Müssen wir unsere eigenen Kunden über einen NIS2-Vorfall informieren?
Manchmal. Nach Artikel 23 Absatz 1 unterrichten erfasste Einrichtungen gegebenenfalls die Empfänger ihrer Dienste unverzüglich über erhebliche Vorfälle, die die Erbringung dieser Dienste beeinträchtigen könnten. Nach Artikel 23 Absatz 2 teilen Einrichtungen, soweit zutreffend, den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern mit, welche Abhilfemaßnahmen sie ergreifen können, und gegebenenfalls auch die Bedrohung selbst. Behörden können solche Unterrichtungen auch anordnen. In Deutschland kann das BSI anordnen, die Empfänger zu unterrichten (§ 35 Abs. 1 BSIG), und Einrichtungen aus Sektoren wie Finanzwesen, digitale Infrastruktur und Verwaltung von IKT-Diensten müssen sie über erhebliche Cyberbedrohungen informieren (§ 35 Abs. 2). Verträge und die DSGVODSGVO: Datenschutz-Grundverordnung. Das EU-Datenschutzrecht (Verordnung (EU) 2016/679). können eigene Pflichten hinzufügen. Bereiten Sie eine Kundenmitteilung als Vorlage im Notfallplan vor.
Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.
Weiterlesen
Verwandte Fragen
- Müssen wir einen Ransomware-Angriff nach der DSGVO melden?
- Müssen wir melden, wenn die gestohlenen Daten verschlüsselt waren?
- Wir schaffen die DSGVO-Meldung nicht in 72 Stunden. Dürfen wir schrittweise oder später melden?
- Wann beginnt die 72-Stunden-Frist der DSGVO?
- Ein Vorfall, mehrere Meldungen: Wie passen NIS2, DSGVO und DORA zusammen?
Begriffe auf dieser Seite
- DSGVO (Datenschutz-Grundverordnung)
- Das EU-Datenschutzrecht (Verordnung (EU) 2016/679).