A.5 Organisatorische Maßnahmen
Planung und Vorbereitung des Vorfallmanagements
Die Organisation muss das Management von Informationssicherheitsvorfällen planen und vorbereiten, indem sie Prozesse, Rollen und Verantwortlichkeiten für die Vorfallbehandlung festlegt.
Was fordert dieses Control?
Die Organisation muss das Management von Informationssicherheitsvorfällen planen und vorbereiten, indem sie Prozesse, Rollen und Verantwortlichkeiten für die Vorfallbehandlung festlegt.
Warum ist das wichtig?
Im Ernstfall ist keine Zeit für Improvisation. Vorbereitete Prozesse, Rollen und Eskalationswege entscheiden über Schadensbegrenzung und Meldefristen.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 1.6.1 | Direkt |
| BSI | DER.2.1 | Direkt |
Was der Auditor erwartet
- 1Dokumentierter Incident-Management-Prozess
- 2Definierte Rollen, Verantwortlichkeiten und Eskalation
- 3Meldewege und Fristen (NIS2/DSGVO) integriert
Audit-Checkliste
Dokumente
Incident-Response-Plan
Prozess, Rollen, Klassifizierung und Eskalation
Nachweise
Erreichbarkeit / Bereitschaft
Definierte Ansprechpartner und Notfallkontakte
Interviews
Incident-Verantwortliche
Kenntnis von Rollen und Abläufen
Praxis-Tipps zur Umsetzung
Rollen vorab klären
Wer entscheidet, kommuniziert und meldet, vor dem Ernstfall festlegen.
Fristen einbauen
NIS2- und DSGVO-Meldefristen direkt im Prozess verankern.
Üben
Den Plan mit Tabletop-Übungen auf Praxistauglichkeit prüfen.
Häufige Fehler
Plan ohne Rollen
Es ist unklar, wer im Vorfall was entscheidet.
Nie geübt
Der Plan existiert, wurde aber nie getestet.
Häufig gestellte Fragen
Was gehört in einen Incident-Response-Plan?
Rollen, Klassifizierung, Melde- und Eskalationswege, Kommunikations- und Wiederherstellungsschritte.
Muss der Plan geübt werden?
Ja, regelmäßige Übungen sind dringend empfohlen und stärken die Reaktionsfähigkeit.
Wie hängt das mit A.5.26 zusammen?
A.5.24 ist die Vorbereitung, A.5.26 die eigentliche Reaktion auf einen konkreten Vorfall.
So hilft CompliantDesk bei A.5.24
Das Vorfall-Modul bildet den gesamten Incident-Prozess ab, mit Rollen, Klassifizierung, NIS2-/DSGVO-Fristen und automatischer Eskalation.