In der Nacht der Verletzung greift das Protokoll, nicht die Panik.

Die Anatomie der ersten 72 Stunden

Eine Datenschutzverletzung oder ein Cybervorfall setzt vier Uhren zugleich in Gang: die Meldefristen nach dem türkischen Datenschutzgesetz (KVKK, Gesetz Nr. 6698) und nach der DSGVO, die Zusagen von 24 bis 72 Stunden in Kundenverträgen – zunehmend aus NIS2 gespeist –, die Anzeigeobliegenheiten der Cyberversicherungspolice und die Uhr, an der die Beweise verfallen. Diese vier Uhren unter einer einzigen Einsatzleitung zu führen, bestimmt den Schaden des Vorfalls häufig stärker als der Vorfall selbst.

Im Moment des Vorfalls zu entscheiden, ist die teuerste Methode. Ein vorab erstellter Reaktionsplan beantwortet schon vor dem Vorfall, wen man anruft, welche Protokolle eingefroren werden, wo die Meldeentwürfe liegen und wer spricht. Eine jährliche Tabletop-Übung verhindert, dass der Plan auf dem Papier bleibt. Zur Dimension des Leitungsorgans siehe unsere NIS2-Analyse.

Zwei der vier Uhren kommen unmittelbar aus dem Gesetz. Nach Art. 12 KVKK ist der türkische Datenschutzrat (Kişisel Verileri Koruma Kurulu) „in kürzester Zeit“ zu unterrichten – seine gefestigte Praxis nimmt dafür 72 Stunden zum Maßstab –, und die betroffenen Personen sind auf dem schnellsten erreichbaren Weg zu benachrichtigen; Art. 33 und 34 DSGVO errichten die 72-Stunden-Meldung und, bei hohem Risiko, die unmittelbare Benachrichtigung der betroffenen Personen. In den von NIS2 erfassten Sektoren wird das gestufte Regime – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats – zunehmend über Verträge auch an die Zulieferseite weitergereicht. Die Meldeschwelle ist eine rechtliche Wertung: Nicht jeder Vorfall ist zu melden, und eine verspätete Meldung erzeugt für sich genommen eine Sanktion. Diese Wertung innerhalb von Minuten treffen zu können, gelingt nur mit einer vorab erarbeiteten Klassifizierungsmatrix.