frag.hugo – Compliance für Chefs

Datenpanne: Was Sie binnen 72 Stunden melden müssen

Thu, 12 Nov 2026 23:05:00 GMT

Datenpanne: Was Sie binnen 72 Stunden melden müssen und wie Sie Ihren Meldeweg sauber aufsetzen. Danach ordnen Sie Fehlversand, verlorenen Laptop und späte Dienstleister-Meldung sicher ein. Mit dem Datenpannen-Ablauf im Hugo DSB erfassen, bewerten und dokumentieren Sie jeden Vorfall fristgerecht.

Kapitel
0:00 Worum es geht
1:21 Fall 1: Die Abrechnung beim Falschen
5:09 Fall 2: Der Laptop im Zug
7:12 Fall 3: Der Dienstleister meldet spät
9:58 Zum Mitnehmen

Zum Mitnehmen

Die 72 Stunden nach Art. 33 DSGVO laufen ab Kenntnis, auch übers Wochenende (Art. 3 VO 1182/71): eine Person mit Vertretung festlegen, bei der jeder Verdacht sofort landet.
Jeden Vorfall einordnen: nur dokumentieren (Art. 33 Abs. 5), an die Landesaufsicht melden (Art. 33 Abs. 1) oder zusätzlich Betroffene informieren (Art. 34) – Verschlüsselung erspart oft beides.
Im Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 Buchst. f) eine feste Frist für die erste Nachricht vereinbaren; die Risikobewertung bleibt beim eigenen Unternehmen.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.

Cyber Resilience Act: Was Hersteller seit September melden müssen

Mon, 09 Nov 2026 23:05:00 GMT

Cyber Resilience Act: Was Hersteller seit 11. September melden müssen und wie Sie Ihren Meldeweg in einer Woche sauber aufsetzen. Danach wissen Sie, wann die 24-Stunden-Frist startet und dass sie auch für längst verkaufte Maschinen gilt. Mit dem Meldeassistenten von Hugo Hersteller behalten Sie die Fristen jeder Meldung im Blick.

Kapitel
0:00 Worum es geht
1:34 Fall 1: Die alte Maschine beim Kunden
3:56 Fall 2: Freitagabend, Fremder im System
7:24 Fall 3: Angriff aufs eigene Netz
10:01 Zum Mitnehmen

Zum Mitnehmen

Meldepflicht gilt seit 11.09.2026 auch für Altprodukte (Art. 69 Abs. 3 CRA): Liste aller Maschinentypen mit Software oder Fernzugang samt EU-Lieferländern anlegen.
Festlegen, wer einen Verdacht sofort prüft und wann die Erstprüfung abgeschlossen ist – ab dann laufen 24 und 72 Stunden; Abschlussbericht 14 Tage nach verfügbarer Abhilfe, bei Vorfällen einen Monat nach der 72-Stunden-Meldung (Art. 14 Abs. 2 und 4 CRA).
Hauptperson und Vertretung mit EU-Login für die ENISA-Meldeplattform benennen; bei Angriffen aufs eigene Netz prüfen, ob Update-Server oder Signaturschlüssel betroffen sind (Art. 14 Abs. 5 CRA) – NIS2-Meldung nach § 32 BSIG läuft derzeit getrennt.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.

KI-Kompetenz nach Art. 4: Was jetzt noch Pflicht ist

Thu, 05 Nov 2026 23:05:00 GMT

KI-Kompetenz nach Art. 4: was nach dem Digital-Omnibus noch Pflicht ist und wie Sie Ihre Schulung schlank und nachweisbar aufsetzen. Danach kennen Sie die drei Schritte der Bundesnetzagentur und die Aufsichtspflicht ab 2. Dezember 2027. Mit Hugo KI von frag.hugo schulen Sie alle Mitarbeitenden nach Art. 4.

Kapitel
0:00 Worum es geht
1:41 Fall 1: Pflicht weg, Budget weg
4:36 Fall 2: Ein Video für alle
7:48 Fall 3: KI sortiert Bewerbungen
10:28 Zum Mitnehmen

Zum Mitnehmen

Schulungsbudget nicht streichen: Art. 4 KI-VO verlangt seit dem Omnibus Maßnahmen zur Förderung der KI-Kompetenz, kein garantiertes Niveau.
Liste anlegen, wer welches KI-Programm wofür nutzt (auch Externe), gestuft schulen, Betriebsrat einbinden (§§ 96–98 BetrVG), Inhalt, Dauer und Teilnehmer dokumentieren.
Bei KI in Bewerberauswahl oder Leistungsbewertung eine geschulte Aufsichtsperson mit Befugnis benennen; ab 2. Dezember 2027 grundsätzlich Pflicht nach Art. 26 Abs. 2 KI-VO (Übergangsregel Art. 111 Abs. 2 für vorher eingesetzte Systeme).

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. KI im Unternehmen sauber aufstellen, vom KI-Register bis zur Schulung nach Art. 4: Hugo KI.

ChatGPT Datenschutz und Copilot: der Check für Chefs

Mon, 02 Nov 2026 23:05:00 GMT

ChatGPT Datenschutz und Copilot: welche Konten Ihre Firmendaten schützen und wie Sie beides sauber freigeben. Danach kennen Sie die 72-Stunden-Frist bei abgeflossenen Kundendaten und wissen, welche Freigaben Sie vor Copilot prüfen. Mit dem kostenlosen Schatten-KI-Check von frag.hugo sehen Sie in acht Fragen, wo Sie stehen.

Kapitel
0:00 Worum es geht
0:50 Fall 1: Das private Gratiskonto
4:12 Fall 2: Copilot sieht zu viel
7:44 Fall 3: Namen weg, Problem weg?
10:30 Zum Mitnehmen

Zum Mitnehmen

Private ChatGPT-Konten durch Firmenkonten mit Vertrag nach Art. 28 DSGVO ablösen und den Ablauf für abgeflossene Kundendaten festlegen (Meldepflicht prüfen, möglichst binnen 72 Stunden).
Vor der Copilot-Lizenz zu weite Freigaben in SharePoint und Teams beheben; Websuche, Zusatzmodelle und Aufbewahrung mit den Administratoren klären.
Personendaten in Eingaben einplanen: Verzeichnis, Folgenabschätzung nach Art. 35 mit dem Datenschutzbeauftragten, USA-Datenschutzrahmen im Blick behalten.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. Datenschutz in guten Händen, mit TÜV-zertifiziertem Ansprechpartner: externer Datenschutzbeauftragter von frag.hugo.

EU AI Act: Welche Fristen jetzt gelten

Thu, 29 Oct 2026 23:05:00 GMT

EU AI Act Fristen: Was seit 2025 gilt, was der Digital-Omnibus verschoben hat und wie Sie daraus einen klaren Fahrplan machen. Danach kennen Sie die Hochrisiko-Frist 2. Dezember 2027 und wissen, was ab 20. Januar 2027 für KI in Maschinen gilt. Starten Sie mit dem KI-Register von frag.hugo, samt Einstufung nach Anhang III und Art.-4-Schulung.

Kapitel
0:00 Worum es geht
1:19 Fall 1: Alles verschoben?
4:47 Fall 2: Hochrisiko erst ab 2027
8:29 Fall 3: KI in der eigenen Maschine
11:05 Zum Mitnehmen

Zum Mitnehmen

Umsetzen, was schon gilt: keine Gefühlserkennung am Arbeitsplatz, Schulung nach Art. 4 nachweisen, Deepfakes kennzeichnen, Chat-Assistent gibt sich zu erkennen.
KI-Liste mit Zweck, Rolle, Risikostufe und Frist anlegen; allgemeine Chat-Programme nie für Bewerber- oder Leistungsentscheidungen einsetzen (Art. 25).
Lernende Sicherheitsfunktionen in Maschinen vor dem 20. Januar 2027 mit einer notifizierten Stelle klären; KI-Anforderungen folgen ab 2. August 2028.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. KI im Unternehmen sauber aufstellen, vom KI-Register bis zur Schulung nach Art. 4: Hugo KI.

Sicherheitsunterweisung: Pflichten des Arbeitgebers

Mon, 26 Oct 2026 23:05:00 GMT

Sicherheitsunterweisung ohne Lücken: Ihre Pflichten als Arbeitgeber und wie Sie Online-Teil und Meister vor Ort sauber kombinieren. Danach kennen Sie die Anlässe neben dem Jahrestermin, den Halbjahrestakt für Jugendliche und Ihr Risiko nach einem Unfall. Bei frag.hugo testen Sie die allgemeine Sicherheitsunterweisung und den Brandschutz kostenlos.

Kapitel
0:00 Worum es geht
1:09 Fall 1: Einmal im Jahr für alle
4:17 Fall 2: Video ansehen, Haken setzen
7:26 Fall 3: Delegiert und vergessen
11:22 Zum Mitnehmen

Zum Mitnehmen

Aus der Gefährdungsbeurteilung ableiten, wer welche Unterweisung braucht; Neue und Leiharbeiter vor dem ersten Handgriff, Jugendliche halbjährlich.
Allgemeines online, Arbeitsplatz durch den Meister vor Ort mit Rückfragen und Verständnisprobe; Gefahrstoffe mündlich und mit Unterschrift.
Meister schriftlich beauftragen, stichprobenartig kontrollieren und festhalten, wer wann von wem wozu unterwiesen wurde.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. Die jährliche Unterweisung online erledigen, mit Nachweis für jede Person: Hugo Safe.

KI-Richtlinie im Unternehmen: Was rein muss

Thu, 22 Oct 2026 22:05:00 GMT

KI-Richtlinie im Unternehmen: Was hineingehört und wie Sie sie mit Betriebsrat und Schulung in wenigen Wochen sauber einführen. Danach kennen Sie die drei Datenstufen, die Schulungspflicht nach Artikel 4 KI-Verordnung und die roten Linien bei Bewerbungen. Dazu: wie lang die Richtlinie sein sollte und wie Sie die Schulung nachweisen.

Kapitel
0:00 Worum es geht
1:01 Fall 1: Verbot ohne Alternative
3:57 Fall 2: Rundmail statt Einführung
6:56 Fall 3: KI entscheidet über Menschen
10:15 Zum Mitnehmen

Zum Mitnehmen

Ein bis zwei KI-Programme mit Firmenkonto und Vertrag freigeben, Training und Verlauf aus, Daten in grün, gelb und rot einteilen.
Betriebsrat vor dem Start einbinden und jede Rolle eine Stunde schulen, mit Liste als Nachweis nach Art. 4 KI-Verordnung.
Rote Linien festschreiben: keine KI-Letztentscheidung über Menschen, keine Emotionserkennung am Arbeitsplatz, Deepfakes kennzeichnen.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. KI im Unternehmen sauber aufstellen, vom KI-Register bis zur Schulung nach Art. 4: Hugo KI.

Externer Datenschutzbeauftragter: Ab wann Pflicht?

Mon, 19 Oct 2026 22:05:00 GMT

Externer Datenschutzbeauftragter oder interner: Ab wann ein Unternehmen nach Paragraf 38 Bundesdatenschutzgesetz und Artikel 37 DSGVO einen Datenschutzbeauftragten benennen muss. An drei typischen Fällen geht es um das richtige Zählen der zwanzig Personen, den Interessenkonflikt beim IT-Leiter und die Pflicht zur Meldung bei der Aufsichtsbehörde. Dazu: was die angekündigte Abschaffung der Zwanzig-Personen-Regel ändern würde und was nicht.

Kapitel
0:00 Worum es geht
0:53 Fall 1: Falsch gezählt
4:32 Fall 2: Der IT-Leiter macht das mit
7:56 Fall 3: Benannt, aber nur auf Papier
10:23 Zum Mitnehmen

Zum Mitnehmen

Neu zählen: Teilzeit, Azubis, Leiharbeit und freie Mitarbeiter gehören dazu; GPS-Ortung oder Fingerabdruck-Zutritt können die Pflicht unabhängig von der Zahl auslösen.
Keine Leitung als Beauftragter: Betriebsratsvorsitz scheidet wegen Interessenkonflikt aus, Geschäftsführung, IT-, Personal- und Marketingleitung in aller Regel ebenso – intern ohne Leitungsfunktion oder extern per Vertrag.
Bei der Landesbehörde melden, Kontaktdaten veröffentlichen und den Beauftragten vor jeder neuen Datenverarbeitung einbinden.

NIS2-Haftung: Was Geschäftsführer persönlich trifft

Thu, 15 Oct 2026 22:05:00 GMT

NIS2-Haftung für Geschäftsführer: Was Paragraf 38 BSIG von der Geschäftsleitung persönlich verlangt und wann sie mit eigenem Vermögen haftet. An drei typischen Fällen geht es um Delegation an die IT, Schadenersatz nach einem Cyberangriff sowie Bußgelder und Tätigkeitsverbot. Dazu: Schulungspflicht, Dokumentation und die Rolle der Manager-Haftpflichtversicherung.

Kapitel
0:00 Worum es geht
1:15 Fall 1: Die IT macht das schon
4:19 Fall 2: Der Angriff kostet Geld
7:19 Fall 3: Bußgeld und Tätigkeitsverbot
10:14 Zum Mitnehmen

Zum Mitnehmen

Delegieren ja, Verantwortung abgeben nein: Maßnahmen nach § 30 BSIG per Geschäftsführungsbeschluss billigen und die Umsetzung regelmäßig berichten lassen (§ 38 Abs. 1 BSIG).
Jedes Mitglied der Geschäftsleitung schulen lassen – mindestens alle drei Jahre; das BSI hält vier Stunden meist für zu wenig (§ 38 Abs. 3 BSIG).
Risiken, Entscheidungen, Berichte und Schulungsnachweise dokumentieren – im Haftungsfall nach § 43 GmbHG bzw. § 93 AktG ist das Ihr Beleg für Sorgfalt.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.

NIS2: Ist mein Unternehmen betroffen?

Mon, 12 Oct 2026 10:00:00 GMT

NIS2 betroffen oder nicht? In dieser Folge prüfen Geschäftsführer in drei Schritten, ob ihr Unternehmen unter das deutsche NIS2-Umsetzungsgesetz fällt: Sektor, Größe, Sonderfälle. Dazu typische Fälle aus Maschinenbau, Zulieferung, Lebensmittel und Logistik sowie die Pflichten danach: Registrierung, Risikomanagement, Meldefristen und Schulung der Leitung.

Kapitel
0:00 Worum es geht
1:08 Fall 1: Der Maschinenbauer
6:28 Fall 2: Der Zulieferer
8:44 Fall 3: Lebensmittel und Logistik
11:18 Zum Mitnehmen

Zum Mitnehmen

Sektor, Größe, Sonderfall prüfen: In den Sektoren der Anlagen 1 und 2 sind Sie ab 50 Beschäftigten oder je über 10 Mio. Euro Umsatz und Bilanzsumme wichtige Einrichtung, ab 250 Beschäftigten oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme in Anlage-1-Sektoren besonders wichtig.
Wer betroffen ist, registriert sich sofort beim BSI (Mein Unternehmenskonto + BSI-Portal), setzt die zehn Mindestmaßnahmen nach § 30 BSIG um, richtet den 24-Stunden-Meldeweg ein und schult die Geschäftsleitung.
Nicht betroffene Zulieferer können über die Verträge ihrer betroffenen Kunden mittelbar Anforderungen bekommen (Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG). Vorher prüfen, ob nicht doch eine gelistete Tätigkeit vorliegt, etwa Antriebselemente als Maschinenbau.

Zum Nachlesen: Transkript, Checkliste und Quellen auf der Folgenseite bei frag.hugo. In 2 Minuten wissen, ob NIS2 Ihr Unternehmen betrifft: kostenloser NIS2-Schnellcheck.