Die Frist nach Art. 33 DSGVO beginnt in dem Moment, in dem im Unternehmen jemand den Vorfall bemerkt – nicht wenn die Geschäftsführung davon erfährt. 72 Stunden, Wochenende inklusive. Wer dann erst überlegt, wen er anrufen soll, hat das Wichtigste schon verloren: Zeit.
Datenpannen sind selten spektakulär. Meistens sind sie banal.
Eine Lohnabrechnung geht an den falschen Empfänger im Verteiler. Meldepflichtig? Das hängt vom Risiko für die Betroffenen ab – und muss dokumentiert bewertet werden.
Ein Notebook wird gestohlen. War die Festplatte verschlüsselt, sieht die Bewertung völlig anders aus als bei einem offenen Gerät.
Ein Ransomware-Vorfall ist fast immer sowohl eine Datenschutzverletzung als auch – bei NIS-2-Betroffenheit – ein meldepflichtiger Sicherheitsvorfall. Zwei Fristen, zwei Adressaten.
Ein festgelegter Ablauf, der nicht erst im Vorfall erfunden werden muss.
Für Unternehmen in Viersen, Mönchengladbach und Krefeld bin ich im Vorfall auch persönlich vor Ort, wenn es sinnvoll ist – etwa wenn Beschäftigte befragt oder Systeme gemeinsam mit der IT gesichtet werden müssen.
Adressat der Meldung ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW in Düsseldorf. Bei NIS-2-Betroffenheit kommt das Bundesamt für Sicherheit in der Informationstechnik als zweiter Adressat hinzu, mit einer eigenen und kürzeren Frist.
Monatliche All-inclusive-Pauschale nach Unternehmensgröße. Transparent im kostenlosen Erstgespräch, ohne Kleingedrucktes.
Erfüllung der gesetzlichen Bestellungspflicht – für kleine Betriebe ohne NIS-2-Betroffenheit.
Alle datenschutzrelevanten Aufgaben vollständig in externer Hand.
All-inclusive für Unternehmen mit NIS-2-Betroffenheit oder erhöhtem Sicherheitsbedarf.
Alle Pakete als monatliche All-inclusive-Pauschale, Initialkosten separat und transparent ausgewiesen. Die konkrete Einordnung hängt von Mitarbeiterzahl, Branche und NIS-2-Betroffenheit ab – Sie erhalten im Erstgespräch eine schriftliche Kalkulation inklusive Entwurf des Bestellungsvertrages, Angaben zu Vertragslaufzeit und Kündigungsfristen.
Mit der Kenntniserlangung im Unternehmen – also in dem Moment, in dem ein Beschäftigter den Vorfall bemerkt, nicht erst wenn die Geschäftsführung informiert ist. Deshalb ist der interne Meldeweg so wichtig.
Nein. Nur wenn ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Die Bewertung muss aber in jedem Fall erfolgen und dokumentiert werden – auch wenn sie zu dem Ergebnis kommt, dass keine Meldung nötig ist.
Dann rufen Sie an. Auch eine verspätete Meldung ist besser als keine, und eine unvollständige Erstmeldung kann nach Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden. Zögern verschlechtert die Lage in jedem Fall.
Ja, und sie ist kürzer. NIS-2 verlangt eine Frühwarnung innerhalb von 24 Stunden an das BSI, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Bei betroffenen Unternehmen laufen beide Meldewege parallel.
Wenn die Antwort unsicher ausfällt, ist genau das der Punkt, an dem wir anfangen sollten.