Vorfälle und Meldepflichten

Worum es geht

Wenn etwas passiert ist — Cyberangriff, Datenpanne, Systemausfall — ticken oft Uhren, von denen Sie wissen müssen. Konkret:

• DSGVO Art. 33 — bei Datenpannen 72 Stunden Meldefrist an die Aufsichtsbehörde.
• NIS2 Art. 23 — Frühwarnung binnen 24h, Vorfall-Meldung binnen 72h, Abschlussbericht binnen 1 Monat.
• Cyber-Versicherung — meist binnen 24h zu informieren, sonst kann der Schutz erlöschen.
• Mitarbeiter-Information — wenn personenbezogene Daten betroffen, müssen Betroffene benachrichtigt werden (Art. 34 DSGVO).

Erreichbar über die Sidebar „Ernstfall → Meldepflichten".

Vorfall melden

Knopf „Vorfall melden" oben rechts. Pflichtangaben:

• Kurzbezeichnung — z. B. „Ransomware-Vorfall Buchhaltung".
• Art des Vorfalls — Datenpanne, Cyberangriff, Systemausfall, sonstiges.
• Zeitpunkt der Kenntnisnahme — wichtig: nicht „wann passiert", sondern „wann gemerkt". Davon ausgehend ticken die Uhren.

Optional:

• Lagebeschreibung — was wir bisher wissen.

Was nach dem Speichern passiert

Das System errechnet aus dem Vorfalls-Typ automatisch die zutreffenden Pflichtmeldungen und legt für jede einen Eintrag mit Countdown an. Beispiel bei „Cyberangriff":

Pro Pflicht zeigt der Countdown live, wieviel Zeit noch bleibt.

Kommunale Meldewege (Verwaltungen)

Ist als Branche „Öffentliche Einrichtung" hinterlegt (Kommunen, Behörden, Schulen, Eigenbetriebe), legt das System bei passenden Vorfällen zusätzlich zwei kommunale Meldewege an:

• Meldung an Landes-CERT — die Computer-Notfallteams der Bundesländer (z. B. CERT NRW, BayernCERT) nehmen IT-Sicherheitsvorfälle aus Kommunen entgegen und unterstützen bei der Bewältigung. Eine einheitliche gesetzliche Frist gibt es nicht — empfohlen ist eine unverzügliche Meldung. Halten Sie die Kontaktdaten Ihres Landes-CERT griffbereit (z. B. bei den Notfallkontakten).
• Kommunal-/Rechtsaufsicht informieren — bei erheblichen Vorfällen sollte die zuständige Aufsicht zeitnah informiert werden, sobald ein belastbares Lagebild vorliegt. Kurz, sachlich, mit den bereits getroffenen Maßnahmen.

Beide Einträge erscheinen wie die übrigen Pflichten in der Liste und werden auf demselben Weg abgehakt und dokumentiert. Der Landes-CERT-Eintrag wird bei sicherheitsrelevanten Vorfällen (Cyberangriff, Datenpanne, Sonstiges) angelegt — bei einem reinen Systemausfall nur die Information der Aufsicht.

Eine Pflicht abhaken

Klick auf den Eintrag öffnet das Modal. Sie tragen ein:

• Wer hat gemeldet (Name).
• Wann (Datum/Zeit).
• Was wurde gemeldet (Notiz).
• Beleg (Mailadresse, Aktenzeichen, Referenz).

Speichern → die Pflicht ist erledigt, der Countdown stoppt, im Audit-Log nachvollziehbar.

Vorlagen und Anschreiben

Im Bereich „Kommunikations-Vorlagen" sind passende Texte vorgefertigt — DSGVO-Anschreiben, Versicherungs-Schadensanzeige, Mitarbeiter-Information. Sie kopieren sie mit zwei Klicks oder versenden direkt aus der App.

Zusammenhang mit Szenario-Lauf

Wenn Sie einen Szenario-Lauf als „echte Lage" starten, können Sie ihn mit einem Vorfall verknüpfen — alle Schritte und alle Pflichten landen unter demselben Vorgang. Das ist sauber für die spätere Auswertung.

Wer was sehen darf

Vorfälle sind für alle Team-Mitglieder lesbar. Anlegen und bearbeiten dürfen alle. Löschen darf nur Admin und Owner.

Praxis-Hinweis: Bei Datenpannen lieber früh und vorläufig melden als spät. Aufsichtsbehörden honorieren Transparenz; Verschleppung wird bestraft.