bedeutung der vierten Schutzebene im Kampf gegen Identitätsbetrug (Deepfake). Bei Geldtransfers über 1 Milliarde VND beispielsweise verlangt das System von den Nutzern, ihre mit einem Chip versehenen Personalausweise zur Verifizierung zu scannen, anstatt sich nur auf ihr Gesicht zu verlassen.

Herr Tran Cong Quynh Lan, stellvertretender Generaldirektor der VietinBank, äußerte sich im Rahmen der Diskussion (Foto: NCA).

Insbesondere wenn Kunden ihr Mobiltelefon wechseln – ein risikoreiches Verhalten –, wendet die Bank zusätzlich eine NFC-Authentifizierung an, um die Authentizität sicherzustellen.

Neben der technischen Lösung wies Herr Lan auf die wesentlichen operativen Herausforderungen hin, die das Gesetz mit sich bringt:

Datenklassifizierung: Banken müssen täglich Millionen von Transaktionen klassifizieren und kennzeichnen. Biometrische Daten, Finanzdaten und Verhaltensdaten benötigen unterschiedliche Schutzmechanismen und Zugriffsberechtigungen.

24-Stunden-Meldepflicht bei Vorfällen: Die Vorschrift, Cybersicherheitsvorfälle innerhalb von 24 Stunden zusammen mit einem Reaktionsplan zu melden, stellt eine enorme Belastung für den Reaktionsprozess dar.

„Niemandem vertrauen“ ist der sicherste Schutz.

Im Hinblick auf die Netzwerkinfrastruktur stellte Herr Le Cong Trung, Leiter der Abteilung Netzwerksicherheit (MobiFone), die Anwendung der Zero-Trust-Architektur vor – also das Prinzip, niemandem zu vertrauen –, um den neuen Standards für Netzwerksicherheit gerecht zu werden.

Dieses Steuerungsmodell basiert auf fünf Säulen: Identität, Gerät, Netzwerk, Anwendung und Daten. Jeder Zugriff muss kontinuierlich neu authentifiziert werden.

Ein weiterer wichtiger Punkt ist die Kontrolle der Lieferkettenrisiken.

„MobiFone fördert seine Strategie der technologischen Autonomie, indem es Netzwerksicherheitsgeräte wie Firewalls und „Make in Vietnam“-Identifizierungslösungen selbst herstellt, um die Abhängigkeit von Dritten zu vermeiden“, teilte Herr Trung mit.

Der Vertreter von MobiFone begrüßte außerdem sehr, dass sich das Cybersicherheitsgesetz eng an die TCVN 11423-Standards für Cybersicherheit anlehnt und Unternehmen so dabei hilft, konkrete quantitative Maßnahmen (15 Anforderungen für Systeme staatlicher Behörden, 18 Anforderungen für wichtige nationale Systeme) für die Implementierung technischer Lösungen zu ergreifen.

Herr Le Cong Trung, Leiter der Abteilung Cybersicherheit bei MobiFone (Foto: NCA).

Ein neuer Durchbruchpunkt im Cybersicherheitsgesetz 2025, den Herr Vu Ngoc Son besonders hervorhob, ist die Anforderung an die Führungskraft.

Anders als das alte Gesetz, das lediglich allgemeine Verantwortlichkeiten festlegte, verlangt der Gesetzentwurf, dass die Leitung der Organisation über Kenntnisse und Zertifizierungen im Bereich Cybersicherheitsmanagement verfügt. Herr Son erklärte, dies sei ein wichtiger Schritt zur Veränderung der Unternehmenskultur, denn ohne dieses Verständnis könne die Führungskraft keine effektiven Investitionsentscheidungen treffen.

„Internetnutzer müssen auch ihre Denkweise ändern: vom reinen Vergnügen hin zur Verantwortung. Persönliche Daten sorglos und unkontrolliert weiterzugeben, ist wie ungeschütztes Vermögen zu lassen und fördert indirekt kriminelle Aktivitäten“, fügte Herr Son hinzu.

Herr Son teilte internationale Erfahrungen und nannte Südkorea als Beispiel – das Land, das einst weltweit am häufigsten von Cyberangriffen betroffen war. Südkorea hat ein universelles Cybersicherheitszertifizierungssystem aufgebaut, das von der Grundschule bis zum Hochschulabschluss reicht.

„Dank dieser gründlichen Ausbildung verfügen die koreanische Bevölkerung und das Personal über sehr gute Verteidigungsfähigkeiten, wodurch ein solider ‚Schutzschild‘ für das Land entsteht, wenn alle Parteien über Wissen und Investitionen im Bereich Cybersicherheit verfügen“, sagte Herr Son.

Quelle: https://dantri.com.vn/cong-nghe/du-thao-luat-an-ninh-mang-cham-dut-tinh-trang-thu-thap-du-lieu-de-dai-20251124225636608.htm