Was er enthält
- Den Anwendungsbereich und was als Vorfall gilt.
- Das Team, mit Vertretungen und Kontaktdaten, die außerhalb Ihrer Hauptsysteme aufbewahrt werden.
- Schweregrade und wer bei jedem gerufen wird.
- Die Schritte jeder Phase.
- Kommunikation nach innen, an Kunden, Aufsichtsbehörden und Presse: wer was sagt.
- Gesetzliche und vertragliche Fristen.
- Den Umgang mit Beweisen.
- Wie man abschließt und lernt.
Die Phasen
Revision 2 von NIST SP 800-61 (2012) beschrieb vier Phasen. Revision 3, veröffentlicht im April 2025, ersetzt sie und richtet die Reaktion auf Vorfälle an den Funktionen des NIST Cybersecurity Framework 2.0 aus. Die vier Phasen bleiben eine einfache Grundlage, um einen Plan zu schreiben:
- Vorbereitung: Werkzeuge, Kontakte, Schulung.
- Erkennung und Analyse: bestätigen, einstufen, dokumentieren.
- Eindämmung, Beseitigung und Wiederherstellung: stoppen, die Ursache entfernen, sicher wiederherstellen.
- Nachbereitung: prüfen, was geschehen ist, und sich verbessern.
Aufzunehmende gesetzliche Fristen
- DSGVO: 72 Stunden für die Meldung einer meldepflichtigen Datenpanne an die Behörde.
- NIS2: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- HIPAA: ohne unangemessene Verzögerung und innerhalb von 60 Kalendertagen.
- DORA: von den technischen Standards festgelegte Fristen für schwerwiegende IKT-Vorfälle.
Ihn testen
Führen Sie mindestens einmal im Jahr eine Planspielübung durch, mit der Leitung und der Person, die mit Kunden sprechen wird. Aktualisieren Sie den Plan mit dem, was Sie lernen, und nach jedem echten Vorfall.
Fragen
- Was unterscheidet ein Ereignis von einem Vorfall?
- Ein Ereignis ist etwas Beobachtetes, etwa eine fehlgeschlagene Anmeldung. Ein Vorfall ist ein Ereignis, das die Sicherheit beeinträchtigt oder bedroht und eine Reaktion erfordert.
- Wer sollte die Reaktion auf Vorfälle leiten?
- Ein benannter Incident Manager mit Vertretung, befugt, Entscheidungen wie das Abschalten eines Systems zu treffen.