Der schlechteste Moment, um zum ersten Mal über Meldefristen nachzudenken, ist mitten in einem laufenden Vorfall. Wer erst dann googelt, "muss ich das melden", verliert wertvolle Stunden von einer Frist, die ohnehin knapp bemessen ist. Dieser Artikel ist als Referenz gedacht, die Sie sich jetzt merken – nicht erst, wenn es brennt.
Zwei parallele Uhren, die zu unterscheiden sind
Es gibt zwei getrennte Meldepflichten, die leicht verwechselt werden. Erstens die NIS2/BSIG-Meldung ans BSI bei "erheblichen Sicherheitsvorfällen": eine Frühwarnung innerhalb von 24 Stunden, eine detailliertere Meldung innerhalb von 72 Stunden, ein Abschlussbericht spätestens einen Monat später. Zweitens die DSGVO-Meldung an die zuständige Datenschutzaufsichtsbehörde bei einer Verletzung des Schutzes personenbezogener Daten: grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden, unabhängig davon, ob NIS2 überhaupt greift. Ein Vorfall kann beide, eine von beiden oder keine der beiden Pflichten auslösen – die Einschätzung hängt vom Einzelfall ab.
Die ersten zwei Stunden: Fakten sichern, nicht in Panik verfallen
Bevor überhaupt eine Meldung ansteht, zählt vor allem eines: den Vorfall eindämmen (betroffene Systeme isolieren, aber nicht vorschnell löschen, was später als Beweis wichtig sein könnte) und dokumentieren, was Sie wann bemerkt haben. Diese Dokumentation ist später sowohl für die Meldung als auch für eine eigene Nachbetrachtung entscheidend – wer im Nachhinein rekonstruieren muss, "wann genau haben wir das gemerkt", verliert Zeit und Glaubwürdigkeit gegenüber der Behörde.
Wer intern was tun sollte
In einem kleinen Unternehmen gibt es selten ein eigenes Incident-Response-Team. Sinnvoll ist trotzdem, vorab festzulegen: Wer entscheidet, ob ein Vorfall "erheblich" genug für eine Meldung ist? Wer kontaktiert im Ernstfall externe IT-Unterstützung? Wer informiert betroffene Kunden oder Mitarbeitende, falls nötig? Diese drei Fragen lassen sich in einer halben Stunde vorab klären – und sparen im Ernstfall genau die Zeit, die für die Frist zählt.
Was danach kommt: aus dem Vorfall lernen
Nach der Meldung ist vor der nächsten Prüfung: Ein dokumentierter Vorfall gehört ins Risikoregister zurückgespielt – hat sich die Einschätzung eines bestehenden Risikos durch den Vorfall verändert? Braucht es eine neue Maßnahme? Ein gut geführtes Vorfalls-Log zeigt außerdem im nächsten Audit oder bei einer Anfrage der Aufsichtsbehörde, dass Sie nicht nur reaktiv, sondern aus Vorfällen lernend gehandelt haben – ein Unterschied, der bei der Bußgeldbemessung tatsächlich eine Rolle spielt.
Vorfälle strukturiert dokumentieren statt im E-Mail-Postfach verlieren
Ein Vorfalls-Log mit Fristen-Tracking hilft, im Ernstfall keine Zeit zu verlieren.