Wie beantworte ich die Frage über unser Meldeverfahren bei einer Datenpanne

Das Meldeverfahren selbst, nicht der Datenschutzvorfall

Die Frage betrifft Ihren internen Prozess, nicht ob es bereits einen Vorfall gegeben hat. Der Kunde möchte wissen, ob ein festgelegtes Verfahren für die Bearbeitung von Sicherheitsvorfällen vorhanden ist: wer einen Verdacht meldet, an wen, innerhalb welcher Zeit eskaliert wird, und wer entscheidet, ob eine Aufsichtsbehörde oder die betroffenen Personen benachrichtigt werden. Dies ist das gleiche Verfahren wie das, nach dem gefragt wird unter das Verfahren für Sicherheitsvorfälle — ein Datenschutzvorfall ist in der Praxis ein spezifischer Vorfalltyp innerhalb dieses Prozesses, kein eigenständiges Dokument.

Wenn Sie über dieses Verfahren verfügen, kann "ja" durch das Dokument selbst untermauert werden: ein Schritt-für-Schritt-Plan, eine verantwortliche Funktion (oft Security Officer oder DPO) und eine Dokumentation früherer Meldungen als Nachweis, dass der Prozess auch funktioniert. Fehlt ein festgelegtes Verfahren, es gibt aber eine informelle Regelung ("rufen Sie den Eigentümer an"), reicht das normalerweise nicht für ein "ja" — das Dossier hat dann keine Grundlage, auf die es sich stützen kann, und das System schlägt in diesem Fall keinen Antwort vor. Einige Kunden fragen in derselben Liste auch, ob sie selbst einer Meldepflicht unterliegen; das ist eine andere Frage als das Verfahren selbst und kann nachvollzogen werden über den Status als NIS2-Entität.

Warum dies unter Artikel 21 Absatz 2 fällt

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt "Incident Handling" als eine der zehn obligatorischen Maßnahmen, und ein Meldeverfahren für Datenschutzvorfälle ist dessen Umsetzung in Bezug auf personenbezogene Daten. ISO/IEC 27001 Annex A führt dies weiter aus in den Kontrollmaßnahmen rund um das Incidentmanagement, was erklärt, warum Kunden mit einer ISO-Frage oft das gleiche Verfahren als Nachweisstück akzeptieren. Das Cybersicherheitsgesetz, die niederländische Umsetzung, tritt am 15. August 2026 in Kraft und legt diese Verpflichtung dann auch national fest für die darunter fallenden Entitäten.