Der Cybersecurity Audit nach der CCPA-Verordnung: wer, wann, wie unabhängig

Problem in der Praxis

Viele deutsche Unternehmen haben bereits ISO-27001-Zertifizierungen, SOC-2-Berichte oder interne Revisionsprüfungen. Daraus entsteht die Erwartung, der kalifornische Audit sei damit erledigt. Die Verordnung erlaubt die Mitnutzung, aber nur, wenn das vorhandene Audit alle Anforderungen erfüllt oder ergänzt wird: zum Beispiel die Bewertung der in der Verordnung genannten Programmkomponenten, Feststellungen, die vorrangig auf Nachweisen und nicht auf Erklärungen des Managements beruhen, und einen Bericht mit festgelegten Inhalten. Zudem stellen die Unabhängigkeitsregeln für interne Prüfer Anforderungen an die Organisation, die in vielen Unternehmen nicht erfüllt sind.

CISO-Einordnung

Pflicht (7120): Businesses, deren Verarbeitung ein erhebliches Sicherheitsrisiko für Verbraucher darstellt, nämlich (1) bei Erfüllung der 50-Prozent-Schwelle nach Cal. Civ. Code 1798.140(d)(1)(C) im Vorjahr, oder (2) bei Erfüllung der Umsatzschwelle nach 1798.140(d)(1)(A) und Verarbeitung im Vorjahr von Daten von 250.000 oder mehr Verbrauchern oder Haushalten oder von sensiblen Daten von 50.000 oder mehr Verbrauchern.

Fristen (7121): siehe oben; der jeweilige Prüfzeitraum ist das Kalenderjahr vor dem Berichtstermin (etwa 01.01.2027 bis 01.01.2028 für den Bericht bis 01.04.2028). Ab 2030 gilt: Wer am 01.01. eines Jahres die Kriterien für das Vorjahr erfüllt, prüft die folgenden zwölf Monate und legt den Bericht bis 01.04. des Folgejahres vor.

Prüfer (7122):

• qualifiziert (Kenntnis von Cybersicherheit und deren Prüfung), objektiv und unabhängig; intern oder extern; nach im Prüfungswesen anerkannten Verfahren und Standards, als Beispiele nennt die Verordnung solche von AICPA, PCAOB, ISACA oder ISO;
• keine Beteiligung an Tätigkeiten, die der Prüfer prüft, etwa Entwicklung von Verfahren, Erstellen von Unterlagen, Empfehlungen zum Programm außerhalb der Feststellungen oder Betrieb des Programms;
• bei internen Prüfern berichtet der höchstrangige Prüfer direkt an ein Mitglied der Geschäftsleitung ohne direkte Verantwortung für das Cybersicherheitsprogramm, und ein solches Mitglied (nicht notwendig dasselbe) führt seine Leistungsbeurteilung durch und legt seine Vergütung fest;
• die Business stellt alle angeforderten Informationen bereit und legt relevante Tatsachen in gutem Glauben offen;
• Feststellungen beruhen vorrangig auf Nachweisen (Dokumente, Stichproben und Tests, Interviews), nicht auf Erklärungen des Managements;
• der Bericht geht an das Geschäftsleitungsmitglied mit direkter Verantwortung für das Cybersicherheitsprogramm; Unterlagen werden fünf Jahre aufbewahrt.

Umfang (7123): Bewertet wird, wie das Cybersicherheitsprogramm personenbezogene Daten vor unbefugtem Zugriff, Zerstörung, Nutzung, Änderung oder Offenlegung und vor Verlust der Verfügbarkeit schützt, ob es der Größe, Komplexität und Verarbeitung angemessen ist (unter Berücksichtigung von Stand der Technik und Kosten), und wie die in der Verordnung genannten Komponenten umgesetzt sind, soweit anwendbar. Beispiele sind Authentifizierung einschließlich phishing-resistenter Multi-Faktor-Authentifizierung für Beschäftigte, Auftragnehmer, Service Provider und Contractors, Verschlüsselung ruhender und übertragener Daten sowie Konten- und Zugriffsverwaltung nach dem Prinzip der geringsten Rechte, auch für Service Provider, Contractors und Third Parties. Der Bericht beschreibt unter anderem das Informationssystem, Kriterien und Nachweise, Lücken und Schwächen mit Behebungsplan und Zeitrahmen, verantwortliche Personen und Prüfer und enthält eine unterschriebene Unabhängigkeitserklärung des leitenden Prüfers.

Mitnutzung (7123(f)): Ein für einen anderen Zweck erstelltes Audit darf genutzt werden, wenn es allein oder ergänzt alle Anforderungen erfüllt; als Beispiel nennt die Verordnung ein Audit, das NIST CSF 2.0 verwendet.

Bestätigung (7124): Für jedes Jahr mit Auditpflicht reicht die Business bis zum 01.04. des folgenden Jahres über die Website der CPPA eine schriftliche Bestätigung ein, abgegeben von einem Geschäftsleitungsmitglied mit direkter Verantwortung für die Audit-Compliance, ausreichender Kenntnis und Befugnis, mit einer Erklärung unter Strafandrohung wegen Meineids nach kalifornischem Recht, dass die Angaben richtig sind und die Business nicht versucht hat, den Prüfer zu beeinflussen.

Umsetzungsperspektive

• Pflicht und erstes Fälligkeitsjahr bestimmen: Schwellen 7120(b) und Umsatzklasse nach 7121(a) für das maßgebliche Jahr.
• Vorhandene Audits (ISO 27001, SOC 2, Revision) gegen die Anforderungen der Verordnung abgleichen und Lücken ergänzen, statt ein zweites Audit aufzusetzen.
• Unabhängigkeit organisieren: Berichtslinie und Vergütung interner Prüfer nach 7122(a)(3) gestalten oder externe Prüfer beauftragen.
• Nachweisführung so aufbauen, dass Feststellungen auf Dokumenten, Stichproben und Tests beruhen können.
• Unterzeichner der Bestätigung früh bestimmen und den Prozess zur jährlichen Einreichung bis 01.04. des jeweiligen Folgejahres festlegen.

Typische Fehler

1. Ein ISO-27001-Zertifikat wird ohne Abgleich als Erfüllung der Auditpflicht gewertet.
2. Der interne Prüfer berichtet an den CISO, der für das Programm verantwortlich ist.
3. Der Prüfer hat das Programm vorher mitgestaltet oder Unterlagen erstellt.
4. Die erste Fälligkeit wird falsch berechnet, weil die Umsatzklasse für das falsche Jahr bestimmt wird.
5. Die Bestätigung an die CPPA wird von einer Person ohne die geforderte Verantwortung und Kenntnis abgegeben.

Risiken und Trade-offs

Ein externer Prüfer erfüllt die Unabhängigkeitsanforderungen leichter, kostet aber mehr; ein interner Prüfer ist günstiger, verlangt aber eine passende Organisation. Die Mitnutzung vorhandener Audits spart Aufwand, setzt aber voraus, dass Umfang, Nachweistiefe und Berichtsinhalt den Anforderungen genügen. Die Erklärung unter Strafandrohung macht die Bestätigung zu einer persönlichen Angelegenheit des Unterzeichners.

Entscheidungspunkte

• Ist das Unternehmen auditpflichtig, und wann ist der erste Bericht fällig?
• Interner oder externer Prüfer, und wie wird Unabhängigkeit sichergestellt?
• Welche vorhandenen Audits lassen sich mitnutzen, und was fehlt?
• Wer unterzeichnet die jährliche Bestätigung an die CPPA?

Praktische Empfehlungen

1. Prüfen Sie die Auditpflicht nach 11 CCR 7120 und bestimmen Sie die erste Fälligkeit nach 7121.
2. Führen Sie einen Abgleich vorhandener Audits mit den Anforderungen aus 7122 und 7123 durch.
3. Gestalten Sie Berichtslinie und Vergütung interner Prüfer nach 7122(a)(3).
4. Bauen Sie Nachweise so auf, dass Feststellungen nicht auf Managementerklärungen beruhen müssen.
5. Bestimmen Sie den Unterzeichner der Bestätigung nach 7124(c) und planen Sie die Einreichung.

Relevante Normreferenzen

• 11 CCR 7120 bis 7124 (CCPA Regulations, Fassung ab 01.01.2026); Genehmigung durch das Office of Administrative Law (OAL Matter 2025-0808-04).
• Cal. Civ. Code 1798.140(d)(1)(A), (C), 1798.185.