Kunde fragt, wie schnell wir ein Datenleck an sie melden würden

Drei Meldezeitpunkte innerhalb von 72 Stunden, nicht einer

Der Kunde fragt nach einer Meldungsfrist, aber Artikel 21 Absatz 2 der NIS2 kennt keine einzelne Frist — es handelt sich um eine Reihe von drei Zeitpunkten. Innerhalb von 24 Stunden nach der Feststellung eines erheblichen Vorfalls wird eine frühzeitige Warnung an die zuständige Behörde oder das CSIRT übermittelt. Innerhalb von 72 Stunden folgt eine detailliertere Meldung mit einer ersten Einschätzung des Schweregrads und der Auswirkungen. Und innerhalb eines Monats nach der Behebung folgt ein Abschlussbericht mit Ursache, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen. Wenn der Fragebogen einfach "innerhalb von wie vielen Stunden melden Sie einen Datenschutzverstoß" fragt, ist die Antwort also eigentlich dreiteilig, und du kannst sie auch so ausfüllen: nicht eine einzige Zahl, sondern die drei Schritte mit ihren jeweiligen Fristen.

Wichtiger Detail: Diese Fristen gelten für Einheiten, die selbst unter die Richtlinie fallen, und die Meldungspflicht liegt gegenüber der eigenen Aufsichtsbehörde — nicht automatisch gegenüber dem Kunden, der den Fragebogen versendet. Ob das Unternehmen selbst eine solche meldungspflichtige Einheit ist, hängt von Sektor und Größe ab; das ist beschrieben bei unterliegt das Unternehmen selbst der NIS2-Richtlinie oder deren nationale Umsetzung. Was der Kunde üblicherweise wissen möchte, ist, ob ein internes Verfahren existiert, das solche Fristen einhält — das ist ein anderer Aspekt als die gesetzliche Meldungspflicht gegenüber den Behörden, und wird separat behandelt bei gibt es ein Verfahren zur Behandlung von Sicherheitsvorfällen.

Wo dies in der Richtlinie steht: Artikel 21 Absatz 2 Buchstabe b

Die drei Meldezeitpunkte — 24 Stunden, 72 Stunden, ein Monat — ergeben sich unmittelbar aus Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555. Das niederländische Cybersicherheitsgesetz setzt diese Verpflichtung in nationales Recht um und tritt am 15. August 2026 in Kraft; bis zu diesem Datum ist die Richtlinie selbst die Fundstelle, danach der Wortlaut wie auf wetten.overheid.nl veröffentlicht.