Müssen wir einen Sicherheitsvorfall von letztem Jahr unserem Kunden melden

Ein altes Incident gehört in den Fragebogen, nicht in einen separaten Meldekanal

Ja, ein Sicherheitsvorfall aus dem Vorjahr wird eingetragen, wenn die Frage nach Vorfällen oder deren Bearbeitung gestellt wird — auch wenn der Vorfall selbst bereits abgeschlossen ist. Die Frage in den meisten Kundenfragebogen befasst sich nicht mit einer aktuellen Bedrohung, sondern damit, ob ein Verfahren vorhanden ist und ob dieses funktioniert. Ein abgewickelter Vorfall aus dem Vorjahr ist dafür eher ein Beweis als ein Risiko: Er zeigt, dass dem Verfahren zur Behandlung von Sicherheitsvorfällen in der Praxis durchlaufen wurde, von der Meldung bis zur Schließung.

Dies unterscheidet sich daher von einer gesetzlichen Meldepflicht bei einer Aufsichtsbehörde — diese hat eigene Fristen und eigene Empfänger, und diese Fristen sind längst abgelaufen, wenn der Vorfall von vor einem Jahr vorliegt. Der Fragebogen Ihres Kunden ist keine Meldestelle; es ist eine Rechenschaftsfrage. Beantworten Sie ihn auf der Grundlage dessen, was derzeit festgestellt ist: Gibt es ein Verfahren, wurde es angewandt, wurden Verbesserungen aufgrund des Vorfalls eingeleitet? Fehlt letzteres, dann ist "nein" oder "teilweise" eine ebenso gültige Antwort wie "ja" — solange sie dem entspricht, was in Ihrer Lieferkettendatei dokumentiert ist.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt die Bearbeitung von Vorfällen als eine der zehn verbindlichen Maßnahmen, neben anderem Risikoanalyse und der Schutz von Informationssystemen und Kontinuitätspolitik. ISO/IEC 27001 konkretisiert dies in Annex A als Kontrollmaßnahmen, die eine Registrierung, Reaktion und Bewertung von Vorfällen erfordern — eine geschlossene Akte von vor einem Jahr passt hier perfekt als Beispielmaterial. Das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2, tritt am 15. August 2026 in Kraft und regelt die gesetzliche Meldepflicht gegenüber den Behörden; dies ist ein anderes Verfahren als die Rechenschaftslegung, die ein Kunde in seinem eigenen Fragebogen verlangt.