UK: Cybersecurity-Dienstleistungen anbieten – ist die Branche reguliert, wo muss man sich registrieren?

Juristisch ist der Computer Misuse Act von 1990 euer wichtigster Anhaltspunkt. Das unbefugte Eindringen in fremde Systeme ist auch zu Testzwecken eine Straftat. Holt euch daher vor jedem Test zwingend eine schriftliche Autorisierungsvereinbarung (Rules of Engagement) ein, in der Scope, Ziele, Testfenster und Grenzen ganz genau geregelt sind.

Wir haben vor zwei Jahren mit einer ähnlichen Struktur gegründet. Die Firmenregistrierung hat um die 50 Sterlin gekostet. Unsere Registrierungsgebühr beim Informationskommissariat lag auf KMU-Niveau bei ca. 40 Sterlin im Jahr. Für unsere Berufshaftpflicht- und Cyber-Risikoversicherung mit einer Deckungssumme von 2.000.000 Sterlin haben wir im ersten Jahr eine Jahresprämie von 850 Sterlin bezahlt. Innerhalb von zwei Wochen waren wir voll einsatzbereit.

Gemäß den Datenschutzgesetzen müssen Sie zwingend einen Auftragsverarbeitungsvertrag mit Ihren Kunden abschließen. Da beim Penetrationstest die Möglichkeit besteht, auf personenbezogene Daten Dritter zuzugreifen, dient es Ihrer rechtlichen Absicherung, Ihre Datensicherheitsprotokolle und Meldefristen für den Fall einer Datenpanne vorab schriftlich festzuhalten.

Geht für den Start am besten so vor: 1) Firma gründen. 2) Registrierung beim Informationskommissariat vornehmen und Gebühr bezahlen. 3) Über einen guten Versicherungsmakler eine Berufshaftpflicht abschließen. 4) Einen Dienstleistungsvertrag nach englischem Recht sowie ein Formular zur Testautorisierung aufsetzen lassen. Schon könnt ihr Angebote rausschicken.

Besteht Ihre Zielgruppe ausschließlich aus kleineren Unternehmen der Privatwirtschaft oder planen Sie auch, an öffentlichen Ausschreibungen teilzunehmen bzw. Angebote für Kommunalverwaltungen abzugeben? Im öffentlichen Sektor gelten nämlich ganz andere Regeln, und staatlich anerkannte Zertifizierungen zur Cybersicherheit werden dort praktisch zur Pflicht.

Man darf Lizenz und Akkreditierung nicht verwechseln. Der Staat sagt nicht: „Ohne Lizenz darfst du keine Tests machen.“ Aber die Marktteilnehmer und Auditoren können sagen: „Wenn du nicht akkreditiert bist, vertraue ich deinem Bericht nicht.“ Um das Budget in der Gründungsphase nicht direkt aufzubrauchen ist es am sinnvollsten, erst mit dem Service loszulegen und die freiwilligen Branchenakkreditierungen von den ersten Einnahmen zu bezahlen.

willkommen in London! naja der Markt ist extrem dynamisch aber die Vertrauenshürde ist hoch... britische KMUs achten selbst ohne strenge Regulierung sehr genua auf Ihre Versicherungsnachweise. solange Sie Ihre Police parat haben und Ihre Verträge wasserdicht sind, stehen Ihnen anfangs keinerlei behördliche Hürden im Weg und viel Erfolg!

Eine behördliche Lizenz ist keine Pflicht; es reicht völlig aus, die Datenschutzgebühr zu zahlen und eine solide Berufshaftpflicht abzuschließen.

Ich würde mich freuen, wenn du das Ergebnis postest.

Ich würde sagen lass uns nichts überstürzen... Die Zeit die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Aus Erfahrung weiß ich das.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Vielen Dank, das hat mir sehr geholfen.

ich möchte etwas fragen. wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keiine Benachrichtigung bedeutet spät erkannte Vorfälle.

korrigiert mich, falls ich falsch liege.

Notiert, danke. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn deine Situation anders ist, ändert sich das natürlich.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Fehler auf der Regulierung von Cybersicherheitsdiensten-Seite sind meist rückgängig zu machen, aber teuer.

Aus Erfahrung weiß ich das.

Kannst du das etwas genauer erklären? Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Fehler auf der Regulierung von Cybersicherheitsdiensten-Seite sind meist rückgängig zu machen, aber teuer. Viel Erfolg.

Ich probiere es aus. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf nicht nur das Beste. Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

Bei uns war es so. Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

Ich hoffe das hilft dir weiter.