Verfahren zur Vorfallmeldung für die NIS2-Fristen von 24 und 72 Stunden

Artikel 23 der NIS2 legt drei Meldefristen für erhebliche Vorfälle fest. Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. ISO 27001 und die meisten Frameworks verlangen ein Vorfallmanagement, aber keines verpflichtet dazu, innerhalb dieser Frist eine Aufsichtsbehörde zu benachrichtigen. So erstellen Sie ein Verfahren, das dies leistet.

Die drei Berichte

Bericht	Frist	Inhalt
Frühwarnung	24 Stunden ab Kenntnisnahme	Ob der Vorfall vermutlich auf böswillige Aktivitäten zurückgeht und ob er grenzüberschreitende Auswirkungen haben könnte
Vorfallmeldung	72 Stunden ab Kenntnisnahme	Eine Aktualisierung, eine erste Bewertung von Schweregrad und Auswirkungen sowie Indikatoren für eine Kompromittierung, sofern verfügbar
Abschlussbericht	Ein Monat nach der Meldung	Detaillierte Beschreibung, wahrscheinliche Ursache, angewendete und laufende Maßnahmen, grenzüberschreitende Auswirkungen

Die Behörde kann auch Zwischenaktualisierungen anfordern. Ist der Vorfall nach einem Monat noch nicht abgeschlossen, reichen Sie einen Fortschrittsbericht ein und innerhalb eines Monats nach Abschluss der Bearbeitung den Abschlussbericht.

Schritt 1: „erheblich“ für Ihre Organisation definieren

Der Test in Artikel 23 Absatz 3 ist weit gefasst: schwere betriebliche Störungen oder finanzielle Verluste oder erheblicher Schaden für andere. Für bestimmte digitale Anbieter legt die Durchführungsverordnung spezifischere Kriterien fest. Übersetzen Sie diese in eine kurze Entscheidungscheckliste mit Beispielen, die Ihr Bereitschaftsleiter in wenigen Minuten anwenden kann, und halten Sie klar fest: Im Zweifel senden Sie die Frühwarnung.

Schritt 2: Zuständigkeiten festlegen

• Wer über die Erheblichkeit entscheidet (und eine Vertretung, zu jeder Uhrzeit).
• Wer die Meldung an das CSIRT oder die Behörde übermittelt, mit vorab getestetem Zugang zum Meldeportal.
• Wer den Inhalt freigibt, ohne dass die Freigabe zum Engpass wird. Eine Frühwarnung braucht wenig Detail.
• Wer die Geschäftsleitung informiert, die nach Artikel 20 verantwortlich ist.

Schritt 3: Anbindung an Ihren Vorfallprozess

Ergänzen Sie Ihren bestehenden Plan zur Reaktion auf Vorfälle um einen Entscheidungspunkt zur Meldepflicht: Fragen Sie bei der Triage „Könnte dies erheblich sein?“ und starten Sie dort das Fristenprotokoll. Halten Sie den Zeitpunkt der Kenntnisnahme sorgfältig fest; ab diesem Moment werden alle Fristen berechnet.

Schritt 4: Die übrigen Fristen abstimmen

Ein erheblicher Vorfall löst oft mehr als eine Pflicht aus:

• DSGVO (GDPR): Bei einer Verletzung personenbezogener Daten ist die Aufsichtsbehörde innerhalb von 72 Stunden zu benachrichtigen (Artikel 33).
• Verträge: Benachrichtigungsfristen gegenüber Kunden, oft 24 bis 72 Stunden.
• Weitere Regelwerke: Zahlungsmarken bei Kartendaten, branchenspezifische Aufsichtsbehörden und DORA für Finanzunternehmen.

Eine koordinierende Stelle sollte die Liste verantworten, damit keine Frist verpasst wird, weil ein anderes Team annahm, sie gehöre nicht zu seinem Bereich.

Schritt 5: Vorlagen und Übung

Bereiten Sie Vorlagen für alle drei Berichte mit den erforderlichen Feldern vor, mit Unternehmensangaben vorausgefüllt. Führen Sie danach mindestens einmal jährlich eine Übung durch, idealerweise an einem Freitagabend, und messen Sie die Zeit.

Ein Übungsszenario

Um das Verfahren zu testen, führen Sie eine kurze Übung wie diese durch, idealerweise spät an einem Freitag:

1. Stunde 0: Das Monitoring meldet ungewöhnliche Verschlüsselungsaktivität auf einem Dateiserver, der einen kundenseitigen Dienst unterstützt.
2. Stunde 2: Der Bereitschaftsingenieur bestätigt Ransomware auf mehreren Servern; der Dienst ist für einige Kunden beeinträchtigt.
3. Entscheidungspunkt: Ist dies erheblich? Wenden Sie Ihre Checkliste an und halten Sie Entscheidung und Zeitpunkt fest.
4. Vor Stunde 24: Reichen Sie mit der Vorlage eine Frühwarnung ein, die vermutlich böswillige Aktivität und mögliche grenzüberschreitende Auswirkungen nennt.
5. Vor Stunde 72: Reichen Sie die Meldung mit einer ersten Bewertung und Indikatoren für eine Kompromittierung ein.
6. Parallele Fristen: Löst die Verarbeitung personenbezogener Daten eine Meldepflicht nach DSGVO aus? Verlangen Verträge eine Benachrichtigung der Kunden?

Messen Sie jeden Schritt. Die Lücken, die Sie finden (wer hat Portalzugang, wer kann freigeben, wo liegen die Vorlagen), sind die eigentlichen Schwachstellen des Verfahrens.

Dokumentation aufbewahren

Protokollieren Sie jeden Vorfall, den Sie auf Erheblichkeit geprüft haben, einschließlich der Vorfälle, die Sie nicht gemeldet haben, mit der jeweiligen Begründung. Aufsichtsbehörden werden fragen, wie Sie entscheiden, nicht nur, was Sie gemeldet haben.

Die Themenseiten Incident Response und Reporting vergleichen Anforderungen über Frameworks hinweg, und der NIS2-Leitfaden behandelt den Rest der Richtlinie.

Fragen

Was gilt nach NIS2 als erheblicher Vorfall?

Nach Artikel 23 Absatz 3 ein Vorfall, der für die Einrichtung schwere betriebliche Störungen oder finanzielle Verluste verursacht hat oder verursachen kann oder der anderen erheblichen materiellen oder immateriellen Schaden zugefügt hat oder zufügen kann. Die Durchführungsverordnung legt spezifischere Schwellenwerte für bestimmte digitale Anbieter fest.

An wen melden Sie unter NIS2?

An das nationale CSIRT oder die zuständige Behörde, die nach dem NIS2-Gesetz Ihres Mitgliedstaats benannt ist. In einigen Ländern gibt es eine einzige Meldestelle.