ISO 27001:2022 · A.5.26 · A.5 Organisatorische Maßnahmen
Reaktion auf Informationssicherheitsvorfälle
Auf Informationssicherheitsvorfälle muss gemäß den dokumentierten Verfahren reagiert werden.
ISO 27001NIS2TISAXBSIDSGVO
Was fordert dieses Control?
Auf Informationssicherheitsvorfälle muss gemäß den dokumentierten Verfahren reagiert werden.
Warum ist das wichtig?
Eine strukturierte Reaktion begrenzt den Schaden, sichert Beweise und stellt den Normalbetrieb wieder her. Improvisation im Ernstfall verschlimmert die Lage oft.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | §§ 30, 32 BSIG | Vorfallreaktion und Meldung | Direkt |
| TISAX | 1.6.1 | Vorfallreaktion | Direkt |
| BSI | DER.2.1 | Behandlung von Vorfällen | Direkt |
| DSGVO | Art. 33/34 | Meldung von Datenpannen | Direkt |
Was der Auditor erwartet
- Reaktion gemäß definierten Verfahren
- Dokumentation der Vorfallbehandlung
- Einhaltung von Melde- und Kommunikationspflichten
Audit-Checkliste
Dokumente
ReaktionsverfahrenSchritte von Eindämmung bis Wiederherstellung
Nachweise
VorfalldokumentationBehandelte Vorfälle mit Zeitleiste und Maßnahmen
PlaybooksKonkrete erste Schritte für die wahrscheinlichsten Szenarien wie Ransomware oder Phishing-Welle
MeldenachweiseFristgerechte Meldungen an BSI und Datenschutzaufsicht
Interviews
Incident-TeamWie ein konkreter Vorfall abgewickelt wurde
Praxis-Tipps zur Umsetzung
Eindämmen vor BehebenZuerst Ausbreitung stoppen, dann Ursache beseitigen.
Zeitleiste führenAlle Schritte mit Zeitstempel dokumentieren, auch für Meldungen.
Beweise sichernVor Bereinigung relevante Spuren gemäß A.5.28 sichern.
Häufige Fehler
Vorschnell bereinigtSysteme werden neu aufgesetzt, bevor Beweise gesichert sind.
Keine DokuDer Ablauf wird nicht festgehalten, Meldungen und Lessons Learned leiden.
Ohne Versicherung gehandeltEigenmaßnahmen werden gestartet, obwohl die Cyber-Versicherung einen Anruf vor jeder Aktion verlangt.
Häufig gestellte Fragen
Was sind die ersten Schritte bei einem Vorfall?
Erkennen, eindämmen, bewerten, dann beheben und wiederherstellen, begleitet von Dokumentation und Meldung.
Wann muss gemeldet werden?
Nach NIS2 binnen 24 Stunden eine Erstmeldung, bei Datenpannen nach DSGVO binnen 72 Stunden an die Aufsicht.
Wie hängt das mit A.5.24 zusammen?
A.5.24 bereitet die Reaktion vor, A.5.26 ist die Umsetzung im konkreten Vorfall.
So hilft CompliantDesk bei A.5.26
Das Vorfall-Modul führt durch die Reaktion, dokumentiert die Zeitleiste, erinnert an Meldefristen und hält Maßnahmen nachweisbar fest.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten