In den ersten 48 Stunden einer Krise soll das Protokoll sprechen.

Warum sind die ersten Stunden entscheidend?

In Krisen entsteht der dauerhafteste Schaden aus falschen Entscheidungen der ersten Stunden: ein gelöschter Datensatz, eine übereilt abgegebene Erklärung, eine versäumte Meldefrist. Die ersten 48 Stunden sind das Fenster, in dem Beweise, Verantwortlichkeit und Kommunikation zugleich gesteuert werden müssen. Diese Leistung ist das Gegenstück zu dem Fahrplan, den wir in unserem Krisenleitfaden im Einzelnen dargestellt haben.

Bei einer Datenschutzverletzung stehen das 72-Stunden-Regime und unsere Linie für Cybervorfälle im Vordergrund; bei Durchsuchung und Beschlagnahme die Protokolldisziplin und die Reaktion vor Ort; bei einer Produktkrise Rückruf und Lieferverträge; bei einer Medienkrise Zugangssperre und Gegendarstellung. Der Krisendesk muss das Szenario erkennen und die Prioritätenliste binnen Minuten umstellen können.

Der Fristendruck hat verstreute Quellen, die auf einer einzigen Liste zusammenkommen müssen: auf Seiten des türkischen Datenschutzgesetzes (KVKK, Nr. 6698) die Meldung einer Verletzung binnen 72 Stunden nach der gefestigten Praxis der Behörde; dasselbe Fenster in Art. 33 DSGVO; wenn Sie Kundschaft betreuen, die unter NIS2 fällt, die über die Verträge durchgereichte Staffel aus Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats; die in Tagen bemessenen Anzeigeobliegenheiten der Versicherungspolicen; und im Szenario von Durchsuchung und Beschlagnahme die Verfahrensrechte, die auf der Stelle ausgeübt werden müssen. Das Bild ist von Unternehmen zu Unternehmen verschieden; beim Aufbau des Krisenprotokolls erstellen wir das unternehmenseigene Fristenverzeichnis und benennen zu jeder Position eine verantwortliche Person. Für den branchenspezifischen Rahmen weist unser Eintrag zu NIS2 den Weg.

Die Ordnung der ersten 48 Stunden nutzen am häufigsten Produktions- und Logistikbetriebe mit einem Vorfall der Produktsicherheit, E-Commerce- und SaaS-Unternehmen mit einer Datenschutzverletzung sowie regulierte Betriebe, die eine unangekündigte Prüfung erleben. Die Ergebnisse des Einrichtungsprojekts sind greifbar: unternehmenseigene Szenarienkarten, die Matrix aus Fristen und Meldungen, eine Vorlage für das Ereignisprotokoll und einmal im Jahr eine Planübung am Tisch. In Strukturen mit deutscher Muttergesellschaft entsteht das Protokoll in zwei Sprachen; die Balance zwischen der Informationserwartung der Konzernzentrale und der Verteidigungsstrategie in der Türkei — vor allem die Sprache des Schriftverkehrs — wird von Anfang an festgelegt. Für die Regeln des Kontakts mit den Behörden greift unsere Leistung Behörden- und Prüfungskontakt.