Meldepflichten bei Sicherheitsvorfällen

Überblick

Nach einem Sicherheitsvorfall können mehrere Meldepflichten gleichzeitig greifen, mit unterschiedlichen Empfängern, Fristen und Inhalten. Die wichtigsten für kleine und mittlere Betriebe:

Meldepflicht Sicherheitsvorfall nach DSGVO

Meldung an die Aufsichtsbehörde

Art. 33 DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten eine Meldung an die zuständige Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Erfolgt sie später als 72 Stunden, ist die Verzögerung zu begründen. Informationen dürfen schrittweise nachgereicht werden.

Typische Fälle: verschlüsselte Kundendaten durch Ransomware, ein kompromittiertes Postfach mit Kundenkorrespondenz, ein verlorener unverschlüsselter Laptop, eine falsch adressierte E-Mail mit sensiblen Daten.

Inhalt der Meldung

Art. 33 Abs. 3 DSGVO nennt die Mindestangaben: die Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten der Datenschutzbeauftragten oder einer anderen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Die meisten Aufsichtsbehörden stellen dafür Online-Formulare bereit.

Benachrichtigung der Betroffenen

Hat die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, sind diese nach Art. 34 DSGVO unverzüglich zu benachrichtigen, in klarer und einfacher Sprache.

Dokumentation und Auftragsverarbeiter

Unabhängig von einer Meldung sind alle Datenschutzverletzungen intern zu dokumentieren, mit Fakten, Auswirkungen und ergriffenen Maßnahmen (Art. 33 Abs. 5 DSGVO). Auftragsverarbeiter, etwa IT-Dienstleister oder Cloud-Anbieter, müssen dem Verantwortlichen eine Verletzung unverzüglich melden. Die Meldung an die Behörde bleibt Aufgabe des Verantwortlichen.

Meldepflichten nach dem BSI-Gesetz (NIS-2)

Mit der Umsetzung der NIS-2-Richtlinie regelt § 32 BSIG die Meldepflichten für besonders wichtige und wichtige Einrichtungen. Gemeldet werden erhebliche Sicherheitsvorfälle an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, in Stufen:

1. Frühe Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis, mit der Angabe, ob ein rechtswidriger oder böswilliger Angriff vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind.
2. Meldung: spätestens 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
3. Zwischenmeldung: auf Ersuchen des BSI.
4. Abschlussmeldung: spätestens einen Monat nach der Meldung, mit Beschreibung, wahrscheinlicher Ursache und Abhilfemaßnahmen. Dauert der Vorfall an, zunächst eine Fortschrittsmeldung.

Als erheblich gilt ein Vorfall nach § 2 BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Betreiber kritischer Anlagen müssen zusätzliche Angaben machen. Ob Ihr Betrieb betroffen ist, hängt von Sektor und Größe ab. Details zum Meldeweg veröffentlicht das BSI, prüfen Sie den aktuellen Stand dort. Für Finanzunternehmen gelten mit DORA eigene Regeln.

Vertragliche Pflichten

Versicherung

Nach § 30 VVG ist der Versicherungsfall unverzüglich anzuzeigen, sobald man davon Kenntnis hat. Cyber-Policen enthalten oft zusätzliche Obliegenheiten, etwa die Nutzung einer Notfall-Hotline. Lesen Sie diese vorher, nicht im Ernstfall.

Kunden und Partner

Auftragsverarbeitungsverträge, Lieferverträge oder Branchenvorgaben können eigene Informationspflichten und Fristen enthalten. Wenn Sie selbst Daten im Auftrag verarbeiten, müssen Sie Ihre Auftraggeber informieren.

Freiwillige Meldungen

Alle Unternehmen können IT-Sicherheitsvorfälle freiwillig über das Meldeportal des BSI melden. Eine Strafanzeige ist keine Pflicht, wird aber dringend empfohlen. Zuständig sind die Zentralen Ansprechstellen Cybercrime der Polizeien.

Vorbereitung im Betrieb

• Festlegen, wer über Meldungen entscheidet, und eine Vertretung.
• Zuständige Datenschutz-Aufsichtsbehörde und deren Meldeformular im Notfallplan vermerken.
• Klären, ob der Betrieb unter NIS-2 fällt, und gegebenenfalls Registrierung und Meldeweg vorbereiten.
• Verträge mit Informationspflichten auflisten, einschließlich der Versicherung.
• Eine Vorlage für die Erstmeldung bereithalten: Was ist passiert, seit wann bekannt, welche Daten und Systeme, welche Maßnahmen, wer ist Ansprechperson.

Typische Fehler

• Warten auf volle Klarheit: Die Fristen laufen ab Kenntnis. Eine erste, ehrlich unvollständige Meldung ist besser als eine verspätete vollständige.
• Nur an eine Stelle denken: Wer an die Datenschutzaufsicht meldet, hat damit weder die Versicherung noch Auftraggeber noch, falls betroffen, das BSI informiert.
• Keine Dokumentation: Auch wenn Sie entscheiden, nicht zu melden, weil kein Risiko besteht, müssen Sie den Vorfall und die Begründung dokumentieren.
• Uneinheitliche Aussagen: Meldungen, Kundeninformationen und Presseauskünfte sollten inhaltlich übereinstimmen. Stimmen Sie sie im Krisenstab ab.