muss ich einen Sicherheitsvorfall von letztem Jahr in der Fragensammlung melden

Ein alter Vorfall gehört normalerweise tatsächlich in die Antwort

Ja, in den meisten Fällen meldest du einen Vorfall von letztem Jahr auch jetzt noch, wenn die Frage in der Liste nicht ausdrücklich auf einen bestimmten Zeitraum beschränkt ist. Fragebögen fragen normalerweise nach der Situation im Allgemeinen: Hat sich ein Vorfall ereignet, und wie wurde dieser behandelt. Ein kleiner Vorfall von letztem Jahr fällt darunter, auch wenn dieser inzwischen behoben wurde und keine Auswirkungen mehr hat. Steht in der Frage jedoch ein Zeitraum — "in den letzten zwölf Monaten" oder "in diesem Kalenderjahr" — dann ist dieser maßgebend, und dann berücksichtigst du nur das, was in diesen Zeitraum fällt.

Wichtiger als der Vorfall selbst ist oft, wie du darauf reagiert hast. Ein Kunde, der nach Vorfällen fragt, möchte eigentlich wissen, ob ein Prozess dahintersteckt: Wurde dieser erkannt, wurde dieser behoben, wurden Lehren gezogen. Das schließt an ein Verfahren zur Behandlung von Sicherheitsvorfällenan. Verfügst du über ein solches Verfahren und wurde dieses befolgt, dann ist ein kleiner Vorfall von letztem Jahr kein Problem, um ihn zu melden — er zeigt vielmehr, dass der Prozess funktioniert. Falls du zweifelst, ob Details zu vertraulich sind, um sie zu teilen, nutze stattdessen die Vertraulichkeitsschaltfläche bei der Antwort, anstatt die Antwort selbst anzupassen.

Warum dies von der Meldepflicht im Cybersicherheitsgesetz getrennt ist

Diese Frage in einem Fragebogen unterscheidet sich von der gesetzlichen Meldepflicht gegenüber einer Aufsichtsbehörde. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt den Umgang mit Vorfällen als eine der zehn erforderlichen Maßnahmen für Einrichtungen, die unter die Richtlinie fallen; das Cybersicherheitsgesetz setzt dies als deutsche Umsetzung um, mit einer Meldepflicht gegenüber der zuständigen Behörde. Ob diese Meldepflicht auf das Unternehmen anwendbar ist, hängt davon ab, ob es selbst unter die Richtlinie fällt — das kann überprüft werden bei die Frage, ob das Unternehmen unter die NIS2-Richtlinie fällt. Die Frage in einem Kundenfragebogen steht davon unabhängig: Sie fragt nicht nach einer gesetzlichen Meldung, sondern nach Transparenz gegenüber dem Kunden darüber, wie ausgereift der Vorfallprozess ist.