Müssen wir unseren Kunden informieren, wenn es eine Datenpanne gab

In den meisten Fällen ja, wenn der Zwischenfall die Dienstleistung für diesen Kunden beeinträchtigt

In den meisten Fällen müssen Sie einen Zwischenfall Ihrem Kunden melden, aber nicht jeden Zwischenfall und nicht an jeden. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt "Behandlung von Zwischenfällen" als eine der zehn erforderlichen Maßnahmen, und die meisten Kundenfragebögen übersetzen dies wie folgt: Verfügen Sie über ein Verfahren, um Zwischenfälle zu melden, an wen, und innerhalb welcher Frist. Das unterscheidet sich von einer gesetzlichen Meldepflicht gegenüber einer Behörde — die Frage Ihres Kunden bezieht sich auf die vertragliche oder betriebliche Vereinbarung zwischen Ihnen und dem Kunden, nicht auf die Meldepflicht, die das Gesetz über Cybersicherheit demnächst bestimmten Stellen auferlegt.

Ein Datenleck, das nur Ihre eigenen internen Systeme betrifft und keinen Datensatz oder keine Dienstleistung dieses Kunden trifft, fällt oft nicht unter die Vereinbarung. Sobald der Zwischenfall jedoch Daten, Systeme oder Lieferungen betrifft, die für diesen Kunden relevant sind, ist eine Meldung angebracht — in den meisten Fällen innerhalb der im Vertrag oder in der Auftragsverarbeitungsvereinbarung festgelegten Frist, nicht innerhalb einer Frist, die wir hier angeben können. Überprüfen Sie daher zuerst, was in Ihrer eigenen Vereinbarung mit diesem Kunden vereinbart wurde, denn dies hat Vorrang vor einer allgemeinen Antwort in einem Fragebogen.

Was das Beweismittel ist und was Sie ohne Verfahren antworten

Das zugrunde liegende Beweismittel ist dem Verfahren zur Behandlung von Sicherheitsvorfällen: Darin ist verankert, wer intern entscheidet, ob etwas gemeldet werden muss, an wen, und innerhalb welcher Frist. Wenn Sie dieses Verfahren nicht dokumentiert haben, ist "nein" die sachlich korrekte Antwort — ein Ja ohne Dokument besteht einer Audit nicht stand. Kunden, die diese Frage stellen, stellen in demselben Fragebogen oft auch die Frage nach Strategie zur Risikoanalyse und zum Schutz von Informationssystemen, weil die Behandlung von Zwischenfällen in Artikel 21 Absatz 2 NIS2 und in Annex A der ISO/IEC 27001 als zusammenhängende Komponente der Sicherheitspolitik betrachtet wird, nicht als isolierter Prozess.