Thought Leadership
Das European Data Protection Board entwickelt ein einheitliches Formular für Datenpannen in der EU, um den bürokratischen Flickenteppich zu beenden.
Das European Data Protection Board hat eine einheitliche Vorlage für die Meldung von Datenpannen entwickelt, die künftig von allen Organisationen in der Europäischen Union genutzt werden kann. Bislang nutzt jede nationale Datenschutzbehörde in den Mitgliedstaaten ein eigenes Formular, was zu einem bürokratischen Flickenteppich für grenzüberschreitend aktive Unternehmen führt.
Die Initiative wurde bei einem Treffen des Gremiums mit dem EU-Kommissar für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz, Michael McGrath, besprochen. Die Standardisierung ist Teil des sogenannten Digital Omnibus, einem Paket von Vorschlägen zur Vereinfachung und Vereinheitlichung bestehender EU-Regeln in den Bereichen künstliche Intelligenz, Cybersicherheit und Datenschutz.
Detaillierte Abfrage von Schadensursachen bei Datenpannen
Die neue Meldevorlage verlangt von betroffenen Unternehmen wesentlich detailliertere Angaben zum Ablauf des Sicherheitsvorfalls als viele bisherige Formulare. Organisationen müssen präzise angeben, wann und wie die Datenpanne passierte und entdeckt wurde, welche Personen betroffen sind und welche konkreten Datenarten kompromittiert wurden. Zudem sieht das Formular die Angabe der wahrscheinlichen Ursache vor, wobei spezifische Kategorien wie Ransomware-Angriffe, Phishing, Fehlkonfigurationen von Cloud-Diensten, verlorene Geräte, Insider-Missbrauch oder menschliches Versagen zur Auswahl stehen.
Ein weiterer Schwerpunkt liegt auf der Überprüfung der technischen Sicherheitsmaßnahmen, die zum Zeitpunkt des Vorfalls aktiv waren. Unternehmen müssen offenlegen, ob Schutzmechanismen wie eine Multifaktor-Authentifizierung, Verschlüsselungen, regelmäßige Sicherheitsüberprüfungen, Backup-Protokolle oder Schulungen für Mitarbeiter implementiert waren. Darüber hinaus müssen die potenziellen Folgen für die Opfer benannt werden, darunter das Risiko von Identitätsdiebstahl, Betrug, finanziellem Verlust oder Rufschädigung. Die öffentliche Konsultation für den Entwurf läuft bis zum 5. August 2026. Anschließend wird der genaue Zeitplan für die Einführung bei den europäischen Datenschutzaufsichtsbehörden festgelegt.
(red)
