Der EU Data Act gilt seit Januar 2024. Er stellt die Kontrolle über Datenflüsse und die Transparenz über Datenzugriffe in den Mittelpunkt. Verschlüsselung, Zugriffsrechte und Backups genügen laut dem Fachbeitrag nicht mehr. Unternehmen müssen nachweisen können, wo ihre Daten liegen, wer darauf zugreift und unter welchem Rechtsrahmen das geschieht. Den Rechtsrahmen bestimmt nicht allein der Speicherort, sondern auch der Sitz des Anbieters, seine Konzernstruktur und extraterritoriale Gesetze wie der US CLOUD Act. Der Beitrag nennt sechs Maßnahmen: 1. Daten klassifizieren und Datenflüsse sichtbar machen. 2. Workloads nach Schutzbedarf trennen: unkritische in der Public Cloud, sensible in privaten oder hybriden Umgebungen. 3. Verschlüsselung mit eigener Schlüsselhoheit einsetzen (Bring Your Own Key oder Hold Your Own Key). 4. Cloud-Exit und Anbieterwechsel technisch vorbereiten. 5. KI-Governance in die Cloud-Strategie aufnehmen, wenn KI-Systeme dort laufen. 6. Cloud-Anbieter und deren Unterauftragnehmer ins Risikomanagement einbeziehen, mit Audits, Sicherheitsnachweisen und klaren Regeln zu Vorfällen und Meldepflichten. Für Banken und Versicherer, die zusätzlich DORA und NIS2 erfüllen müssen, greifen diese Anforderungen ineinander. Beginnen Sie mit Maßnahme 1: Ohne Datenfluss-Übersicht lassen sich die übrigen fünf nicht belegen. Die Umsetzung ist erkennbar, wenn für jeden kritischen Prozess Datenort, Rechtsrahmen, Schlüsselverwalter und Exit-Szenario schriftlich benannt sind. Bei unseren Kunden hat sich bewährt, diese Angaben an einer Stelle zu führen. #Banken #Versicherer #Finanzdienstleister #Prüfungsplanung #Qvestcon #MarkusJunge #DORA #Cloud