Cybersicherheit und Datenschutz-Compliance in Indien: DPDP, CERT-In, RBI, SEBI und IRDAI erklärt

Warum Indien ein eigenes Compliance-Playbook erfordert

Indien hat keine einzelne Cybersicherheitsregulierung. Es gibt ein sektorübergreifendes Datenschutzgesetz über einer Reihe sektorspezifischer Cyberregeln, und Einkäufer müssen ermitteln, welche Kombination für sie gilt. Ein Fintech in Mumbai steht vor einem völlig anderen Stapel als eine Klinikgruppe oder ein börsennotierter Fertiger.

Zwei Dinge machen den indischen Stapel besonders. Erstens sind die Pflichten ungewöhnlich operativ: ein Meldefenster von sechs Stunden, Protokollhaltung im Land und präskriptive Auditerwartungen statt bloßer Prinzipien. Zweitens verstärken sich die Aufsichtsbehörden gegenseitig, sodass ein einziges zugelassenes Audit oder eine gut geführte Incident-Response-Fähigkeit mehrere Einreichungen zugleich bedienen kann.

Dieser Leitfaden geht die fünf Regime durch, nach denen uns Einkäufer am häufigsten fragen: was jedes ist, für wen es gilt und die wichtigsten Pflichten. Wenn ein bestimmtes Inkrafttretens- oder Fristdatum für Ihre Planung zählt, behandeln Sie die Daten hier als Ausgangspunkt und prüfen Sie sie an der Primärquelle oder der amtlichen Bekanntmachung, bevor Sie sich darauf verlassen, denn gestaffeltes Inkrafttreten und Änderungen sind in Indien häufig.

DPDP-Gesetz 2023: Indiens sektorübergreifendes Datenschutzgesetz

Der Digital Personal Data Protection Act 2023 ist Indiens erstes umfassendes Datenschutzgesetz. Er regelt die Verarbeitung digitaler personenbezogener Daten von Personen (Data Principals) in Indien und erfasst bestimmte Verarbeitungen aus dem Ausland, die das Anbieten von Waren oder Dienstleistungen an Personen in Indien betreffen. Er ist branchenneutral und überlagert daher die Finanz-, Gesundheits- oder sonstigen Regeln, die für Sie bereits gelten.

Das Gesetz baut auf Einwilligung und Rechenschaft. Jeder Data Fiduciary muss klar informieren, eine gültige Einwilligung einholen (oder sich auf bestimmte begrenzte berechtigte Nutzungen stützen), angemessene Sicherheitsmaßnahmen umsetzen, dem Data Protection Board und den betroffenen Personen jede Verletzung personenbezogener Daten melden und Betroffenenrechte wie Auskunft, Berichtigung und Löschung erfüllen. Von der Regierung als Significant Data Fiduciaries eingestufte Organisationen tragen zusätzliche Pflichten: Datenschutz-Folgenabschätzungen, regelmäßige Audits sowie die Bestellung eines Datenschutzbeauftragten und eines unabhängigen Datenprüfers.

Das Gesetz wurde 2023 verabschiedet, und die DPDP-Regeln, die es operationalisieren, treten gestaffelt in Kraft, wobei mehrere materielle Pflichten später greifen als die Grundbestimmungen. Die genauen Phasendaten haben sich im Rechtsetzungsprozess verschoben; prüfen Sie den aktuellen Zeitplan daher an der jüngsten amtlichen Bekanntmachung, statt von einem festen Start auszugehen. Bußgelder sind als Rupien-Obergrenzen je Fall festgelegt, wobei die höchste Stufe (bis 250 Crore INR) an fehlende angemessene Sicherheitsmaßnahmen geknüpft ist.

• Gilt für: jede Organisation, die digitale personenbezogene Daten von Personen in Indien verarbeitet, einschließlich qualifizierter Auslandsverarbeitung
• Kernpflichten: Information, gültige Einwilligung, Sicherheitsmaßnahmen, Meldung von Verletzungen, Betroffenenrechte, Zweckbindung und Aufbewahrung
• Significant Data Fiduciaries: zusätzlich Folgenabschätzungen, regelmäßiges Audit, Datenschutzbeauftragter und unabhängiger Datenprüfer
• Bußgelder: Rupien-Obergrenzen je Verstoß, bis 250 Crore INR bei unzureichenden Sicherheitsmaßnahmen (aktuellen Bußgeldkatalog im Gesetz prüfen)

CERT-In: 6-Stunden-Meldung und die Auditpolitik 2025

Das Indian Computer Emergency Response Team (CERT-In) ist die nationale Stelle für Cybervorfälle nach Abschnitt 70B des Information Technology Act. Seine Direktiven von 2022 zählen operativ zu den anspruchsvollsten Regeln weltweit: Bestimmte Cybervorfälle müssen binnen sechs Stunden nach Kenntnisnahme im vorgeschriebenen Format an CERT-In gemeldet werden.

Dieselben Direktiven ergänzen technische Pflichten, die Prüfer routinemäßig kontrollieren: IKT-Systemprotokolle für rollierende 180 Tage sicher innerhalb der indischen Jurisdiktion aufbewahren, alle Systemuhren mit NIC- oder NPL-NTP-Servern synchronisieren und korrekte Kontaktdaten der Organisation bei CERT-In registriert halten. Das Sechs-Stunden-Fenster ist keine Papierübung: Es setzt voraus, dass Sie Vorfälle schnell erkennen und ein abgestimmtes Melde-Playbook haben, was in der Praxis kontinuierliche Überwachung und einen vorab vereinbarten Eskalationsweg bedeutet.

CERT-In hat seine Auditerwartungen zudem von Checklistenprüfungen hin zu Resilienz verschoben, mit Leitlinien für umfassende IKT-Audits, die unabhängige Durchsicht, unterzeichnete Auditergebnisse und die Abdeckung von Cloud, KI, Blockchain und Drittparteirisiko betonen. Betrachten Sie das genaue Veröffentlichungs- und Wirksamkeitsdatum der aktuellen Auditpolitik als etwas, das an den veröffentlichten CERT-In-Leitlinien zu bestätigen ist. Wichtig: Die nachstehenden Finanzaufsichten erwarten in der Regel CERT-In-zugelassene Prüfer, sodass ein zugelassenes Audit mehrere aufsichtsrechtliche Einreichungen stützen kann.

• Gilt für: Dienstleister, Intermediäre, Rechenzentren, Kapitalgesellschaften und staatliche Stellen mit Tätigkeit in Indien
• Kernregel: bestimmte Vorfälle binnen 6 Stunden nach Kenntnisnahme melden
• Zusätzlich: 180 Tage Protokollhaltung in Indien, NIC-/NPL-NTP-Zeitsynchronisation, registrierte Kontaktdaten
• Audits: umfassende IKT-Audits mit unabhängiger Durchsicht (aktuelle Politikdaten bei CERT-In bestätigen)

RBI: IS-Audit und Cyberresilienz für den Finanzsektor

Die Reserve Bank of India setzt Cybersicherheits- und Resilienzerwartungen für die von ihr beaufsichtigten Einheiten: Banken, NBFCs, Zahlungssystembetreiber und verwandte Finanzakteure. Statt einer einzelnen Regel verteilen sich die Erwartungen der RBI auf Master Directions und Rundschreiben zu IT-Governance, Informationssicherheit und Cyberresilienz und werden durch die aufsichtliche Überprüfung verstärkt.

Eine zentrale, wiederkehrende Anforderung ist das Informationssystem-Audit (IS-Audit): eine strukturierte, regelmäßige Prüfung der IT-Kontrollen, des Änderungsmanagements, der Zugriffsverwaltung und der Sicherheitslage, üblicherweise durch qualifizierte, oft CERT-In-zugelassene Prüfer, mit Bericht an den Vorstand oder dessen IT-/Risikoausschuss. Regulierte Einheiten müssen zudem Vorfälle an die RBI melden, eine vom Vorstand verabschiedete Cybersicherheitsrichtlinie vorhalten und zunehmend operative und Cyberresilienz nachweisen statt punktueller Kontrollprüfungen.

Genaue Auditfrequenz, Anwendbarkeitsschwellen und Resilienzerwartungen unterscheiden sich nach Einheitentyp und wurden über aufeinanderfolgende RBI-Rundschreiben und Master Directions verschärft. Da sie häufig aktualisiert werden, prüfen Sie die aktuelle Master Direction und ihre Anwendbarkeit auf Ihre Lizenzkategorie an den Veröffentlichungen der RBI, bevor Sie den Umfang festlegen.

• Gilt für: von der RBI regulierte Einheiten, Banken, NBFCs, Zahlungssystembetreiber und ähnliche
• Kernerwartung: regelmäßiges IS-Audit mit Bericht an den Vorstand, plus vom Vorstand verabschiedete Sicherheitsrichtlinie
• Zusätzlich: Vorfallmeldung an die RBI und nachweisbare Cyberresilienz
• Frequenz und Schwellen variieren nach Einheitentyp, an der geltenden RBI-Master-Direction prüfen

SEBI CSCRF: Cybersicherheit und Cyberresilienz für Kapitalmarktteilnehmer

Das Securities and Exchange Board of India hat das Cybersecurity and Cyber Resilience Framework (CSCRF) eingeführt, um Cyberanforderungen für die von ihm regulierten Einheiten — Börsen, Verwahrstellen, Broker, Investmentfonds, Registerführer und weitere Intermediäre — in einem einzigen abgestuften Rahmenwerk zu bündeln. Es ersetzt einen Flickenteppich früherer Rundschreiben durch strukturierte Maßnahmen entlang der Ziele Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.

Das CSCRF ist bemerkenswert, weil es abgestuft ist: Einheiten werden nach Größe und Kritikalität kategorisiert, und die Tiefe der Pflichten — Audits, VAPT, SOC-Vorkehrungen und Meldungen — skaliert mit dieser Einstufung. Gemeinsame Elemente sind regelmäßige VAPT und Cyberaudits, Sicherheitsbetrieb und Überwachung, Vorfallmeldung an die SEBI und Governance auf Vorstandsebene.

Das CSCRF gilt gestaffelt über die Kategorien regulierter Einheiten mit unterschiedlichen Compliance-Daten je Kohorte, und die SEBI hat seit Veröffentlichung Klarstellungen und Fristverlängerungen erlassen. Welche Kategorie für Sie gilt und ab wann, sollte am aktuellen CSCRF-Rundschreiben der SEBI und späteren Änderungen geprüft und nicht angenommen werden.

• Gilt für: von der SEBI regulierte Einheiten, Börsen, Verwahrstellen, Broker, Investmentfonds, Registerführer, Intermediäre
• Struktur: ein abgestuftes Rahmenwerk, Pflichten skalieren mit der Einstufung der Einheit
• Kernpflichten: regelmäßige VAPT und Cyberaudits, Überwachung/SOC, Vorfallmeldung, Vorstands-Governance
• Gestaffelte Anwendbarkeit je Kohorte, Kategorie und Datum am aktuellen SEBI-Rundschreiben bestätigen

IRDAI: Informations- und Cybersicherheit für Versicherer

Die Insurance Regulatory and Development Authority of India setzt mit ihren Informations- und Cybersicherheitsrichtlinien Erwartungen für Versicherer, Rückversicherer und Versicherungsvermittler. Das Rahmenwerk verlangt eine Governance-Struktur, eine vom Vorstand verabschiedete Cybersicherheitsrichtlinie und einen benannten Chief Information Security Officer, der für das Programm verantwortlich ist.

Operativ wird von regulierten Versicherern erwartet, regelmäßige Informationssicherheitsaudits und VAPT durchzuführen, Vorfallerkennung und -meldung vorzuhalten, Dritt- und Auslagerungsrisiken zu steuern und Cybervorfälle im Einklang mit den Anforderungen der IRDAI und von CERT-In zu melden. Wie bei den anderen Finanzaufsichten wird üblicherweise erwartet, dass Audits von qualifizierten, CERT-In-zugelassenen Prüfern durchgeführt werden.

Die IRDAI-Richtlinien wurden im Lauf der Zeit überarbeitet, einschließlich Konsolidierung und Anpassung an breitere nationale Cybererwartungen. Prüfen Sie die aktuelle Fassung der IRDAI-Richtlinien zu Informations- und Cybersicherheit sowie die konkreten Pflichten für Ihren Einheitentyp an den veröffentlichten IRDAI-Richtlinien, bevor Sie sich auf eine bestimmte Anforderung oder ein Datum stützen.

• Gilt für: von der IRDAI regulierte Versicherer, Rückversicherer und Versicherungsvermittler
• Governance: vom Vorstand verabschiedete Cyberrichtlinie und benannter CISO
• Operativ: regelmäßiges IS-Audit und VAPT, Vorfallmeldung, Dritt-/Auslagerungsrisiko
• Richtlinien werden periodisch überarbeitet, aktuelle Fassung bei der IRDAI prüfen

Wie die Teile zusammenpassen

Für die meisten indischen Einkäufer ist der Stapel geschichtet, nicht alternativ. Das DPDP-Gesetz gilt horizontal für Ihre personenbezogenen Daten, unabhängig von der Branche. CERT-Ins Pflichten zu Vorfällen, Protokollierung und Zeitsynchronisation gelten praktisch für alle, die IKT-Systeme in Indien betreiben. Darüber ergänzt Ihre Sektoraufsicht — RBI, SEBI oder IRDAI — Audit-, Resilienz- und Meldepflichten, kalibriert auf Ihre Lizenz.

Die gute Nachricht: Die Maßnahmen überschneiden sich stark. Eine starke Incident-Response-Fähigkeit erfüllt CERT-Ins Sechs-Stunden-Regel und speist Ihre Meldungen an RBI, SEBI und IRDAI. Ein einziges umfassendes, CERT-In-konformes Audit kann mehrere Einreichungen bei Finanzaufsichten tragen. Einwilligungs-, Melde- und Auditmechanik einmal aufzubauen und dann über die Regime hinweg abzubilden, ist weit effizienter, als jede Regel als eigenes Projekt zu behandeln.

• Horizontal: DPDP-Gesetz für personenbezogene Daten; CERT-In für Vorfallmeldung, Protokollierung und Zeitsynchronisation
• Vertikal: sektorale RBI-, SEBI- oder IRDAI-Pflichten obenauf, je nach Lizenz
• Effizienz: einmal aufbauen, über Regime abbilden, Incident Response und Auditnachweise wiederverwenden
• Phasendaten und Anwendbarkeitsschwellen immer an der Primärquelle prüfen

Wie IntelligenceX unterstützt

IntelligenceX berät, bewertet und bereitet Organisationen auf Indiens Regulierungsstapel vor, wir stellen die Zertifikate nicht aus und unterzeichnen die Aufsichtsaudits nicht selbst, und wir sind noch nicht CERT-In-zugelassen. Wo ein zugelassener Prüfer oder eine akkreditierte Stelle erforderlich ist, bereiten wir Sie auf dieses Mandat vor und arbeiten daneben, damit die formale Freigabe reibungslos gelingt.

Unsere Compliance-Leistungen bilden die obigen Regime direkt ab. Die DPDP-Vorbereitung umfasst Gap-Analyse, Prüfung der Einwilligungsarchitektur, Folgenabschätzungen und die Vorbereitung des unabhängigen Audits, das von Significant Data Fiduciaries erwartet wird. Die CERT-In-Auditbegleitung erstellt Ihr Playbook für die Sechs-Stunden-Meldung, validiert die 180-tägige Protokollhaltung in Indien und die NTP-Konfiguration und bereitet Sie auf umfassende IKT-Audits vor. Die Begleitung des RBI-IS-Audits macht Ihre IT- und Sicherheitskontrollen bereit für das regelmäßige IS-Audit und das Vorstandsreporting. Die SEBI-CSCRF-Begleitung hilft Ihnen, Ihre Einheit in die richtige Kategorie einzuordnen und deren abgestufte VAPT-, Überwachungs- und Meldepflichten zu erfüllen. Die IRDAI-Auditbegleitung bereitet Versicherer auf ihr Informationssicherheitsaudit, VAPT und ihre Meldepflichten vor.

Über alle fünf hinweg ist das Muster gleich: Wir bewerten die Lücke, bauen Maßnahmen und Nachweise auf und begleiten Sie durch das formale Audit oder die Einreichung, wobei wir gemeinsame Maßnahmen abbilden, damit die Arbeit nur einmal anfällt. Sprechen Sie mit unserem Team, um die für Sie geltenden Regime zu bestimmen.