Richtlinie zur Reaktion auf Sicherheitsvorfälle und Benachrichtigung bei Datenschutzverletzungen

Das Unternehmen verlässt sich auf externe Parteien, einschließlich Hosting-Anbieter, Zahlungspartner und Lieferpartner, um die Plattform und den Marktplatz zu betreiben. Infolgedessen wird ein erheblicher Teil der Vorfälle, die das Unternehmen bearbeiten muss, nicht in seinen eigenen Systemen entstehen. Diese Richtlinie und das zugehörige Runbook RB-01 zur Reaktion auf Sicherheitsvorfälle wurden unter Berücksichtigung dieser Umstände verfasst.

Der Zweck dieser Richtlinie besteht darin, festzulegen, wie das Unternehmen Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten erkennt, darauf reagiert und sich davon erholt und wie es seine Pflichten zur Benachrichtigung der zuständigen Aufsichtsbehörde und der betroffenen Personen erfüllt. Das Runbook RB-01 zur Incident Response ist ein prägnantes operationales Dokument, das für das Bereitschaftspersonal während eines aktiven Vorfalls bestimmt ist; seine Kürze darf nicht so ausgelegt werden, dass dadurch Verpflichtungen aus dieser Richtlinie gemindert werden.

Diese Richtlinie gilt für jeden Sicherheitsvorfall und jede Verletzung des Schutzes personenbezogener Daten, die die Plattform, den Marktplatz oder die Unternehmenssysteme betreffen, einschließlich Vorfällen, die bei einem Hosting-Anbieter, Zahlungspartner oder Lieferpartner entstehen oder von diesem zuerst gemeldet werden.

Jeder Mitarbeiter, Auftragnehmer oder automatisierte Überwachungssystem, der einen verdächtigen Sicherheitsvorfall feststellt, muss diesen unverzüglich über den im Runbook RB-01 beschriebenen Kanal melden. Der Incident Lead bewertet Schweregrad und Umfang, ohne eine vollständige Bestätigung abzuwarten.

Ein bestätigter Sicherheitsvorfall wie unbefugter Zugriff auf Produktionsdaten, aktive Ransomware oder ein Ausfall, der einen erheblichen Teil des Systems betrifft, wird als 'Kritisch' eingestuft. Der Chief Information Security Officer und der Incident Lead sind innerhalb von 30 Minuten einzubinden.

Ein Verdacht auf eine Verletzung personenbezogener Daten oder Kundendaten, die Kompromittierung eines einzelnen Systems oder ein von einem Dritten gemeldeter Vorfall, der Unternehmensdaten betrifft, wird als 'Hoch' eingestuft und innerhalb von zwei Stunden bearbeitet.

Ein eingedämmter Sicherheitsvorfall mit geringem oder keinem Nachweis einer Datenoffenlegung wird als 'Mittel' eingestuft und innerhalb eines Arbeitstages bearbeitet.

Ein Richtlinienverstoß ohne Hinweise auf eine Kompromittierung wird als 'Niedrig' eingestuft und innerhalb von fünf Arbeitstagen bearbeitet.

Nach Erkennung eines Sicherheitsvorfalls dämmt das Unternehmen das betroffene System ein und sichert gleichzeitig die für Untersuchungen und gegebenenfalls behördliche Benachrichtigungen erforderlichen Beweise.

Nach der Eindämmung beseitigt das Unternehmen die Ursache des Sicherheitsvorfalls und stellt den betroffenen Dienst aus einem verifizierten, wiederherstellungsgetesteten Backup wieder her. Der normale Betrieb muss bestätigt werden, bevor der Sicherheitsvorfall als gelöst gilt.

Jeder Sicherheitsvorfall, der als 'Mittel' oder höher eingestuft wird, wird einer Nachbereitung (Post-Incident Review) unterzogen, deren Ergebnisse im Risikoregister festgehalten werden.

Stellt ein Sicherheitsvorfall eine Verletzung des Schutzes personenbezogener Daten dar, benachrichtigt das Unternehmen die polnische Datenschutzbehörde unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung gemäß Artikel 33 DSGVO. Führt die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, werden diese Personen gemäß Artikel 34 DSGVO unverzüglich benachrichtigt.

Sofern die NIS2-Richtlinie auf das Unternehmen anwendbar ist, wird innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung, innerhalb von 72 Stunden eine ausführlichere Meldung und innerhalb eines Monats ein Abschlussbericht übermittelt.

Fällt ein vom Unternehmen betriebenes Produkt mit digitalen Elementen in den Anwendungsbereich des Cyber Resilience Act (CRA), wird bei einer aktiv ausgenutzten Schwachstelle innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine vollständige Meldung und innerhalb von 14 Tagen ein Abschlussbericht über die entsprechende EU-Meldeplattform eingereicht.

Entsteht ein Sicherheitsvorfall bei einem Zahlungspartner, Lieferpartner oder Hosting-Anbieter oder betrifft er diesen, gilt die Benachrichtigungspflicht des Unternehmens gemäß Abschnitt 4.3 unabhängig und wird nicht durch die Benachrichtigung des Dritten an das Unternehmen oder an seine eigene Aufsichtsbehörde abgegolten.

Ein Lieferpartner, der in Bezug auf Empfängerdaten als unabhängiger Verantwortlicher agiert, wird für diese Zwecke als solcher behandelt. Seine Erfüllung eigener Benachrichtigungspflichten entbindet das Unternehmen nicht von dessen separater Verpflichtung bezüglich eigener Verarbeitungen, die von demselben Ereignis betroffen sind.

Jeder Sicherheitsvorfall wird unabhängig von seinem Schweregrad im Vorfallsregister des Unternehmens erfasst.

Das Unternehmen überprüft diese Richtlinie und das Runbook RB-01 mindestens einmal jährlich im Rahmen einer Planübung (Tabletop Exercise).

Die Einhaltung dieser Richtlinie ist verbindlich. Der Chief Information Security Officer ist für diese Richtlinie und den Incident-Response-Prozess verantwortlich, leitet oder überwacht die Reaktion auf 'Kritische' und 'Hohe' Vorfälle und entscheidet, ob eine behördliche Benachrichtigung erforderlich ist.

Eine Verzögerung bei der Meldung eines verdächtigen Sicherheitsvorfalls wird als eigenständiger Verstoß gegen diese Richtlinie gewertet, unabhängig vom Schweregrad des zugrunde liegenden Vorfalls.

Es gibt keine Ausnahmen von der Pflicht, einen verdächtigen Sicherheitsvorfall zu melden.

Jede Abweichung von den Benachrichtigungsfristen in Abschnitt 4.3 ist unverzüglich an den Chief Information Security Officer und die Rechtsabteilung zu eskalieren sowie zusammen mit der Begründung zu dokumentieren.

Diese Richtlinie ist in Verbindung mit dem Incident Response Runbook RB-01, dem Business Continuity & Disaster Recovery Plan, der Backup-Richtlinie und der Richtlinie zum Risikomanagement von Drittanbietern und Partnern zu lesen.

'Sicherheitsvorfall' bezeichnet jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationswerts beeinträchtigt hat oder plausiblerweise beeinträchtigen könnte.

'Verletzung des Schutzes personenbezogener Daten' bezeichnet eine Verletzung im Sinne von Artikel 4 Nummer 12 DSGVO.

'Kenntniserlangung' bezeichnet den Zeitpunkt, zu dem das Unternehmen hinreichende Sicherheit darüber hat, dass ein Sicherheitsvorfall aufgetreten ist und personenbezogene Daten beeinträchtigt haben könnte; ab diesem Zeitpunkt laufen die Fristen nach Abschnitt 4.3.

'Incident Lead' bezeichnet die Person, die die Reaktion auf einen spezifischen Sicherheitsvorfall koordiniert.

Version 1.0 — Juli 2026