Modul 5 von 8 · Etwa 15 Minuten
Sicherheit, Datenpannen und Meldepflichten
Angemessene Sicherheit, die 72-Stunden-Regel und das Zusammenspiel der DSGVO mit NIS2, DORA und dem Cyber Resilience Act.
Sicherheit der Verarbeitung
Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung. Dazu gehören etwa Pseudonymisierung und Verschlüsselung; die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen; die Fähigkeit, den Zugang zu Daten nach einem Zwischenfall rasch wiederherzustellen; und regelmäßige Überprüfungen der Wirksamkeit der Maßnahmen.
Verletzungen des Schutzes personenbezogener Daten
Eine Datenschutzverletzung ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig. Der Verantwortliche meldet sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Personen (Artikel 33). Hat sie voraussichtlich ein hohes Risiko zur Folge, sind auch die Betroffenen unverzüglich zu benachrichtigen (Artikel 34). Auftragsverarbeiter melden dem Verantwortlichen unverzüglich. Jede Verletzung – gemeldet oder nicht – ist zu dokumentieren.
Parallele Meldepflichten
Ein Vorfall kann mehrere Fristen auslösen. Nach NIS2 senden wesentliche und wichtige Einrichtungen innerhalb von 24 Stunden eine Frühwarnung zu einem erheblichen Sicherheitsvorfall, innerhalb von 72 Stunden eine Meldung und innerhalb eines Monats einen Abschlussbericht. DORA sieht eigene Meldungen schwerwiegender IKT-bezogener Vorfälle für Finanzunternehmen vor, und der Cyber Resilience Act verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die zentrale Meldeplattform der ENISA zu melden, beginnend mit einer Frühwarnung binnen 24 Stunden. Der DSB sollte sicherstellen, dass der Incident-Plan jede geltende Frist und die Entscheidungsbefugnis abbildet.
Kernaussagen
- Sicherheit muss dem Risiko angemessen sein; eine einheitliche Checkliste gibt es nicht.
- 72 Stunden für die Meldung an die Behörde, außer bei voraussichtlich fehlendem Risiko.
- Betroffene benachrichtigen, wenn ein hohes Risiko für sie wahrscheinlich ist.
- Jede Panne dokumentieren und DSGVO-Meldungen mit den Fristen von NIS2, DORA und CRA abstimmen.
Selbstkontrolle
Ein Laptop mit stark verschlüsselten Daten geht verloren, der Schlüssel ist sicher. Muss die Behörde informiert werden?
Antwort anzeigen: Wahrscheinlich nicht, wenn die Verschlüsselung ein Risiko unwahrscheinlich macht – die Panne muss aber dokumentiert werden.
Wann beginnt die 72-Stunden-Frist?
Antwort anzeigen: Sobald dem Verantwortlichen die Verletzung bekannt wird.