Digital Omnibus Meldepflichten: Position des Rates

Der Rat der Europäischen Union hat seine Verhandlungsposition zu Änderungen festgelegt, die die Digital Omnibus Meldepflichten verändern könnten, also die Frage, wie Organisationen Datenschutzverletzungen und Cybersicherheitsvorfälle melden. Für MSPs und MSSPs, die für Kunden die Incident Response betreiben, könnten die Vorschläge erhebliche Bedeutung haben. Geltendes Recht sind sie noch nicht.

Was ist passiert

Am 21. Oktober 2026 hat der Rat über den Ausschuss der Ständigen Vertreter seine Verhandlungsposition zum Datenschutzteil des Digital Omnibus festgelegt. Das Paket soll Teile der EU-Regeln zu Datenschutz, ePrivacy und Meldung von Cybersicherheitsvorfällen vereinfachen und ändern. Der Text ist das Mandat des Rates für die Gespräche mit dem Europäischen Parlament. Stand 21. Oktober hatten die federführenden Ausschüsse des Parlaments (ITRE und LIBE) noch nicht über eine Position abgestimmt, die Verhandlungen zwischen den Institutionen haben also noch nicht begonnen.

Was vorgeschlagen wird

Für Datenschutzverletzungen nach der DSGVO unterstützt der Rat zwei Änderungen. Die Frist für die Meldung an die Aufsichtsbehörde würde von 72 auf 96 Stunden verlängert. Und eine Meldung wäre nur noch nötig, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt. Heute gilt: melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Die neue Schwelle liegt also höher, und weniger Verletzungen würden die Behörde erreichen. Erfolgt die Meldung verspätet, müsste sie die Gründe für die Verzögerung nennen. Bis eine nationale Meldestelle besteht, würden Verantwortliche weiterhin direkt an die Aufsichtsbehörde melden. Die Pflicht, jede Verletzung intern zu dokumentieren, soll sich nicht ändern.

Für die Meldung von Sicherheitsvorfällen allgemein hatte die Kommission eine einzige EU-weite Meldestelle bei der ENISA vorgeschlagen. Dem folgt der Rat nicht. Er unterstützt stattdessen eine nationale zentrale Meldestelle in jedem Mitgliedstaat sowie eine EU-weite Informationsstelle, die die ENISA betreiben würde. Sie soll Organisationen helfen herauszufinden, welche Meldepflichten für sie gelten und wohin sie eine Meldung richten. Das erklärte Ziel sind weniger doppelte Meldungen, wenn ein Vorfall unter mehrere EU-Gesetze fällt, etwa die DSGVO und NIS2.

Das Mandat betrifft auch Cookies. Es belässt die Regeln in der ePrivacy-Richtlinie und ergänzt eine kurze, abschließende Liste enger Ausnahmen vom Einwilligungserfordernis, zum Beispiel für Reichweitenmessung und technische Sicherheit. Die Einwilligung bleibt die Regel; die Cookie-Einwilligung wird nicht abgeschafft.

Warum das wichtig ist

Ein einzelner Sicherheitsvorfall kann mehrere Meldungen gleichzeitig auslösen: eine Meldung nach der DSGVO, eine NIS2-Meldung und, für Finanzunternehmen, eine DORA-Meldung, jeweils mit eigener Frist, eigenem Formular und eigener Behörde. Annahme: Wenn die nationalen Meldestellen wie gedacht funktionieren, könnte eine Organisation einmal melden und die Angaben würden an die richtige Stelle weitergeleitet.

Für MSPs und MSSPs ist die Wirkung praktisch. Sie führen oft die technische Reaktion durch, während der Kunde entscheidet, wer informiert wird. Jede Änderung bei Fristen, Schwellen und Meldewegen landet damit in ihren Runbooks. Es gibt auch ein Risiko: 27 nationale Meldestellen könnten zu 27 unterschiedlichen Praktiken führen, und das würde eine neue Variable hinzufügen, statt eine zu entfernen.

Was noch nicht entschieden ist

Der größte Teil der Details ist offen. Das Parlament muss seine Position annehmen, danach müssen die Institutionen einen gemeinsamen Text vereinbaren, und dieser Text kann vom Vorschlag der Kommission und von der Position des Rates abweichen. Anwendungszeitpunkte, Übergangsfristen, welche Gesetze die nationalen Meldestellen abdecken würden und wie sie in der Praxis arbeiten, sind offen. Die Änderungen würden nur gelten, wenn der Vorschlag endgültig angenommen wird. Bis dahin gelten die heutigen Regeln unverändert: 72 Stunden, die bestehende Risikoschwelle sowie die Pflichten nach NIS2 und DORA.

Was Sie jetzt tun sollten

Ändern Sie Ihre produktiven Meldeverfahren noch nicht. Ein Vorschlag kann sich noch bewegen, und ein Runbook darauf umzuschreiben wäre verfrüht. Zwei Vorbereitungen kosten wenig. Erstens: Erfassen Sie an einer Stelle, welche Behörden und Fristen für jeden Kunden oder Dienst gelten. Zweitens: Hinterlegen Sie Meldefrist und zuständige Behörde im Runbook als Parameter statt als festen Text, sodass eine Änderung von 72 auf 96 Stunden oder eine neue Meldestelle nur eine Zeile ändert. Verfolgen Sie dann die Position des Parlaments und die Trilog-Gespräche und überprüfen Sie Ihre Verfahren, sobald eine vorläufige Einigung vorliegt.

Wir aktualisieren diesen Beitrag, sobald es eine neue Entwicklung gibt, zum Beispiel wenn das Parlament seine Position annimmt.

Wenn Sie Fragen dazu haben, wie sich diese Vorschläge auf Ihren Meldeprozess auswirken könnten, wenden Sie sich an DIESEC.

Quellen: Rat der EU, Verhandlungsmandat ST 14756/26 (22. Oktober 2026) | legal247: Digital Omnibus and the GDPR, the Council mandate
Veröffentlicht: 2026-10-27 | Kategorie: Daily News | ~4 Min. Lesezeit