// Compliance

LGPD und Cybersicherheit: Pflichten, Meldefrist und Checkliste

Die LGPD — Lei Geral de Proteção de Dados, Gesetz 13.709/2018, das allgemeine brasilianische Datenschutzgesetz — ist der Rahmen, an dem sich jede Organisation messen lassen muss, die personenbezogene Daten in Brasilien verarbeitet; durchgesetzt wird sie von der brasilianischen Datenschutzbehörde ANPD. Der Teil, der in Sicherheitsteams die meisten Rückfragen auslöst, steht gar nicht im Gesetz — er steht in der Verordnung. Seit der Resolution CD/ANPD Nr. 15 vom 24. April 2024 ist aus der “angemessenen Frist” des Artikels 48 eine konkrete Zahl geworden: drei Arbeitstage. Wenn das Material, mit dem Sie arbeiten, diese Resolution nicht zitiert, beschreibt es eine Rechtslage, die nicht mehr gilt.

Was folgt, ist die geltende Rechtslage, Artikel für Artikel an den amtlichen Quellen geprüft. Das ist keine Rechtsberatung — es ist die Landkarte, mit der Sie mit Ihrer Rechtsabteilung sachkundig sprechen können.

Was die LGPD an Informationssicherheit verlangt (Art. 46 bis 49)

Kapitel VII der LGPD ist kurz und unmissverständlich:

• Art. 46. Es sind “technische und organisatorische Sicherheitsmaßnahmen zu ergreifen, die geeignet sind, personenbezogene Daten vor unbefugtem Zugriff und vor zufälliger oder unrechtmäßiger Vernichtung, Verlust, Veränderung, Weitergabe oder jeder Form unangemessener oder unrechtmäßiger Verarbeitung zu schützen”. § 2 verlangt, dass sie “von der Konzeptionsphase des Produkts oder der Dienstleistung bis zu ihrer Ausführung” beachtet werden — Privacy by Design mit Gesetzeskraft.
• Art. 47. Die Pflicht gilt “auch nach dem Ende” der Verarbeitung. Eine stillgelegte Datenbank ist keine ungeschützte Datenbank.
• Art. 49. Systeme “sind so zu gestalten, dass sie den Sicherheitsanforderungen sowie den Standards guter Praxis und Governance genügen”.

Zwei Details, die regelmäßig übersehen werden:

Es gibt keine gesetzliche Liste verbindlicher Kontrollen. Art. 46 § 1 sagt, die ANPD könne technische Mindeststandards festlegen — bislang hat sie keinen verbindlichen Katalog veröffentlicht. Der Maßstab ist der der Angemessenheit: Maßnahmen im Verhältnis zur Art der Daten, zum Volumen, zum Risiko und zum Stand der Technik.

Das Fehlen von Maßnahmen begründet unmittelbare zivilrechtliche Haftung. Art. 44, einziger Absatz: “Für Schäden aus der Verletzung der Datensicherheit haftet der Verantwortliche oder der Auftragsverarbeiter, der den Schaden dadurch verursacht, dass er die in Art. 46 dieses Gesetzes vorgesehenen Sicherheitsmaßnahmen unterlässt.” Das läuft unabhängig von jeder verwaltungsrechtlichen Sanktion.

Auf der Ebene der Grundsätze (Art. 6) tragen drei Ziffern das Ganze: Sicherheit (VII), Prävention (VIII) und Rechenschaft und Nachweispflicht (X). Ziffer X ist die anspruchsvollste: Sie müssen nachweisen können, dass die Maßnahmen ergriffen wurden und dass sie wirksam sind. Ohne dokumentierten Beleg existiert die Kontrolle aus Sicht der Aufsicht nicht.

Was ein Sicherheitsvorfall ist — und wann er meldepflichtig wird

Die Resolution 15/2024 definiert den Sicherheitsvorfall als “jedes bestätigte nachteilige Ereignis im Zusammenhang mit der Verletzung der Eigenschaften Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Sicherheit personenbezogener Daten” (Art. 3 XII).

Drei praktische Folgen, entsprechend den von der ANPD selbst veröffentlichten Hinweisen:

• Eine Schwachstelle ist kein Vorfall. Das bloße Bestehen einer Lücke löst nichts aus. Ihre Ausnutzung dagegen kann es.
• Nichtverfügbarkeit zählt mit. Es geht nicht nur um Datenabflüsse. Ransomware, die den Zugriff auf Patientendaten blockiert, ist ein Vorfall — auch ohne Exfiltration.
• Anonymisierte Daten zählen nicht. Ein Vorfall, der ausschließlich anonymisierte Daten betrifft oder sich nicht auf eine identifizierte oder identifizierbare natürliche Person bezieht, muss nicht gemeldet werden.

Ist der Vorfall bestätigt, lautet die nächste Frage: Kann er ein erhebliches Risiko oder einen erheblichen Schaden nach sich ziehen? Art. 5 stellt dafür einen kumulativen Test auf — der Vorfall muss geeignet sein, Interessen und Grundrechte der betroffenen Personen erheblich zu beeinträchtigen, und zugleich mindestens eines dieser sechs Kriterien betreffen:

1. sensible personenbezogene Daten;
2. Daten von Kindern, Jugendlichen oder älteren Menschen;
3. Finanzdaten;
4. Daten zur Authentifizierung in Systemen;
5. Daten, die dem gesetzlichen, gerichtlichen oder berufsrechtlichen Geheimnis unterliegen;
6. Daten in großem Umfang.

§ 1 gibt Beispiele dafür, was “erheblich beeinträchtigen” heißt: die Ausübung von Rechten oder die Nutzung eines Dienstes verhindern oder materielle oder immaterielle Schäden verursachen wie Diskriminierung, Verletzung der körperlichen Unversehrtheit, des Ansehens und des Rufs, Finanzbetrug oder Identitätsdiebstahl. § 2 stellt klar, dass sich “großer Umfang” nach Zahl der betroffenen Personen, Datenvolumen, Dauer, Häufigkeit und geografischer Ausdehnung bemisst.

Sehen Sie sich Kriterium 4 genau an: Ein offengelegter Bestand aus Benutzernamen und Passwörtern erfüllt die zweite Hälfte des Tests bereits. Zu prüfen bleibt die erste — und geleakte Zugangsdaten öffnen typischerweise genau den Weg zu Betrug und Identitätsdiebstahl, also zu den in § 1 genannten Beispielen.

Fristen, Kanal und Inhalt der Meldung

An die ANPD — Art. 6

Drei Arbeitstage, gerechnet ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis davon erlangt, dass der Vorfall personenbezogene Daten betroffen hat (Art. 6 § 1) — nicht ab dem Datum des Vorfalls und nicht ab dem Abschluss der Untersuchung. Samstage, Sonntage und Feiertage zählen nicht mit. Kleine Verarbeitungsakteure haben die doppelte Frist (§ 8), allerdings mit einem oft vergessenen Vorbehalt: Nach Art. 14 II der Resolution CD/ANPD Nr. 2/2022 gilt die verdoppelte Frist nicht, wenn die körperliche oder seelische Unversehrtheit der betroffenen Personen oder die nationale Sicherheit gefährdet sein kann — in diesen Fällen gelten dieselben drei Arbeitstage wie für alle anderen.

Die Meldung erfolgt per elektronischer Einreichung im SEI!ANPD, Verfahrensart “ANPD – Comunicados de Incidentes”, und muss vom Encarregado eingereicht werden — der von der LGPD vorgeschriebenen datenschutzbeauftragten Person — unter Beifügung eines Nachweises der Bestellung, oder von einer bevollmächtigten Vertretung. Fehlt dieser Nachweis innerhalb derselben Frist, kann die ANPD von Amts wegen ein Verfahren zur Aufklärung des Vorfalls eröffnen.

§ 2 zählt zwölf Pflichtangaben auf:

1. Art und Kategorie der betroffenen Daten;
2. Zahl der betroffenen Personen, gesondert ausgewiesen für Kinder, Jugendliche und ältere Menschen;
3. technische und Sicherheitsmaßnahmen vor und nach dem Vorfall;
4. Risiken und mögliche Auswirkungen für die betroffenen Personen;
5. Gründe für eine etwaige Verzögerung;
6. Maßnahmen zur Rückgängigmachung oder Minderung der Folgen;
7. Datum des Eintritts (soweit bestimmbar) und Datum der Kenntniserlangung;
8. Angaben zum Encarregado oder zur Person, die den Verantwortlichen vertritt;
9. Identifizierung des Verantwortlichen und gegebenenfalls Erklärung über die Eigenschaft als kleiner Verarbeitungsakteur;
10. Identifizierung des Auftragsverarbeiters, soweit einschlägig;
11. Beschreibung des Vorfalls einschließlich der Hauptursache, soweit erkennbar;
12. Gesamtzahl der betroffenen Personen, deren Daten in den betroffenen Tätigkeiten verarbeitet werden.

Wenn Sie das alles nicht innerhalb von drei Arbeitstagen zusammenbekommen, gibt es die vorläufige Meldung, die binnen zwanzig Arbeitstagen begründet zu ergänzen ist (§ 3) — als Zwischenantrag im selben Verfahren. Die ANPD ist in ihren veröffentlichten FAQ eindeutig: Die vorläufige Meldung genügt nicht, um die Pflicht aus Art. 48 zu erfüllen, und muss fristgerecht ergänzt werden.

An die betroffene Person — Art. 9

Die Meldung an die ANPD reicht nicht aus. Die ANPD hält selbst fest, dass Art. 48 “nicht durch die bloße Meldung des Sicherheitsvorfalls an die ANPD erfüllt” wird: Besteht ein erhebliches Risiko oder ein erheblicher Schaden, muss der Verantwortliche auch die betroffenen Personen unterrichten. Es sind zwei Pflichten, nicht eine.

Gleiche Frist: drei Arbeitstage ab Kenntniserlangung — für kleine Verarbeitungsakteure ebenfalls verdoppelt (Art. 9 § 6). Der Inhalt ist ein anderer: sieben Punkte, darunter Art und Kategorie der betroffenen Daten, die eingesetzten Sicherheitsmaßnahmen, Risiken und mögliche Auswirkungen, Maßnahmen zur Minderung, das Datum der Kenntniserlangung sowie eine Kontaktmöglichkeit für weitere Auskünfte (dazu die Angaben zum Encarregado, soweit einschlägig).

Die Form zählt hier so viel wie der Inhalt:

• einfache und leicht verständliche Sprache;
• unmittelbar und individuell, wann immer die betroffenen Personen identifizierbar sind — Telefon, E-Mail, elektronische Nachricht oder Brief;
• ist das nicht durchführbar, Veröffentlichung über die verfügbaren Kanäle (Website, App, soziale Netzwerke), unmittelbar und leicht sichtbar, für mindestens drei Monate;
• und eine Erklärung zu den Akten, dass die Unterrichtung erfolgt ist, unter Angabe der genutzten Mittel, binnen drei Arbeitstagen nach Ablauf der Frist (§ 4).

§ 5 fügt einen konkreten Anreiz hinzu: Empfehlungen, die der betroffenen Person helfen, die Folgen abzumildern, können bei der Bemessung einer Sanktion als gute Praxis gewertet werden (Art. 52 § 1 IX der LGPD).

Und wenn Sie der Auftragsverarbeiter sind?

Die gesetzliche Meldepflicht trifft den Verantwortlichen. Tritt ein Vorfall ein, muss der Auftragsverarbeiter ihn ohne ungerechtfertigte Verzögerung informieren und alle für die Meldung erforderlichen Angaben liefern — und die ANPD empfiehlt ausdrücklich, diese Pflichten zwischen Verantwortlichem und Auftragsverarbeiter vertraglich zu regeln. In Fristen übersetzt: Die Drei-Arbeitstage-Uhr des Verantwortlichen wartet nicht auf den Dienstleister, also muss dessen Frist deutlich kürzer sein als Ihre.

Die Dokumentation, die kaum jemand führt (Art. 10)

Das ist die am häufigsten ignorierte Pflicht der Verordnung: Der Verantwortliche muss jeden Sicherheitsvorfall dokumentieren — auch die, die er nicht gemeldet hat — und diese Aufzeichnungen mindestens fünf Jahre aufbewahren.

Die Dokumentation muss mindestens enthalten: Datum der Kenntniserlangung; allgemeine Beschreibung der Umstände; Art und Kategorie der betroffenen Daten; Zahl der betroffenen Personen; Bewertung des Risikos und der möglichen Schäden; Korrektur- und Minderungsmaßnahmen; Form und Inhalt der Meldung, falls es eine gab; und die Gründe für das Unterbleiben einer Meldung, soweit einschlägig.

Übersetzt: Die Entscheidung, nicht zu melden, muss dokumentiert und begründbar sein. Genau diese Aufzeichnung verlangt die ANPD, wenn sie ein Aufklärungsverfahren eröffnet — und sie kann jederzeit das Verzeichnis der Verarbeitungstätigkeiten (Art. 37), den Bericht über die Auswirkungen auf den Schutz personenbezogener Daten (Art. 38) sowie den Bericht über die Bearbeitung des Vorfalls anfordern.

Die Rolle des Encarregado

Art. 41 der LGPD verpflichtet den Verantwortlichen, einen Encarregado zu benennen und dessen Identität und Kontaktdaten öffentlich bekannt zu machen, “vorzugsweise auf der Website”. Die Resolution CD/ANPD Nr. 18 vom 16. Juli 2024 hat die Funktion ausbuchstabiert:

• Encarregado kann eine natürliche Person (intern oder extern) oder eine juristische Person sein; die Benennung verlangt einen förmlichen Bestellungsakt in Schriftform, datiert und unterzeichnet, mit Beschreibung der Arbeitsweise und der Tätigkeiten — ein Dokument, das die ANPD jederzeit verlangen kann;
• der Verarbeitungsakteur muss Ressourcen bereitstellen (personell, technisch und administrativ), fachliche Unabhängigkeit gewährleisten und direkten Zugang zur obersten Leitungsebene sichern;
• der Encarregado muss in die Dokumentation und Meldung von Vorfällen eingebunden sein, ebenso in das Verzeichnis der Verarbeitungstätigkeiten, in den Bericht über die Auswirkungen auf den Datenschutz, in die internen Aufsichtsmechanismen und in die Vertragsgestaltung;
• ein Interessenkonflikt liegt vor, wenn die Rolle mit Funktionen zusammenfällt, die über Mittel und Zwecke der Verarbeitung entscheiden — Leitungen von IT, Personal, Finanzen oder Gesundheitsbereichen sind die von der ANPD genannten klassischen Fälle, und ein nachgewiesener Konflikt kann selbst eine Sanktion nach sich ziehen;
• und ein entlastender Punkt: Der Encarregado ist gegenüber der ANPD nicht der Verantwortliche für die Rechtmäßigkeit der Verarbeitung. Dafür haftet der Verantwortliche.

Kleine Verarbeitungsakteure können von der Benennung befreit sein (Resolution CD/ANPD Nr. 2/2022) — außer sie führen Verarbeitungen mit hohem Risiko durch, überschreiten mit ihrem Bruttoumsatz die Schwellen der Verordnung oder gehören einer Unternehmensgruppe an, die sie überschreitet. Auch im Fall der Befreiung ist ein Kommunikationskanal für die betroffenen Personen aufrechtzuerhalten.

In der Praxis: Der Encarregado ist die Person, die bei der ANPD einreicht. Steht diese Rolle nicht in Ihrem Incident-Response-Plan, funktioniert Ihr Plan am ersten Tag nicht.

Sanktionen: was die ANPD verhängen kann (Art. 52)

Die korrekten Werte, direkt aus dem Gesetzestext:

Die drei letztgenannten (teilweise Aussetzung, Aussetzung der Tätigkeit und Verbot) dürfen erst verhängt werden, nachdem im selben Fall bereits mindestens eine der Sanktionen Geldbuße, Veröffentlichung, Sperrung oder Löschung auferlegt wurde (Art. 52 § 6).

Die Bemessung zählt so viel wie die Obergrenze. Art. 52 § 1 verlangt, unter anderem zu berücksichtigen: Schwere und Art des Verstoßes, Gutgläubigkeit, Kooperation, die fortgesetzte Einführung interner Mechanismen zur Schadensminderung, eine Politik guter Praxis und Governance sowie das rasche Ergreifen von Abhilfemaßnahmen. Die Resolution CD/ANPD Nr. 4/2023 stuft Verstöße als leicht, mittel oder schwer ein und enthält die Methodik zur Berechnung der einfachen Geldbuße. Im laufenden Verfahren kann die ANPD zudem sofortige vorbeugende Maßnahmen anordnen und zu deren Durchsetzung ein tägliches Zwangsgeld festsetzen (Art. 15 der Resolution 15/2024).

Für Menschen, die in der Sicherheit arbeiten, steht der wichtigste Punkt in Art. 48 § 3: Bei der Beurteilung der Schwere bewertet die ANPD “einen etwaigen Nachweis, dass angemessene technische Maßnahmen ergriffen wurden, die die betroffenen personenbezogenen Daten für unbefugte Dritte unverständlich machen”. Sauber umgesetzte Verschlüsselung ist damit nicht nur technische Hygiene — sie ist ein gesetzlich vorgesehener Milderungsgrund.

Festzuhalten ist außerdem eine jüngere institutionelle Änderung: Das Gesetz Nr. 15.352 vom 25. Februar 2026 (Umwandlung der vorläufigen Maßnahme MP 1.317/2025) hat Art. 55-A in die LGPD eingefügt und die Agência Nacional de Proteção de Dados (ANPD) als Bundesbehörde besonderer Rechtsnatur beim Ministerium für Justiz und öffentliche Sicherheit errichtet — mit funktionaler, fachlicher, entscheidungsbezogener, administrativer und finanzieller Autonomie, eigenem Vermögen und Sitz im Bundesdistrikt. Dasselbe Gesetz hat eine eigene Laufbahn für Regulierung und Aufsicht im Datenschutz geschaffen. In der Praxis: dasselbe Kürzel, mit mehr Durchsetzungskraft.

Konkrete technische Maßnahmen

Der Leitfaden der ANPD zur Informationssicherheit (verfasst für kleine Verarbeitungsakteure, aber in jeder Größenordnung nützlich) ordnet die Maßnahmen in organisatorische und technische. Kreuzt man ihn mit dem, was Art. 48 innerhalb von drei Arbeitstagen beantwortet haben will:

Verschlüsselung. In der Übertragung TLS/HTTPS überall — auch bei internen Integrationen und bei E-Mails mit Personal- oder Gesundheitsdaten. Im Ruhezustand Verschlüsselung sensibler Felder und der Sicherungen. Denken Sie an Art. 48 § 3: Sind die abgeflossenen Daten unverständlich, sinkt die bewertete Schwere.

Zugriffskontrolle. Die ANPD zerlegt sie in drei Funktionen: Authentifizierung (wer zugreift), Autorisierung (was diese Person darf) und Protokollierung (was getan wurde). In der Praxis: geringste Rechte (need to know), MFA in Systemen mit personenbezogenen Daten, eine Richtlinie zur Passwortkomplexität, das Ersetzen der Standardpasswörter von Lieferanten und ein Verbot geteilter Konten oder Passwörter — die ANPD nennt das einen “kritischen Schwachstellenvektor”.

Audit-Trail. Protokollieren Sie Authentifizierungen und fehlgeschlagene Authentifizierungen, Zugriffe auf personenbezogene Daten, Änderungen von Berechtigungen, Exporte und administrative Vorgänge. Der Test ist einfach: Können Sie innerhalb von drei Arbeitstagen sagen, wie viele Personen betroffen waren, welche Datenkategorien und was die Hauptursache war? Hängt die Antwort von Archäologie in Anwendungsprotokollen ab, hat der Vorfall Sie bereits Ihre Frist gekostet.

Aufbewahrung und Löschung. Nur das Notwendige zu erheben (Art. 6 III) und zu löschen, was keinen aktiven Zweck mehr hat, verkleinert die Angriffsfläche des nächsten Vorfalls und die Zahl der betroffenen Personen. Dazu gehört die sichere Vernichtung von Datenträgern.

Ransomware-feste Sicherungen. Die Empfehlung der ANPD ist ausdrücklich: regelmäßige, vollständige Sicherungen, an einem anderen Ort als der primäre Speicher und nicht in Echtzeit synchronisiert — damit die Verschlüsselung des Angreifers nicht mitrepliziert wird.

Schwachstellenmanagement. Systeme und Anwendungen aktuell halten, Patches einspielen, Hardening (nicht benötigte Dienste abschalten, sämtliche Standardpasswörter ändern, fortlaufend prüfen, was ins Internet exponiert ist) und installierte, aktuelle Antimalware — mit dem ausdrücklichen Hinweis an die Nutzenden, Sicherheitseinstellungen nicht abzuschalten. Der ANPD-Leitfaden verweist auf eine Untersuchung von CERT.br gemeinsam mit Cetic.br: alles aktuell halten, Hardening betreiben und Identifizierung und Authentifizierung verbessern (einschließlich des Verzichts auf Passwortwiederverwendung) gehören zu den drei wirksamsten Maßnahmen.

Lieferanten. Ein Vertrag mit einem Auftragsverarbeiter braucht eine Klausel zur Informationssicherheit, klar zugeordnete Rollen als Verantwortlicher und Auftragsverarbeiter sowie eine interne Meldefrist, die zu Ihren drei Arbeitstagen passt.

Praktische Checkliste

Vorher (dauerhafte Aufstellung)

• Encarregado benannt, Kontakt auf der Website veröffentlicht, ohne Interessenkonflikt und mit direktem Zugang zur Unternehmensleitung
• Verzeichnis der Verarbeitungstätigkeiten (Art. 37) aktuell gehalten — daraus stammt die “Gesamtzahl der betroffenen Personen” aus Punkt 12
• Eine Karte, wo sensible Daten, Finanzdaten, Authentifizierungsdaten und Daten von Kindern, Jugendlichen und älteren Menschen liegen
• Schriftliche Richtlinie zur Informationssicherheit, regelmäßig überprüft
• MFA, geringste Rechte und regelmäßige Überprüfung der Berechtigungen
• Verschlüsselung in Übertragung und im Ruhezustand, mit Schlüsselverwaltung
• Audit-Trail über Authentifizierung, Zugriff, Änderung und Export — mit einer Aufbewahrung, die zu den fünf Jahren des Art. 10 passt
• Getestete Sicherungen, offline oder mit nicht synchronisierter Kopie
• Sicherheitsklauseln und Meldefristen in den Verträgen mit Auftragsverarbeitern
• Schulungen und ein interner Kanal zur Meldung von Vorfällen und Schwachstellen

Währenddessen (die ersten drei Arbeitstage)

• Bestätigen, dass ein nachteiliges Ereignis vorlag und dass personenbezogene Daten betroffen sind — hier beginnt die Uhr
• Eindämmen und Beweise sichern (keine Protokolle löschen, um die Umgebung zu “säubern”)
• Den Test des Art. 5 anwenden: Beeinträchtigt es Rechte erheblich und betrifft es eines der sechs Kriterien?
• Den Encarregado einbinden und die 12 Felder des Art. 6 § 2 zusammentragen
• Im SEI!ANPD einreichen, mit Nachweis der Vertretungsbefugnis — vorläufig, falls nötig
• Die betroffenen Personen in einfacher Sprache individuell unterrichten, mit Empfehlungen zur Schadensminderung
• Lassen sich nicht alle identifizieren, in einem breit erreichbaren Kanal veröffentlichen und 3 Monate stehen lassen

Danach

• Die Meldung binnen 20 Arbeitstagen begründet ergänzen
• Die Erklärung über die Unterrichtung der betroffenen Personen zu den Akten reichen
• Den Vorfall mit den 8 Punkten des Art. 10 dokumentieren — auch dann, wenn Sie sich gegen eine Meldung entschieden haben
• Post-mortem mit Ursachenanalyse und dokumentierten Abhilfemaßnahmen (unmittelbares Gewicht bei der Sanktionsbemessung)
• Den Folgenbericht und die betroffenen Kontrollen neu bewerten

Wo eine Plattform hilft — und wo nicht

Ein Werkzeug ersetzt kein Governance-Programm, benennt Ihren Encarregado nicht und reicht nichts bei der ANPD für Sie ein. Was es leisten kann, ist die Strecke zwischen “wir haben etwas gefunden” und “wir haben die zwölf Felder ausgefüllt” zu verkürzen. Bei OODA Intelligence sind es diese Bausteine, die diesen Ablauf berühren:

• Audit & Compliance — mehr als 50 Ereignistypen (Authentifizierung, Datenzugriff, Konfigurationsänderungen, Vorfälle), konfigurierbare Aufbewahrung, Integritäts-Hash-Chain und unveränderlicher Export (WORM).
• Users & Access — RBAC je Modul und Aktion, MFA (TOTP, WebAuthn, SMS), SSO über SAML 2.0/OIDC und Access Reviews.
• Incident Management — Lebenszyklus der Reaktion mit unveränderlicher Zeitleiste und verschlüsselten Anhängen, nützlich, um die Dokumentation nach Art. 10 zu erzeugen.
• Trennung je Organisation und Verschlüsselung sensibler Felder, wie auf unserer LGPD-Seite beschrieben.

Der Rest — die Kartierung der Verarbeitungen, die Rechtsgrundlagen, die Verträge mit Auftragsverarbeitern, die Entscheidung über eine Meldung — bleibt menschliche Arbeit.

Amtliche Quellen

Jeder Artikel, jede Frist und jeder Betrag in diesem Beitrag wurde am amtlichen Text geprüft:

• Gesetz Nr. 13.709/2018 (LGPD) — Planalto
• Gesetz Nr. 15.352/2026 — Errichtung der Agência Nacional de Proteção de Dados (Art. 55-A der LGPD)
• Resolution CD/ANPD Nr. 15/2024 — Verordnung über die Meldung von Sicherheitsvorfällen (Amtsblatt DOU)
• Resolution CD/ANPD Nr. 18/2024 — Verordnung über die Tätigkeit des Encarregado (Amtsblatt DOU)
• Resolution CD/ANPD Nr. 2/2022 — Verordnung für kleine Verarbeitungsakteure (Amtsblatt DOU)
• Resolution CD/ANPD Nr. 4/2023 — Verordnung über die Bemessung und Anwendung verwaltungsrechtlicher Sanktionen
• ANPD — Meldung von Sicherheitsvorfällen (Verfahren und häufige Fragen)
• ANPD — Leitfaden zur Informationssicherheit für kleine Verarbeitungsakteure
• ANPD — Leitfaden zur Tätigkeit des Encarregado
• ANPD — Veröffentlichte Verordnungen (amtliche Liste)

Verwandte Beiträge

// Fachbeiträge

Fachbeiträge

Threat Intelligence im Unternehmen: Arten, Zyklus und Kennzahlen

10.03.2026→

// Neuigkeiten

Neuigkeiten

Willkommen im Blog von OODA Intelligence

01.03.2026→