Compliance-Lexikon · Praxis
Data Breach – Praxis
Data-Breach-Management ist im Audit ein Pruefpunkt, der sowohl Praevention als auch Reaktion umfasst. Was Auditoren und Datenschutzbehoerden konkret pruefen, zeigt dieser Abschnitt.
Was Auditoren konkret pruefen
Bei einer Pruefung von Data Breach prueft der Auditor den vorhandenen Response-Prozess, das interne Register und – bei tatsaechlichen Breaches – die Korrektheit und Fristgerechtigkeit der Reaktion. Das BAM-Objekt CROSS-DB-01 definiert, was konkret vorgelegt werden muss.
Haeufige Fehler
- Breach erkannt, aber Meldepflicht nicht geprueft – kein dokumentierter Entscheidungspfad
- Auftragsverarbeiter melden Breaches zu spaet an den Verantwortlichen
- Internes Register enthaelt nur gemeldete, nicht alle bewerteten Vorfaelle
- Keine Kommunikationsstrategie fuer Betroffenenbenachrichtigung vorbereitet
Praxis-Tipp
Fuer Data Breach gilt: Der Meldeprozess muss vor dem Ernstfall getestet sein. Eine Tabletop-Uebung, die simuliert „Ransomware mit Datenzugriff wurde entdeckt – was tun wir in den naechsten 4 Stunden?“, deckt Prozessluecken auf, bevor sie real werden.
Umsetzung Schritt fuer Schritt
Erster Schritt: Data-Breach-Response-Verfahrensanweisung erstellen mit Eskalationspfad, Entscheidungsmatrix (meldepflichtig?) und Meldevorlagen. Zweiter Schritt: Internes Register aufbauen fuer alle bewerteten Sicherheitsvorfaelle. Dritter Schritt: Auftragsverarbeiter verpflichten, Breaches unverzueglich zu melden. Vierter Schritt: Jaehrliche Tabletop-Uebung durchfuehren und dokumentieren.
Evidence-Anforderungen im Audit
Der Auditor erwartet: datierte Verfahrensanweisung, vollstaendiges internes Register, Meldevorlagen fuer DSGVO und NIS-2, Protokoll der letzten Uebung und – bei tatsaechlichen Breaches – alle abgesandten Meldungen mit Zeitstempeln.
Naechster Schritt
Stresstest starten
Kostenloser Compliance-Stresstest – DSGVO und NIS-2 in 20 Minuten.
Die strategische Einordnung – warum Data Breach-Management langfristig mehr als ein Compliance-Pflichtprogramm ist – findet sich auf Ebene 3.