Incident Response: Anforderungen im Framework-Vergleich
Incident Response gehört zu den fünf Themen, die jedes Framework verlangt. Die Pläne ähneln sich, die Meldefristen nicht. Hier ist der Vergleich.
Dieser Beitrag behandelt die 11 Frameworks, die ControlMapping zum Zeitpunkt der Erstellung zugeordnet hatte. Seitdem wurden DORA, CPS 234, Cyber Essentials am 2026-10-27 hinzugefügt; ihre Seiten und die Abdeckungsmatrix enthalten sie.
Incident Response ist Teil des gemeinsamen Kerns: Jedes Framework, das wir abbilden, verlangt es. Die Kernanforderung ist überall gleich: ein Plan, Personal, das seine Rollen kennt, und ein Weg, Vorfälle zu erkennen, einzudämmen, wiederherzustellen und daraus zu lernen. Die Unterschiede liegen beim Testen und vor allem bei wem Sie es melden müssen und wie schnell.
Wer was verlangt
| Framework | Incident Response | Verknüpfung |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | Themendefinition |
| ISO 27001 | A.5.24A.5.25A.5.26 | Crosswalk |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | Crosswalk |
| SOC 2 | CC7.4CC7.3 | Redaktionell |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | Crosswalk |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | Crosswalk |
| 800-53 | IR-4IR-8IR-2IR-3 | Crosswalk |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | Crosswalk |
| GDPR | Art.33(1)Art.33(5) | Redaktionell |
| NIS2 | 3.13.5 | Crosswalk |
| Essential Eight | ISM-1819 | Redaktionell |
Vollständige Details und die Begründung für jede Verknüpfung: Incident Response über Frameworks hinweg →
Der Plan
Jedes Framework erwartet eine dokumentierte Fähigkeit zur Reaktion auf Vorfälle: die Controls zu Planung, Bewertung und Reaktion auf Informationssicherheitsvorfälle nach ISO 27001 (A.5.24 bis A.5.26), die Bewertung und Reaktion auf Vorfälle nach SOC 2 (CC7.3, CC7.4), den Incident-Response-Plan nach PCI DSS (12.10.1), die Behandlung von Vorfällen nach CMMC (IR.L2-3.6.1), die Verfahren für Sicherheitsvorfälle nach HIPAA (§164.308(a)(6)) und die Richtlinie zur Vorfallbehandlung und Reaktion nach NIS2 (Punkte 3.1 und 3.5). Der Inhalt ist konsistent: Rollen, Schweregrade, Eskalation, Eindämmung, Beseitigung, Wiederherstellung und Lessons Learned.
Testen
PCI DSS ist das einzige Framework mit einer festen Frequenz: Plan mindestens jährlich prüfen und testen (12.10.2) und die Personen schulen, die ihn umsetzen (12.10.4). CMMC und SP 800-53 verlangen das Testen der Fähigkeit (IR.L2-3.6.3, IR-3) in einer von Ihnen festgelegten Frequenz. CIS fordert regelmäßige Übungen (17.7). ISO 27001 und SOC 2 erwarten Nachweise, dass der Plan funktioniert, ohne einen Zeitplan vorzugeben; ein jährliches Tabletop ist die übliche Antwort.
Meldefristen
Hier unterscheiden sich die Frameworks wirklich:
| Framework | Wem Sie es melden | Frist |
|---|---|---|
| NIS2 | CSIRT oder zuständige Behörde | Frühwarnung innerhalb von 24 Stunden; Meldung innerhalb von 72 Stunden; Abschlussbericht innerhalb eines Monats |
| DSGVO (GDPR) | Aufsichtsbehörde (Verletzungen des Schutzes personenbezogener Daten) | Innerhalb von 72 Stunden nach Kenntniserlangung (Artikel 33) |
| DSGVO | Betroffene Personen, wenn das Risiko für sie hoch ist | Unverzüglich (Artikel 34) |
| CMMC / DFARS | US-Verteidigungsministerium | Innerhalb von 72 Stunden gemäß DFARS-Klausel 252.204-7012 |
| HIPAA | Betroffene Personen (Breach Notification Rule) | Ohne unangemessene Verzögerung, spätestens nach 60 Tagen |
| PCI DSS | Zahlungsmarken und Acquirer | Gemäß den Verfahren der jeweiligen Marke (12.10.1) |
| ISO 27001, SOC 2 | Keine gesetzliche Frist | Ihr Plan und Ihre Verträge entscheiden |
Ein Vorfall kann mehrere Fristen gleichzeitig auslösen. Ein Ransomware-Angriff auf einen EU-Cloud-Anbieter, der personenbezogene Daten speichert und Kartenzahlungen abwickelt, könnte in derselben Stunde die Prozesse nach NIS2, DSGVO und den Zahlungsmarken starten.
Wichtigste Erkenntnisse
- Jedes Framework verlangt einen Incident-Response-Plan; der Inhalt ist konsistent.
- Die Meldefristen unterscheiden sich stark, von 24 Stunden bei NIS2 bis zu 60 Tagen bei HIPAA.
- Ein Vorfall kann mehrere Fristen auslösen; ein Koordinator sollte sie alle verantworten.
Was zu tun ist
- Einen Plan schreiben, der die strengsten inhaltlichen Anforderungen erfüllt, und jede für Sie geltende Meldepflicht mit Frist, Empfänger und Verantwortlichem auflisten.
- Festlegen, wer die Relevanz beurteilt. Die 24-Stunden-Frist nach NIS2 beginnt, sobald Sie von einem erheblichen Vorfall erfahren; die Entscheidung kann nicht bis Montag warten.
- Mindestens jährlich testen (die PCI-Regel ist ein guter Standard), einschließlich eines Szenarios außerhalb der Geschäftszeiten.
- Alle Vorfälle und Datenschutzverletzungen dokumentieren, ob gemeldet oder nicht: Die DSGVO verlangt das (Art. 33 Abs. 5), und jeder Auditor wird danach fragen.
Die Incident-Response-Themenseite listet jede Anforderung mit ihrer Quelle auf; das Thema Reporting behandelt die Meldung. Unser NIS2-Leitfaden geht ausführlicher auf das Meldeverfahren ein.
Fragen
Welche Meldefristen für Vorfälle gelten unter NIS2?
Eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Vorfall, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
Wie oft muss ein Incident-Response-Plan getestet werden?
PCI DSS verlangt eine Prüfung und einen Test mindestens jährlich (12.10.2). CMMC und SP 800-53 verlangen das Testen der Incident-Response-Fähigkeit (IR.L2-3.6.3, IR-3). ISO 27001 und SOC 2 erwarten Tests, überlassen die Frequenz jedoch Ihnen.
Legt ISO 27001 eine Meldefrist für Vorfälle fest?
Nein. ISO 27001 verlangt Vorfallmanagement, einschließlich der internen Meldung von Ereignissen und der Reaktion darauf, aber keine gesetzliche Meldefrist. Fristen ergeben sich aus Gesetzen (NIS2, DSGVO (GDPR)), Verträgen und branchenspezifischen Regeln.
Datenstand 2026-10-27: Die Zahlen in diesem Beitrag werden aus dem aktuellen Crosswalk berechnet und aktualisieren sich, sobald dieser geändert wird. Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Keine Compliance-Beratung.
Verwandte Beiträge
Analyse · 2026-10-27CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänztEin ISO-27001-ISMS deckt nahezu jeden Absatz der CPS 234 der APRA ab, dennoch ergänzt die APRA Pflichten des Vorstands, Zusicherungen durch Dritte und strenge Meldefristen.
Analyse · 2026-10-27Cyber Essentials vs. Essential Eight: Zwei nationale Baselines im VergleichDas britische Cyber Essentials und das australische Essential Eight zielen beide auf gängige Angriffe ab, decken aber unterschiedliche Bereiche ab. Was sich überschneidet, was nicht und warum.
Analyse · 2026-10-27DORA vs NIS2: Was ein NIS2-Programm bereits abdecktDORA und NIS2 teilen den größten Teil ihrer Sicherheitsinhalte, doch DORA ergänzt ein Register, Vertragsklauseln und bedrohungsorientierte Tests. Artikel für Artikel: Was sich übertragen lässt.