Meldepflicht bei Sicherheitsvorfällen
reporting obligation für die gestufte Meldung erheblicher Sicherheitsvorfälle; sie verlangt drei Schritte statt einer Meldung. Die erste Stufe ist binnen vierundzwanzig Stunden ab Kenntniserlangung zu erfüllen. Im Zweifel entscheidet, wann die Einrichtung Kenntnis erlangt hat.
Die Kaskade ist der praktische Kern: eine Frühwarnung binnen vierundzwanzig Stunden, eine Meldung mit erster Bewertung binnen zweiundsiebzig Stunden und ein Abschlussbericht binnen eines Monats nach dieser Meldung. Alle Fristen laufen ab der Kenntniserlangung. Die erste Stufe verlangt keine fertige Analyse; wer auf gesicherte Erkenntnisse wartet, versäumt die Frist. Dauert der Vorfall noch an, tritt ein Fortschrittsbericht an die Stelle des Abschlussberichts, und die Behörde kann Zwischenmeldungen verlangen.
Die Fristen laufen ab der Kenntniserlangung, nicht ab dem Zeitpunkt des Vorfalls.
Der Abschlussbericht ist einen Monat nach der zweiten Meldung fällig, nicht nach der Kenntniserlangung.
Dauert der Vorfall an, tritt ein Fortschrittsbericht an die Stelle des Abschlussberichts.
Bei personenbezogenen Daten tritt die datenschutzrechtliche Meldung eigenständig hinzu, an eine andere Stelle.
Entdeckt ein Unternehmen einen Angriff am Freitagabend, läuft die erste Frist über das Wochenende. Steht nur breach notification, wird die datenschutzrechtliche Meldung für ausreichend gehalten. Für eine interne Eskalation nachrangig; bei der Fristwahrung fehlt eine ganze Meldung.
Meldepflicht zerlegt eine Maschine zu notification duty oder breach notification; die zweite Fassung stammt aus dem Datenschutzrecht und meint ein anderes Regime mit anderer Adressatin. Dass drei Stufen mit eigenen Fristen bestehen, trägt keine Fassung. Wo die Frühwarnung genannt ist, klärt es sich; in einem Notfallplan steht eine Meldung statt dreier.
Der Begriffsraum erklärt Sprache, nicht den Einzelfall. Er ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Dokumenten sollte die Übersetzung fachkundig geprüft werden.