Externer und regulatorischer Notify-Pfad
Externer und regulatorischer Notify-Pfad: Fristen, Inhalte, Freigabe und Evidenz — bevor die Uhr abläuft.
Externe und regulatorische Notices haben Fristen und Form. Wer den Pfad improvisiert, verliert Zeit und Evidenz.
Dieser Teil definiert den Notify-Pfad — auf Severity-Rechten und internem Pack aus den Teilen 2 und 3.
Anschluss an Quality-Proof Incidents, Governance Operations und AI Assurance.
Vorher: Internes Stakeholder-Comms-Pack. Weiter: Postmortem → Contract-/Control-Loop.
z.
Lösung: Für notify-pflichtige Lagen gelten ein Trigger-Katalog, eine Fristen-Uhr mit Owner, eine Inhalts-Checkliste mit Evidence-Anhängen, vorab dokumentierte Kanäle und Empfänger sowie ein zeitgestempeltes Comms-Log.
In einem Satz: Keine externe oder regulatorische Notice ohne Trigger, laufende Uhr, Freigabe, Evidence-Anhang und Einreichungsnachweis.
Entscheidung
Für notify-pflichtige Lagen gilt:
- Trigger-Katalog (Breach, AI-Harm, Partner, Meldepflicht);
- Fristenuhr mit Owner (Steward orchestriert, Data Owner + Legal freigeben);
- Inhalts-Checkliste und Evidence-Anhänge;
- Kanal und Empfänger vorab dokumentiert;
- Comms-Log mit Zeitstempeln.
Kein improvisiertes Mail von jedem — senden darf nur die benannte Authority.
Notify-Workflow
1. Trigger prüfen
Der Steward legt Custodian-Fakten gegen den Trigger-Katalog: Breach, AI-Harm, Partner-Pflicht, gesetzliche Meldepflicht. Data-Incidents brauchen Identifier- und Lineage-Felder; AI-Incidents zusätzlich Modell-/System-Scope und Klarheit zur personenbezogenen Exposition. „Wir updaten später“ ersetzt den Trigger nicht. Wird der Katalog erst unter Druck erfunden, startet die Uhr zu spät — oder gar nicht.
2. Uhr starten
Sobald der Trigger greift, macht der Steward Frist, Stellvertretung und Eskalationszeit sichtbar — nicht erst nach dem Wochenende. Data Owner und Legal sehen dieselbe Uhr wie der Incident-Channel. Eine geheime Frist ist keine Uhr. Wird der Start verschoben, verbrennt das Team Zeit und Evidence-Qualität, bevor der Entwurf existiert.
3. Entwurf und Freigabe
Legal/Privacy prüfen Form und Frist im Mandat; der Data Owner bestätigt die fachliche Lage gegen das interne Pack. Der Steward führt eine Inhalts-Checkliste (was bekannt war, wann, welche Anhänge). Mehrere Personen, die widersprüchlich senden, sind kein Entwurf. Fehlt die Freigabe, geht eine Slack-Vermutung an die Aufsicht — und das Pack intern sagt etwas anderes.
4. Senden und bestätigen
Der Steward sendet über den vorab dokumentierten Kanal an die benannten Empfänger und legt Empfangs- oder Einreichungsnachweis ab. Partner vor dem Regulator „informell“ zu briefen ohne Log spaltet die Kette. Ohne Nachweis ist die Notice eine Behauptung. Wird dieser Schritt übersprungen, kann niemand belegen, was wann rausging — nur das finale Pressezitat.
5. Follow-ups
Nachmeldungen sind versionierte Notices mit Bezug zur ersten Einreichung, nicht ein neuer Thread. Der Steward schreibt jede Ergänzung ins Comms-Log (Zeit, Inhalt, Freigeber). Unversionierte Follow-ups erzeugen zwei offizielle Texte. Wird die Versionierung vergessen, widerspricht die zweite Notice der ersten — und das Postmortem findet keinen Evidence-Trail.
Handoffs
| Von | An | Artefakt |
|---|---|---|
| Steward | Legal/Privacy | Trigger + Fakten |
| Legal | Data Owner | Formulierungs-/Fristenhinweis |
| Data Owner | Steward | Freigabe zum Senden |
| Steward | Regulator/Partner | Notify + Evidence |
| Steward | Evidence | Einreichungsnachweis |
Anti-Patterns
- Frist erst nach dem Wochenende starten
- Inhalt ohne Nachweis
- Mehrere Personen senden widersprüchlich
- Kein Empfangsnachweis
- Partner vor Regulator „informell“ briefen ohne Log
Umsetzung im Alltag
Dieser Einstieg ist kein Kalenderzwang und keine Leseliste. Nimm einen echten Fall, an dem sich die Entscheidung prüfen lässt.
Arbeitsweise: Nutze den verlinkten Plan als Arbeitsfläche für Owner, Termine und offene Punkte. Die fachliche Entscheidung muss trotzdem in der Story verständlich bleiben.
Starte mit dem kleinsten Fall, der fachlich wichtig genug ist. Prüfe danach, ob die Entscheidung wirklich auffindbar, umsetzbar und auditierbar ist. Rollenklärung: Wer hilft wem an der Quelle.
- Trigger-Katalog für Data/AI skizzieren (Breach, AI-Harm, Partner, Meldepflicht).
- Fristen, Freigeber und Stellvertreter auf einer Seite festhalten.
- Checkliste Inhalte/Anhänge anlegen und den Evidence-Ordner-Ort benennen.
- Tabletop: Uhr starten bis Einreichungsnachweis.
Crisis and incident communication
Part 4 of 5
View series