hvornår skal jeg anmelde en cyberanfald til tilsynsmyndigheden

));Anmeldung folgt einer Zeitachse mit mehreren Momenten

Ein anmeldungspflichtiger Vorfall wird nicht auf einmal gemeldet, sondern in Schritten: zuerst eine Frühwarnung, dann eine ausführlichere Mitteilung und später ein Abschlussbericht. Das entspricht der Natur eines Vorfalls — unmittelbar nach der Entdeckung ist oft noch unklar, was genau passiert ist, während die Aufsichtsbehörde schnell informiert werden möchte, dass etwas vorliegt. Die genauen Zeitpunkte und der Inhalt, der zu jedem Zeitpunkt erwartet wird, sind auf der Website des NCSC und im Cybersicherheitsgesetz beschrieben; diese Quellen geben auch an, wann ein Vorfall "erheblich" genug ist, um unter die Meldepflicht zu fallen.

Für diejenigen, die sich fragen, ob dies sie betrifft: Die Meldepflicht gilt für wesentliche und wichtige Einrichtungen, und das ist eine andere Frage als hvordan ved jeg, om min virksomhed falder ind under NIS2. Bei welcher Stelle eine Meldung ankommt, unterscheidet sich je nach Sektor — das ergibt sich aus hvilken tilsynsmyndighed fører tilsyn med min sektor under NIS2. Wer über einen Auftraggeber erfährt, dass eine Meldepflicht besteht, aber selbst nicht verpflichtet ist, erhält diese Frage normalerweise nicht direkt von einer Aufsichtsbehörde, sondern indirekt zurück in einem Sicherheitsfragebogen dieses Auftraggebers.

Woher dies folgt: Artikel 21 und das nationale Gesetz

Die Meldepflicht hängt mit der Sorgfaltspflicht aus Artikel 21 Absatz 2 der NIS2-Richtlinie zusammen: wer verpflichtet ist, Risiken zu beherrschen, ist auch verpflichtet, Vorfälle, die dies durchbrechen, zu melden. Die Richtlinie selbst beschreibt das Prinzip; die genauen Zeitpunkte, Fristen und das Format der Meldung sind im Cybersicherheitsgesetz und in den Informationen des NCSC ausgearbeitet, die den Gesetzeswortlaut in einen praktischen Prozess übersetzen. Für den Inhalt einer Meldung ist es hilfreich zu wissen, welche Maßnahmen zum Zeitpunkt des Vorfalls bereits ergriffen worden waren — eine Übersicht davon gehört zu hvilke ti foranstaltninger skal jeg træffe ifølge NIS2.