Vorlage Richtlinie Umgang mit Sicherheitsvorfällen: erkennen, melden, behandeln

Das Dokument

Was Richtlinie Sicherheitsvorfälle regelt

Abschnitt 4 beschreibt anhand konkreter Beispiele, was als Vorfall gilt: Klick auf einen Link in einer verdächtigen E-Mail, unerwartete Aufforderung zur Bestätigung einer Anmeldung, verlorenes Notebook, Schadsoftware-Warnung, Fehlversand, Anrufe mit Fragen nach Zugangsdaten. Der Grundsatz lautet: Im Zweifel wird gemeldet, und die Einstufung nimmt die Meldestelle vor, nicht die meldende Person.

Gemeldet wird telefonisch oder persönlich, nicht allein per E-Mail. Das betroffene Gerät wird vom Netz getrennt, aber nicht ausgeschaltet, es wird nichts gelöscht und nicht auf eigene Faust nachgeforscht. Die Meldestelle bewertet jede Meldung innerhalb einer Frist, die Sie festlegen, und stuft sie als Niedrig, Mittel oder Hoch ein, jeweils mit Merkmalen, Entscheidungsbefugnis und Beispiel. Bei Stufe Hoch entscheidet die Geschäftsleitung.

Der Ablauf der Behandlung führt vom Eindämmen über das Sichern von Spuren und das Beseitigen der Ursache bis zur Wiederherstellung aus geprüften Sicherungen und zum Abschluss. Vorfälle der Stufen Mittel und Hoch werden innerhalb einer festgelegten Frist nachbereitet, die Maßnahmen gegen Wiederholung werden mit Verantwortlichen und Terminen festgehalten, und die Erkenntnisse fließen in die nächste Schulung ein.

Einsatz

Wofür Sie eine Richtlinie für Sicherheitsvorfälle brauchen

Im Lieferantenfragebogen will ein Kunde wissen, ob es einen geregelten Umgang mit Vorfällen gibt und wann er informiert wird. Abschnitt 7 regelt das: Sind Daten oder Systeme eines Kunden betroffen oder kann das nicht ausgeschlossen werden, wird der Kunde unverzüglich informiert, spätestens innerhalb der eingetragenen Frist, sofern vertraglich keine kürzere vereinbart ist. Die Information gibt die Geschäftsleitung frei.

Für personenbezogene Daten nennt die Vorlage die Frist des Art. 33 DSGVO von 72 Stunden ab Kenntnis und lässt die oder den Datenschutzbeauftragten prüfen, ob eine Meldung an die Aufsichtsbehörde nötig ist. Weitere Meldepflichten, etwa gegenüber der Cyberversicherung nach den Versicherungsbedingungen, prüft die Geschäftsleitung.

Im NIS2-Paket ist die Richtlinie dem Bereich Nr. 2 des § 30 Abs. 2 BSIG zugeordnet, Bewältigung von Sicherheitsvorfällen. Sie verbindet die Behandlung mit der Meldepflicht nach § 32 BSIG: Bei jedem Vorfall prüft die Meldestelle, ob ein erheblicher Sicherheitsvorfall vorliegt, und dokumentiert die Prüfung auch dann, wenn nicht gemeldet wird. Die Fristen von 24 Stunden, 72 Stunden und einem Monat nach der 72-Stunden-Meldung regelt der Meldeprozess, der ebenfalls im NIS2-Paket enthalten ist.

Die Fassungen in beiden Paketen

Die NIS2-Fassung (NIS-RL-04) lässt Meldungen unverzüglich und auch außerhalb der Geschäftszeiten bewerten, weil die Fristen des Meldeprozesses ab Kenntniserlangung laufen. Die Lieferantenaudit-Fassung (IS-RL-04) bewertet während der Geschäftszeiten. In der NIS2-Fassung ist Abschnitt 7 um die Prüfung ergänzt, ob ein erheblicher Sicherheitsvorfall im Sinne des BSI-Gesetzes vorliegt, und um die Regel, dass die Fristen der drei Meldewege nebeneinander laufen. Dazu kommt Anhang B zur ersten Prüfung der Meldepflicht. Für die Kontakte verweist die Lieferantenaudit-Fassung auf das Dokument Meldewege und Notfallkontakte, die NIS2-Fassung auf Krisenstab und Alarmierungsliste.