Ein Vorfall, zwei Uhren: Meldepflichten nach BSIG und DSGVO
Ein Verschlüsselungsangriff auf den Fileserver ist zunächst ein Sicherheitsvorfall. Liegen dort Personaldaten oder Kundendaten, ist er fast immer auch eine Verletzung des Schutzes personenbezogener Daten. Damit laufen zwei Melderegime parallel – und beide haben eigene Uhren.
Nach § 32 BSIG melden NIS2-regulierte Einrichtungen erhebliche Sicherheitsvorfälle an das BSI: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht einen Monat später. Nach Artikel 33 DSGVO melden Verantwortliche eine Datenschutzverletzung binnen 72 Stunden an die zuständige Landesdatenschutzbehörde, sofern ein Risiko für die Betroffenen nicht unwahrscheinlich ist; bei hohem Risiko sind nach Artikel 34 zusätzlich die Betroffenen zu benachrichtigen. Die DSGVO-Pflicht gilt unabhängig von jeder NIS2-Betroffenheit – sie trifft auch das Zehn-Personen-Unternehmen.
Unterschiedliche Empfänger, unterschiedliche Fragen
Die beiden Meldungen ersetzen einander nicht, und sie fragen Verschiedenes. Das BSI interessiert sich für den Vorfall als solchen: Angriffsvektor, Auswirkungen auf den Dienst, Kompromittierungsindikatoren, grenzüberschreitende Effekte. Die Datenschutzbehörde fragt nach den betroffenen Personen: Kategorien und ungefähre Zahl, wahrscheinliche Folgen, ergriffene Abhilfemaßnahmen. Wer im Ernstfall aus einem gemeinsamen Sachverhalt zwei konsistente Meldungen erzeugen muss, braucht eine Dokumentation, die beide Perspektiven bedient – widersprüchliche Angaben gegenüber zwei Behörden sind ein vermeidbares Eigentor.
Praktisch bewährt sich eine gemeinsame Vorfallsakte: ein Ereignisprotokoll mit Zeitstempeln, aus dem sich die BSI-Stufen und die DSGVO-Meldung speisen, dazu klare Zuständigkeiten. Die Erheblichkeitsprüfung nach BSIG und die Risikoabwägung nach DSGVO sind getrennte Entscheidungen, die getrennt begründet werden sollten – am besten mit einer vorbereiteten Entscheidungshilfe statt einer nächtlichen Ad-hoc-Diskussion.
In SPECTOR unterstützt dabei das Vorfalls-Register mit Fristen-Countdown im Modul NIS2: Ereignisprotokoll, Zuständigkeiten und Fristen an einer Stelle, aus der sich beide Meldungen konsistent speisen. Wie sich das in Ihre bestehenden Datenschutz-Prozesse einfügt, klären wir gern im Beratungsgespräch.
