Ein Vorfall, mehrere Meldungen: Wie passen NIS2, DSGVO und DORA zusammen?

Jedes Gesetz hat eigene Meldung, Empfänger und Frist, und ein Vorfall kann mehrere auslösen. Ein erheblicher Vorfall bei einer erfassten Einrichtung geht nach Artikel 23 NIS2NIS2: zweite EU-Richtlinie zur Netz- und Informationssicherheit. Das EU-Cybersicherheitsrecht (Richtlinie (EU) 2022/2555) mit Sicherheits- und Meldepflichten für viele Unternehmen. an das CSIRTCSIRT: Computer Security Incident Response Team. Das nationale Team, an das erhebliche Vorfälle gemeldet werden. oder die zuständige Behörde, in Deutschland an die gemeinsame Meldestelle von BSI und BBK; sind personenbezogene Daten betroffen, meldet der Verantwortliche zusätzlich nach Artikel 33 DSGVODSGVO: Datenschutz-Grundverordnung. Das EU-Datenschutzrecht (Verordnung (EU) 2016/679). an die Datenschutzaufsicht; ein Finanzunternehmen meldet schwerwiegende IKT-Vorfälle nach Artikel 19 DORA statt nach NIS2; und ein Hersteller kann Pflichten nach dem Cyber Resilience Act haben, siehe Verordnung (EU) 2024/2847, Artikel 14. Manche nationalen Systeme bieten ein gemeinsames Portal, doch gehen Sie nicht davon aus, dass eine Meldung alles abdeckt. Führen Sie einen Vorfalldatensatz und erzeugen Sie jede Meldung daraus, damit die Fakten übereinstimmen. Artikel 35 NIS2 verlangt zudem, dass NIS2-Behörden die Datenschutzaufsicht über ihnen bekannte Verletzungen informieren. NetSenX verfolgt die NIS2-Fristen und erstellt aus denselben Daten einen Entwurf nach Artikel 33 DSGVO.

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

← Alle 35 Fragen zu Meldefristen für VorfälleAlle Themen