DSGVO · für Security-Teams geschrieben
Die DSGVO, übersetzt für alle, die Systeme absichern.
Sicherheit nach Artikel 32, die 72-Stunden-Frist bei Datenpannen, DSFA, Verarbeitungsverzeichnis, Löschfristen, Verschlüsselung, Auftragsverarbeiter, Drittlandtransfers und NIS2, Artikel für Artikel erklärt, mit den Kontrollen, Abläufen und Nachweisen, die Compliance greifbar machen.
- Bereiche
- 10
- ausführliche Leitfäden
- 10
- Glossarbegriffe
- 13
- T+0 hDatenschutzverletzung wird bekanntArt. 4 Nr. 12
- T+2 hEindämmen und Beweise sichern
- T+24 hRisiko für Betroffene bewertenArt. 33 Abs. 1
- T+48 hMeldung vorbereitenArt. 33 Abs. 3
- T+72 hAufsichtsbehörde informierenArt. 33
- UnverzüglichBetroffene bei hohem Risiko benachrichtigenArt. 34
Beispielhafter interner Zeitplan. Die Regel: unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, melden (Art. 33).
Die Übersicht
Zehn Bereiche, in denen die DSGVO auf Ihr Security-Programm trifft
Jeder Bereich geht von den Artikeln aus, die die Pflicht begründen, und übersetzt sie in Engineering: Kontrollen, Abläufe, Konfiguration und Nachweise.
Fristen im Blick
Die Fristen, die Ihr Incident-Prozess einhalten muss
- zur Meldung einer Datenschutzverletzung an die Aufsichtsbehörde, möglichst nachdem sie bekannt wurde
- 72 h
- DSGVO Art. 33 Abs. 1
- sind Betroffene zu benachrichtigen, wenn voraussichtlich ein hohes Risiko für sie besteht
- Unverzüglich
- DSGVO Art. 34 Abs. 1
- für die NIS2-Frühwarnung bei einem erheblichen Sicherheitsvorfall, gefolgt von einer Meldung binnen 72 Stunden
- 24 h
- NIS2 Art. 23 Abs. 4
- für den NIS2-Abschlussbericht, gerechnet ab der Meldung des Vorfalls
- 1 Monat
- NIS2 Art. 23 Abs. 4 lit. d
Für wen
Eine Verordnung, drei Gespräche
CISOs & Security-Verantwortliche
Art. 32 auf Ihr Kontroll-Framework abbilden, nach Risiko für Betroffene priorisieren und Rechenschaft gegenüber Geschäftsleitung, Prüfern und Aufsicht belegen.
Engineers, SOC & Incident Response
Löschkonzepte, Pseudonymisierung und Logging aufbauen, die standhalten, und ein Datenpannen-Playbook fahren, das die 72 Stunden ohne Rätselraten einhält.
Zusammen mit dem DSB
Dieselbe Sprache sprechen wie Datenschutz und Recht: Verarbeitungsverzeichnis, DSFA, AV-Verträge und Transfer-Folgenabschätzungen.
Leitfäden
Neueste Leitfäden
Unsere Leitfäden erscheinen derzeit auf Englisch. Übersetzungen sind in Arbeit.