Muss ich ein Datenleck an den Kunden melden, dessen Daten es betrifft

Vertraglich meist ja, gesetzlich nicht automatisch gegenüber dem Kunden

Meist ja, aber nicht, weil NIS2 das so vorschreibt. Artikel 21 Absatz 2 der Richtlinie verpflichtet, eine bedeutende Bedrohung oder einen Zwischenfall dem nationalen CSIRT oder der zuständigen Behörde zu melden — nicht direkt jedem Kunden. Die Meldepflicht gegenüber dem Kunden selbst ist meist in dem Vertrag oder der Auftragsverarbeitungsvereinbarung geregelt, und diese ist oft strenger und schneller als das, was NIS2 verlangt. Wer nur die Richtlinie beachtet und die eigenen Verträge nicht überprüft, verpasst also die Verpflichtung, die in der Praxis zuerst zählt.

Für den Kunden, der die Frage in einer Frageliste stellt, geht es meist nicht um die gesetzliche Meldepflicht, sondern um den Prozess: Haben Sie einen festen Weg, um einen Zwischenfall zu erkennen, zu bewerten und zu melden, und ist darin festgehalten, wann ein Kunde informiert wird? Das ist genau das, wofür supplia.eu steht, und die meisten Listen fragen nach der Existenz dieses Verfahrens, nicht nach einzelnen Fällen. Hat das Unternehmen dieses Verfahren nicht schriftlich, dann ist hier „nein das Verfahren für Sicherheitsvorfälle );

Wofür dieser Text steht: Artikel 21 Absatz 2 NIS2 und der eigene Vertrag

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die zehn Maßnahmen, die eine Einrichtung ergreifen muss, darunter unter i) ein Verfahren zur Behandlung von Vorfällen; die Meldepflicht an eine Behörde ist in Artikel 23 geregelt, nicht in Absatz 2 selbst, und richtet sich an das CSIRT oder die zuständige Behörde. Anlage A der ISO/IEC 27001 sieht eine ähnliche Kontrollmaßnahme für das Incident Management vor, einschließlich der Kommunikation mit Stakeholdern, aber auch dort ist der Kunde nicht automatisch der Standardempfänger — das wird pro Organisation festgelegt. Das Cybersicherheitsgesetz, die niederländische Umsetzung, das am 15. August 2026 in Kraft tritt, folgt der gleichen Struktur. Wer prüfen möchte, ob das eigene Unternehmen selbst unter diese Regeln fällt, überprüft das anhand der Frage, ob das Unternehmen eine NIS2-Einrichtung ist; die Mitteilung an den Kunden selbst bleibt in allen Fällen eine Frage des geltenden Vertrags.