Die Meldepflicht: 24 Stunden, 72 Stunden und ein Monat
Drei Zeitpunkte, und keiner davon ist die Meldepflicht innerhalb von 24 Stunden, auf die normalerweise Bezug genommen wird.
Drei Schritte, keiner davon
Bei einem erheblichen Vorfall melden Sie dreimal. Innerhalb von 24 Stunden eine Frühwarnung: Es ist etwas Ernstes passiert, möglicherweise böswillig, möglicherweise mit grenzüberschreitenden Folgen. Es muss dann noch nicht mehr enthalten sein, denn zu diesem Zeitpunkt wissen Sie selbst oft noch nicht, was los ist.
Innerhalb von 72 Stunden folgt die eigentliche Meldung: der Schweregrad, die Folgen und die Hinweise, die Sie darauf haben, wie es passiert ist. Und innerhalb eines Monats der Abschlussbericht: was es war, was die Ursache war, was Sie dagegen unternommen haben und welche grenzüberschreitenden Folgen es hatte.
Wann ist ein Vorfall erheblich?
Wenn er eine schwerwiegende Störung Ihres Dienstes verursacht oder finanzielle Verluste mit sich bringt, oder wenn er erheblichen Schaden bei anderen verursachen kann. Das ist bewusst weit formuliert. In der Praxis ist die Faustregel: Wenn Sie es intern eine Krise nennen, ist es erheblich.
Die Frist läuft ab dem Moment, in dem Sie sich des Vorfalls bewusst werden, nicht ab dem Moment, in dem er begann. Dieser Unterschied kann Tage ausmachen, und das ist der Grund, warum es wichtig ist, festzuhalten, wann Sie etwas bemerkt haben.
Bei wem Sie melden
Beim CSIRT oder der zuständigen Behörde Ihres Landes. Jedes Land hat sein eigenes Portal und sein eigenes Anmeldeverfahren.
Dieses Anmeldeverfahren ist genau der Grund, warum wir nie in Ihrem Namen melden. Wir halten den Text bereit, mit den Daten aus Ihrem Dossier ausgefüllt, und Sie reichen ihn selbst ein. Das ist keine Einschränkung, sondern eine bewusste Entscheidung: Ihr Zugang zu Ihrer Aufsichtsbehörde sollte nicht bei einem Dienstleister liegen.
Häufig gestellte Fragen
Was ist, wenn ich zu spät melde?
Zu spät melden ist selbst ein Verstoß. Im Zweifelsfall ist eine Frühwarnung, die sich nachträglich als überflüssig erweist, billiger als eine Meldung, die zu spät kommt: Der erste Schritt dauert zehn Minuten.
Muss ich auch meine Kunden informieren?
Wenn der Vorfall ihre Dienstleistung beeinträchtigt, kann die Aufsichtsbehörde Sie dazu verpflichten. Darüber hinaus gilt die DSGVO separat: Geht es um personenbezogene Daten, dann läuft auch eine Meldepflicht gegenüber der Datenschutzbehörde.
Gilt das auch, wenn ich über die Lieferkette betroffen bin?
Nein. Die Meldepflicht gilt nur für Organisationen, die selbst unter das Gesetz fallen. Ihr Vertrag mit einem pflichtigen Kunden kann jedoch eine eigene Meldevereinbarung enthalten.
Dies ist Erläuterung, keine Beratung zu Ihrer eigenen Situation. secria.eu bewertet Ihre Organisation nicht und gibt keine Assurance.