ISO 27001:2022 · A.6.8 · A.6 Personenbezogene Maßnahmen
Meldung von Informationssicherheitsereignissen
Die Organisation muss einen Mechanismus bereitstellen, über den Beschäftigte beobachtete oder vermutete Informationssicherheitsereignisse zeitnah über geeignete Kanäle melden können.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Die Organisation muss einen Mechanismus bereitstellen, über den Beschäftigte beobachtete oder vermutete Informationssicherheitsereignisse zeitnah über geeignete Kanäle melden können.
Warum ist das wichtig?
Je früher ein Ereignis gemeldet wird, desto geringer der Schaden. Niedrigschwellige, angstfreie Meldewege sind entscheidend, damit Vorfälle überhaupt erkannt werden.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 32 BSIG | Meldepflichten | Direkt |
| TISAX | 1.6.1 | Meldung von Ereignissen | Direkt |
| BSI | DER.2.1 | Behandlung von Sicherheitsvorfällen | Direkt |
Was der Auditor erwartet
- Definierter, bekannter Meldeweg für Sicherheitsereignisse
- Sensibilisierung der Mitarbeiter zur Meldepflicht
- Nachweis eingegangener und bearbeiteter Meldungen
Audit-Checkliste
Dokumente
Melderichtlinie / MeldewegeWer meldet was an wen, mit welcher Frist
Nachweise
Protokoll eingegangener MeldungenNachweis, dass der Kanal genutzt wird und reagiert wird
MeldestatistikAnzahl und Art gemeldeter Ereignisse über die Zeit
Reaktionszeiten auf MeldungenNachweis zeitnaher Bearbeitung eingegangener Meldungen
Interviews
Stichprobe MitarbeiterKennen sie den Meldeweg und wann sie melden müssen
Praxis-Tipps zur Umsetzung
Niedrigschwellig gestaltenEin einfacher Kanal (Mail, Button, Hotline) erhöht die Meldebereitschaft deutlich.
Keine SchuldkulturWer meldet, darf nicht bestraft werden, sonst werden Vorfälle verschwiegen.
Mit Awareness koppelnDen Meldeweg in jeder Schulung wiederholen, damit er präsent bleibt.
Melde-Button integrierenEin Phishing-Melde-Button direkt im Mailclient senkt die Hürde zur Meldung.
Häufige Fehler
Unbekannter MeldewegEin Prozess existiert, aber niemand weiß, wohin gemeldet werden soll.
Keine RückmeldungMeldende erhalten keine Reaktion und stellen das Melden ein.
Häufig gestellte Fragen
Worin unterscheidet sich Ereignis von Vorfall?
Ein Ereignis ist eine Beobachtung, die ein Vorfall sein könnte. Erst die Bewertung (A.5.25) entscheidet, ob es ein Vorfall ist.
Müssen auch Beinahe-Vorfälle gemeldet werden?
Ja, gerade Beinahe-Vorfälle liefern wertvolle Hinweise zur Verbesserung.
Kann anonym gemeldet werden?
Ein anonymer Kanal senkt die Hemmschwelle und ist je nach Kultur sinnvoll.
So hilft CompliantDesk bei A.6.8
Mitarbeiter melden Ereignisse direkt ins Vorfall-Modul, das Bewertung, Eskalation und NIS2-konforme Fristen automatisch nachverfolgt.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten