muss ich einen Hack oder Datenleck an meinen Auftraggeber melden

Die Benachrichtigung des Kunden erfolgt in den meisten Fällen vertraglich, nicht gesetzlich

Die Benachrichtigungspflicht bei einem Cybervorfall ist in den meisten Fällen im Vertrag mit Ihrem Kunden festgelegt, nicht unmittelbar im Gesetz. Artikel 21 Absatz 2 der NIS2-Richtlinie verpflichtet Organisationen, die selbst unter die Richtlinie fallen, zur Reaktion auf Zwischenfälle und zur Benachrichtigung ihrer eigenen Aufsichtsbehörde — das ist die Reihe von zehn Maßnahmen, die Sie in nahezu jeder Frageliste wiederfinden. Diese Benachrichtigungspflicht gegenüber einer Aufsichtsbehörde unterscheidet sich von einer Benachrichtigungspflicht gegenüber einem Kunden. Ob Sie einen Vorfall Ihrem Auftraggeber mitteilen müssen, hängt also davon ab, was in der Auftragsverarbeitungsvereinbarung oder im Liefervertrag festgelegt ist, und ob Ihr Kunde selbst unter die NIS2-Richtlinie fällt und daher auf Ihre Benachrichtigung angewiesen ist, um seine eigene Lieferkette in Ordnung zu halten.

In der Praxis fragt die Frageliste nicht „hatten Sie einen Vorfall die Frage nach einem Verfahren für Sicherheitsvorfälle , sondern ob ein Verfahren vorhanden ist, um Vorfälle zu erkennen, zu bewerten und zu melden — das ist genau das, worauf supplia.eu hinzielt. Haben Sie dieses Verfahren, dann können Sie diese Frage mit ja beantworten, ohne jemals angeben zu müssen, ob und wann Sie einen konkreten Vorfall hatten. Letzteres bleibt eine separate, vertragliche Frage, die von Kunde zu Kunde unterschiedlich sein kann.

Womit dies basiert: Cybersicherheitsgesetz und Annex A

Das Cybersicherheitsgesetz, die niederländische Umsetzung der NIS2, die am 15. August 2026 in Kraft tritt, legt die Meldepflicht gegenüber der Aufsichtsbehörde für unter das Gesetz fallende Einrichtungen fest — ob dies auf dein Unternehmen zutrifft, ist die Frage, die auch bei oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt. ISO/IEC 27001 Annex A arbeitet dies intern aus als Kontrollmaßnahme für Incident Management, unabhängig von einer Meldepflicht gegenüber einer externen Partei. Eine vertragliche Meldepflicht gegenüber einem Kunden steht somit neben, nicht anstelle dieser gesetzlichen und normativen Rahmen.