Bewältigung von Sicherheitsvorfällen nach § 30 BSIG

NIS2 Incident Response: Sicherheitsvorfälle erkennen, bewältigen und melden

§ 30 BSIG verlangt Maßnahmen zur Bewältigung von Sicherheitsvorfällen (Incident Response), § 32 BSIG die Meldung erheblicher Vorfälle an das BSI binnen 24 Stunden, 72 Stunden und einem Monat.

  • 01Incident-Response-Plan mit Rollen, Eskalation und Playbooks
  • 02Erkennung durch Protokollierung, Überwachung und klare Meldewege intern
  • 03Fristgerechte Meldungen an das BSI mit vorbereiteten Inhalten
  • 04Geübte Abläufe und dokumentierte Nachbereitung
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Incident Response: was § 30 und § 32 BSIG verlangen

Die Bewältigung von Sicherheitsvorfällen ist die zweite der zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG (Art. 21 Abs. 2 lit. b NIS2). Besonders wichtige und wichtige Einrichtungen brauchen Prozesse, um Vorfälle zu erkennen, zu bewerten, einzudämmen, zu beheben und nachzubereiten. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG zu melden: frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Meldung mit erster Bewertung binnen 72 Stunden, auf Ersuchen Zwischenmeldungen und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung oder, wenn der Vorfall andauert, eine Fortschrittsmeldung. Je besser die Incident Response vorbereitet ist, desto sicherer gelingen die Meldungen.

Wir bewerten Ihre heutige Vorfallsbewältigung, entwickeln Incident-Response-Plan, Rollen und Playbooks, legen Kriterien für erhebliche Sicherheitsvorfälle und den Meldeweg über das BSI-Portal fest und üben den Ablauf mit IT, Geschäftsleitung und Kommunikation. Für die forensische Analyse im Ernstfall binden wir auf Wunsch qualifizierte Dienstleister ein, etwa aus der Liste des BSI. Die rechtlichen Einzelheiten der Meldung vertieft unsere Leistung NIS2 Meldepflicht.

2 Leistungsbausteine

Leistungsumfang

01

Incident-Response-Plan und Playbooks

Wir entwickeln Ihren Incident-Response-Plan mit Klassifizierung, Eskalationswegen, Playbooks für typische Szenarien und einem Meldeprozess, der die Fristen nach § 32 BSIG sicher einhält.

  • Klassifizierung und Priorisierung von Vorfällen, einschließlich Erheblichkeit nach BSIG
  • Strukturierte Eskalationsprozesse und Kommunikationswege
  • Einbindung in bestehende IT-Service-Management-Prozesse
  • Vorlagen für Erstmeldung, Folgemeldung und Abschlussmeldung
02

Aufbau von CSIRT und SOC

Wir unterstützen beim Aufbau eines Computer Security Incident Response Teams und eines Security Operations Centers, intern, ausgelagert oder als Mischform, passend zu Größe und Risiko Ihrer Einrichtung.

  • Organisationsmodell und Rollen für CSIRT und SOC
  • Auswahl und Einbindung der Werkzeuge
  • Arbeitsanweisungen für den Betrieb (SOPs)
  • Kennzahlen und kontinuierliche Verbesserung

5 Phasen

Unser Vorgehen

Wir bauen Ihre Incident Response in fünf Schritten auf, von der Bestandsaufnahme bis zur geübten und gemessenen Routine.

  1. Bestandsaufnahme der heutigen Vorfallsbewältigung

  2. Incident-Response-Prozesse und Meldeweg nach NIS2 gestalten

  3. Technische Lösungen und organisatorische Strukturen einführen

  4. Schulen, üben und Abläufe verbessern

  5. Kennzahlen festlegen und aus Vorfällen lernen

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Effektives Incident Handling ist das Rückgrat jeder Cybersecurity-Strategie. Mit NIS2 werden die Anforderungen nicht nur komplexer, sondern auch die Konsequenzen bei Versäumnissen drastischer. Unsere bewährten Methoden helfen Organisationen dabei, nicht nur compliant zu werden, sondern echte Cyber-Resilienz aufzubauen.
Expertenmeinung von ADVISORI

Unsere Expertise

  • 01Tiefgreifende Expertise in den NIS2-Anforderungen und in etablierten Standards der Cybersicherheit
  • 02Bewährte Methoden für wirksame Incident-Response-Prozesse
  • 03Erfahrung mit kritischen Infrastrukturen und regulatorischen Anforderungen
  • 04Ganzheitlicher Ansatz von Technologie bis zu organisatorischen Maßnahmen

Meldefrist beginnt mit Kenntniserlangung

Die 24-Stunden-Frist für die frühe Erstmeldung läuft ab dem Zeitpunkt, an dem Ihre Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Das BSI betont: Schnelligkeit vor Vollständigkeit, Angaben lassen sich mit Folgemeldungen ergänzen.

Weiterführend

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Incident Response

Welche Meldefristen gelten nach NIS2?

§ 32 BSIG (Art. 23 NIS2) sieht ein gestuftes Meldeverfahren vor: (1) frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls, mit dem Hinweis, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden; (2) Meldung spätestens nach 72 Stunden mit erster Bewertung von Schweregrad und Auswirkungen und gegebenenfalls Kompromittierungsindikatoren; (3) auf Ersuchen des BSI Zwischenmeldungen; (4) spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung mit Ursache, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen, bei andauerndem Vorfall eine Fortschrittsmeldung.

Wann ist ein Sicherheitsvorfall nach NIS2 meldepflichtig?

Meldepflichtig sind erhebliche Sicherheitsvorfälle. Nach § 2 Nr. 11 BSIG ist ein Vorfall erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für Cloud-, Rechenzentrums- und weitere digitale Anbieter gelten die Kriterien der Durchführungsverordnung (EU) 2024/2690; anderen Einrichtungen empfiehlt das BSI, sich an deren Artikel 3 Absatz 1 zu orientieren. Im Zweifel gilt: früh melden, Angaben lassen sich nachreichen.

An wen müssen NIS2-Vorfälle gemeldet werden?

In Deutschland melden besonders wichtige und wichtige Einrichtungen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK, praktisch über das BSI-Portal. Wer noch nicht registriert ist, nutzt das Online-Formular im Melde- und Informationsportal des BSI. Finanzunternehmen im Sinne von DORA melden nicht nach § 32 BSIG (§ 28 Abs. 6 BSIG), sondern nach DORA an die BaFin. Bei grenzüberschreitenden Vorfällen arbeitet das BSI mit dem europäischen CSIRT-Netzwerk zusammen.

Was muss eine NIS2-konforme Incident Response leisten?

Eine Incident Response, die NIS2 genügt, umfasst: Erkennung über Protokollierung und Überwachung, dokumentierte Eskalationswege, benannte Rollen, Kriterien zur Einstufung als erheblicher Vorfall, einen Meldeprozess an das BSI mit vorbereiteten Inhalten, Verfahren zu Eindämmung, Bereinigung und Wiederherstellung, Kommunikation mit Kunden und gegebenenfalls Strafanzeige sowie eine Nachbereitung mit umgesetzten Erkenntnissen. Alle Schritte sind nachvollziehbar zu dokumentieren.

Wie unterscheiden sich NIS2 und DSGVO Meldepflichten?

NIS2 und DSGVO haben sich überschneidende, aber verschiedene Meldepflichten. Die DSGVO (Art. 33) verlangt bei einer Verletzung des Schutzes personenbezogener Daten die Meldung an die Datenschutzaufsicht binnen 72 Stunden. Das BSIG verlangt die Meldung erheblicher Sicherheitsvorfälle an das BSI, auch wenn keine personenbezogenen Daten betroffen sind. Bei einem Angriff mit Datenabfluss gelten beide Pflichten gleichzeitig; beide Meldungen sollten parallel vorbereitet werden.

Welche typischen Fehler passieren bei der NIS2 Incident Response?

Häufige Fehler: (1) Der Vorfall wird zu spät als erheblich eingestuft, intern heruntergespielt, bis die 24-Stunden-Frist verstrichen ist. (2) Es fehlt ein Melde-Playbook; niemand weiß, was wann wohin gemeldet wird. (3) Die Dokumentation ist lückenhaft, es fehlen Nachweise für die Abschlussmeldung. (4) Die parallele DSGVO-Meldung wird übersehen. (5) Es gibt keine Übungen, der Ablauf wird erstmals im Ernstfall getestet.