A.6 Personenbezogene Maßnahmen
Meldung von Informationssicherheitsereignissen
Die Organisation muss einen Mechanismus bereitstellen, über den Beschäftigte beobachtete oder vermutete Informationssicherheitsereignisse zeitnah über geeignete Kanäle melden können.
Was fordert dieses Control?
Die Organisation muss einen Mechanismus bereitstellen, über den Beschäftigte beobachtete oder vermutete Informationssicherheitsereignisse zeitnah über geeignete Kanäle melden können.
Warum ist das wichtig?
Je früher ein Ereignis gemeldet wird, desto geringer der Schaden. Niedrigschwellige, angstfreie Meldewege sind entscheidend, damit Vorfälle überhaupt erkannt werden.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 23 | Direkt |
| TISAX | 1.6.1 | Direkt |
| BSI | DER.2.1 | Direkt |
Was der Auditor erwartet
- 1Definierter, bekannter Meldeweg für Sicherheitsereignisse
- 2Sensibilisierung der Mitarbeiter zur Meldepflicht
- 3Nachweis eingegangener und bearbeiteter Meldungen
Audit-Checkliste
Dokumente
Melderichtlinie / Meldewege
Wer meldet was an wen, mit welcher Frist
Nachweise
Protokoll eingegangener Meldungen
Nachweis, dass der Kanal genutzt wird und reagiert wird
Interviews
Stichprobe Mitarbeiter
Kennen sie den Meldeweg und wann sie melden müssen
Praxis-Tipps zur Umsetzung
Niedrigschwellig gestalten
Ein einfacher Kanal (Mail, Button, Hotline) erhöht die Meldebereitschaft deutlich.
Keine Schuldkultur
Wer meldet, darf nicht bestraft werden, sonst werden Vorfälle verschwiegen.
Mit Awareness koppeln
Den Meldeweg in jeder Schulung wiederholen, damit er präsent bleibt.
Häufige Fehler
Unbekannter Meldeweg
Ein Prozess existiert, aber niemand weiß, wohin gemeldet werden soll.
Keine Rückmeldung
Meldende erhalten keine Reaktion und stellen das Melden ein.
Häufig gestellte Fragen
Worin unterscheidet sich Ereignis von Vorfall?
Ein Ereignis ist eine Beobachtung, die ein Vorfall sein könnte. Erst die Bewertung (A.5.25) entscheidet, ob es ein Vorfall ist.
Müssen auch Beinahe-Vorfälle gemeldet werden?
Ja, gerade Beinahe-Vorfälle liefern wertvolle Hinweise zur Verbesserung.
Kann anonym gemeldet werden?
Ein anonymer Kanal senkt die Hemmschwelle und ist je nach Kultur sinnvoll.
So hilft CompliantDesk bei A.6.8
Mitarbeiter melden Ereignisse direkt ins Vorfall-Modul, das Bewertung, Eskalation und NIS2-konforme Fristen automatisch nachverfolgt.