ISO 27001:2022 · A.5.24 · A.5 Organisatorische Maßnahmen
Planung und Vorbereitung des Vorfallmanagements
Die Organisation muss das Management von Informationssicherheitsvorfällen planen und vorbereiten, indem sie Prozesse, Rollen und Verantwortlichkeiten für die Vorfallbehandlung festlegt.
ISO 27001NIS2TISAXBSIDSGVO
Was fordert dieses Control?
Die Organisation muss das Management von Informationssicherheitsvorfällen planen und vorbereiten, indem sie Prozesse, Rollen und Verantwortlichkeiten für die Vorfallbehandlung festlegt.
Warum ist das wichtig?
Im Ernstfall ist keine Zeit für Improvisation. Vorbereitete Prozesse, Rollen und Eskalationswege entscheiden über Schadensbegrenzung und Meldefristen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Vorfallbehandlung | Direkt |
| TISAX | 1.6.1 | Incident Management | Direkt |
| BSI | DER.2.1 | Behandlung von Vorfällen | Direkt |
| DSGVO | Art. 33/34 | Meldung von Datenpannen | Direkt |
Was der Auditor erwartet
- Dokumentierter Incident-Management-Prozess
- Definierte Rollen, Verantwortlichkeiten und Eskalation
- Meldewege und Fristen (NIS2/DSGVO) integriert
Audit-Checkliste
Dokumente
Incident-Response-PlanProzess, Rollen, Klassifizierung und Eskalation
Nachweise
Erreichbarkeit / BereitschaftDefinierte Ansprechpartner und Notfallkontakte
Kommunizierter MeldewegEine überall bekannte Adresse oder Nummer für alle Beschäftigten
Tabletop-ÜbungsprotokolleDurchgeführte Übungen mit Erkenntnissen zur Praxistauglichkeit
Interviews
Incident-VerantwortlicheKenntnis von Rollen und Abläufen
Praxis-Tipps zur Umsetzung
Rollen vorab klärenWer entscheidet, kommuniziert und meldet, vor dem Ernstfall festlegen.
Fristen einbauenNIS2- und DSGVO-Meldefristen direkt im Prozess verankern.
ÜbenDen Plan mit Tabletop-Übungen auf Praxistauglichkeit prüfen.
Häufige Fehler
Plan ohne RollenEs ist unklar, wer im Vorfall was entscheidet.
Nie geübtDer Plan existiert, wurde aber nie getestet.
Nur online verfügbarKontaktliste und Plan liegen nur im Wiki, das bei IT-Ausfall nicht erreichbar ist.
Häufig gestellte Fragen
Was gehört in einen Incident-Response-Plan?
Rollen, Klassifizierung, Melde- und Eskalationswege, Kommunikations- und Wiederherstellungsschritte.
Muss der Plan geübt werden?
Ja, regelmäßige Übungen sind dringend empfohlen und stärken die Reaktionsfähigkeit.
Wie hängt das mit A.5.26 zusammen?
A.5.24 ist die Vorbereitung, A.5.26 die eigentliche Reaktion auf einen konkreten Vorfall.
So hilft CompliantDesk bei A.5.24
Das Vorfall-Modul bildet den gesamten Incident-Prozess ab, mit Rollen, Klassifizierung, NIS2-/DSGVO-Fristen und automatischer Eskalation.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten