Fragebogen fragt, wie wir eine Datenschutzverletzung an sie melden würden

Diese Frage befasst sich mit dem Meldeverfahren, nicht mit der Meldepflicht gegenüber einer Aufsichtsbehörde

Der Kunde fragt hier, wie Ihr Incidentmanagement-Prozess funktioniert, nicht, ob Sie bereits einen Datenschutzverstoß der Autoriteit Persoonsgegevens gemeldet haben. Die gefragte Antwort ist eine Beschreibung des Prozesses: wie Sie einen Sicherheitsvorfall erkennen, wer dann intern benachrichtigt wird, innerhalb welcher Zeit der Kunde selbst eine Meldung erhält, und über welchen Kanal. Das ist genau das, was unter das Verfahren für Sicherheitsvorfälle fallen sollte, wenn Sie dafür bereits ein Verfahren festgelegt haben.

Wenn Sie ein solches Verfahren festgelegt haben, ist die Antwort meist "ja": Sie haben ein Verfahren, einen Ansprechpartner und eine vereinbarte Frist für die Benachrichtigung von Kunden, deren Daten oder Systeme möglicherweise betroffen sind. Fehlt dieses Verfahren oder existiert es nur mündlich, dann ist "nein" oder "teilweise" die sachlich korrekte Antwort — eine Zusage, dass Sie es "künftig so machen", ist keine Antwort für heute. Achten Sie auch auf die Verbindung zu Lieferanten: Wenn der Vorfall bei einem Dritten entsteht, der für Sie tätig ist, betrifft das die Anforderungen, die Sie an Ihre eigenen Lieferanten stellen, und einige Fragelisten fragen da separat danach.

Warum dies unter Artikel 21 Absatz 2 fällt

Meldeverfahren für Vorfälle gehören zu den zehn Maßnahmen des Artikels 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555); Buchstabe b erwähnt die Bearbeitung von Vorfällen ausdrücklich. Im Cybersecurity Act, der niederländischen Umsetzung, die am 15. August 2026 in Kraft tritt, findet sich die gleiche Verpflichtung für Einrichtungen, die unter dieses Gesetz fallen. ISO/IEC 27001 verlangt in Annex A eine ähnliche Festlegung unter den Kontrollmaßnahmen für das Incident Management. Welche der drei für Sie gilt, hängt davon ab, ob Ihr Unternehmen selbst unter eine dieser Regelungen fällt — das ist eine andere Frage als diese.