Behörden zur Meldung von Cybercrime-Vorfällen
Vorgeschriebene Meldungen nach dem NIS2/BSIG:
Bei erheblichen IT-Sicherheitsvorfällen gilt ein strenges, dreistufiges Meldewesen nach der europäischen NIS2-Richtlinie (zweite Richtlinie zur Sicherung von Netz- und Informationssystemen, EU-Richtlinie 2022/2555 des Europäischen Parlaments und des Europäischen Rates) bzw. nach §32 des deutschen BSIG (BSI-Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen):
- Innerhalb von 24 Stunden: Erste Warnmeldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI)
- innerhalb von 72 Stunden: Detaillierte Meldung mit Bewertung des Vorfalls
- Abschlussbericht innerhalb eines Monats.
Cyber-Angriffe melden von Verbrauchern beim BSI
Das Bundesamt für Sicherheit in der Informationstechnik bietet ein umfangreiches Melde- und Informationsportal für Verbraucherinnen und Verbraucher bei Sicherheitsvorfällen zur Verfügung.
Cyber-Angriffe melden an die Kriminal-Polizei (NRW)
Cybercrime Kompetenzzentrum beim LKA NRW
Single Point of Contact (SPoC - Kontakt für Firmen, Institutionen und Behörden)
Tel.: +49 211 939 4040
Fax: +49 211 939 194040
E-Mail: cybercrime.lka@polizei.nrw.de
Adresse: Völklinger Straße 49, 40221Düsseldorf
Hinweise des NRW-Landesbeauftragten für Datenschutz und Informationsfreiheit bei Datenschutzverletzungen/Datenpannen
Bei einer Datenpanne müssen Unternehmen umgehend den Schaden eindämmen, den Vorfall dokumentieren und bei Risiko die Aufsichtsbehörde binnen 72 Stunden informieren (gemäß Art. 33 DSGVO) und betroffene Personen sind unverzüglich zu benachrichtigen.
Sofortmaßnahmen und Checkliste:
- Schadensbegrenzung: Sofort IT-Systeme isolieren (abschalten), Passwörter sofort ändern und Sicherheitslücken schließen.
- Dokumentation: Jeden Vorfall (Art, Umfang, Folgen, Maßnahmen) dokumentieren, auch wenn der Vorfall nicht meldepflichtig ist.
- Meldung an Behörde: Binnen 72 Stunden nach Entdeckung einer Datenschutzverletzung ist dieser an die zuständige Datenschutzaufsichtsbehörde zu melden.
- Benachrichtigung der Betroffenen: Bei "hohem Risiko" (z.B. Verlust von Gesundheitsdaten, Passwörtern usw.) müssen die betroffenen Personen unverzüglich informiert werden.
- Weitere Schritte: Polizei einschalten (bei Straftaten), Datenschutzbeauftragten hinzuziehen und interne Prozesse zur Vermeidung anpassen.