Was sich geändert hat
- Nach Cybersicherheitsprüfungen im Jahr 2025 verhängte die CNIL zehn Finanzsanktionen in Höhe von € 3’000 bis € 20’000 gegen französische Gebietskörperschaften.
- Die Prüfungen ergaben Verstösse gegen Artikel 32 der DSGVO, darunter fehlende Multi-Faktor-Authentifizierung, unsegmentierte Netzwerke, veraltete Serversysteme und das Versäumnis, RGS-Sicherheitsakkreditierungen durchzuführen.
- Mehrere Einrichtungen wurden gemäss Artikel 35 DSGVO und französischem Recht sanktioniert, weil sie vor Hochrisiko-Verarbeitungen wie Schulportalen und öffentlicher Videoüberwachung keine Datenschutz-Folgenabschätzungen durchgeführt hatten.
Die französische Datenschutzbehörde (CNIL) gab im November 2026 bekannt, dass sie zehn vereinfachte Sanktionen gegen französische Gebietskörperschaften (collectivités territoriales) und eine öffentliche Einrichtung wegen Nichteinhaltung des Datenschutzes verhängt hat. Die Durchsetzungsentscheidungen folgen auf eine Kontrollkampagne, die von der CNIL im Jahr 2025 im öffentlichen Sektor gestartet wurde und Gemeinden, Departemente, Regionen sowie deren Drittdienstleister umfasste.
Die verhängten Geldbussen lagen zwischen € 3’000 und € 20’000, was dem gesetzlichen Höchstbetrag im vereinfachten Sanktionsverfahren der CNIL entspricht. Die Höhe der Geldbussen wurde auf der Grundlage der Anzahl und Schwere der Verstösse, der verarbeiteten Datenkategorien (wie Daten von Minderjährigen und Bankdaten), des Budgets der jeweiligen Einrichtung, der Anzahl betroffener Personen und der Bemühungen zur Wiederherstellung der Konformität bemessen.
Die CNIL stellte mehrere Sicherheitsverstösse gemäss Artikel 32 der Datenschutz-Grundverordnung (DSGVO) fest. Zu den wichtigsten Feststellungen bezüglich Nichteinhaltung gehörten:
- Unzureichende Kontrollen bei der Fernauthentifizierung, insbesondere das Fehlen einer Multi-Faktor-Authentifizierung (MFA) für administrative Konten;
- Dauerhafter oder gemeinsam genutzter Netzwerkzugriff für externe Softwareanbieter ohne Einzelfallgenehmigung;
- Unwirksame Erkennung von Anomalien aufgrund unvollständiger Protokollierung oder fehlender kurzfristiger Auswertung von Protokolldateien;
- Unzureichende Netzwerksegmentierung, veraltete Server-Betriebssysteme ohne Sicherheitsupdates sowie schwache oder unverschlüsselte Übertragung und Speicherung von Passwörtern;
- Versäumnis, die nach dem Allgemeinen Sicherheitsrahmen Frankreichs (Référentiel général de sécurité, RGS) vorgeschriebene Sicherheitsakkreditierung (homologation de sécurité) vor dem Start von Online-Verwaltungsdiensten durchzuführen.
Darüber hinaus wurden Einrichtungen gemäss Artikel 35 DSGVO und Artikel 90 des französischen Datenschutzgesetzes (loi Informatique et Libertés) sanktioniert, weil sie vor der Aufnahme von Verarbeitungstätigkeiten mit hohem Risiko keine Datenschutz-Folgenabschätzungen (DSFA) durchgeführt hatten. Zu den nicht geprüften Systemen gehörten Online-Portale für Schul- und ausserschulische Aktivitäten, die Daten von Minderjährigen und Finanzdaten betrafen, sowie öffentliche Videoüberwachungssysteme im Strassenraum.
Die CNIL gab an, dass die Hälfte ihrer Kontroll- und Durchsetzungsressourcen im Jahr 2026 der Datensicherheit gewidmet ist. Weitere Regulierungsmassnahmen dauern an. Die CNIL wies darauf hin, dass lokale öffentliche Einrichtungen ihre Sicherheitsausrichtung auch an den kommenden Anforderungen der EU-NIS2-Richtlinie ausrichten müssen, die sich derzeit in der Umsetzungsphase befindet.
Wer betroffen sein kann
Französische Gebietskörperschaften (Gemeinden, Departemente, Regionen), öffentliche Einrichtungen sowie IT-Dienstleister oder Softwareanbieter, die französische öffentliche Einrichtungen beliefern.
Grenzüberschreitender Kontext
Relevant in der gesamten EU, der Schweiz und internationalen Märkten für Technologieanbieter, die Behörden beliefern, und ein Beispiel für die strikte Durchsetzung technischer Sicherheitskontrollen gemäss DSGVO sowie die Bereitschaft für die EU-NIS2-Richtlinie.
Was als Nächstes zu prüfen ist
- CNIL-Leitfaden zu Cybersicherheitskontrollen für Gebietskörperschaften und öffentliche Stellen
- Umsetzungsstand und Anforderungen der EU-NIS2-Richtlinie in Frankreich
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.