Zum Inhalt springen
Demo buchen
NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 2 BSIG

Bewältigung von Sicherheitsvorfällen

Sie brauchen einen Prozess, um Sicherheitsvorfälle zu erkennen, einzudämmen, zu beheben und aufzuarbeiten. NIS2 koppelt das an strenge Meldepflichten gegenüber dem BSI (§ 32 BSIG): frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat nach der 72-Stunden-Meldung.

NIS2§ 30 Abs. 2 Nr. 2, § 32 BSIGA.5.24A.5.26A.6.8

Warum diese Pflicht wichtig ist

Die Meldefristen sind die sichtbarste NIS2-Pflicht und werden von der Aufsicht aktiv kontrolliert. Ein vorbereiteter Incident-Prozess entscheidet darüber, ob Sie die 24-Stunden-Frist im Ernstfall einhalten können.

So setzen Sie die Pflicht um

  1. 01Incident-Response-Prozess mit Rollen und Eskalation definieren
  2. 02Schweregrade und Klassifizierung von Vorfällen festlegen
  3. 03Meldewege und Fristen (24h / 72h / 1 Monat) im Prozess verankern
  4. 04Erkennung und Monitoring aufsetzen, damit Vorfälle überhaupt auffallen
  5. 05Prozess regelmäßig üben (Tabletop-Übungen)
Diese Nachweise erwartet die Aufsicht
  • Dokumentierter Incident-Response-Plan
  • Vorfall-Register mit Zeitleiste und durchgeführten Meldungen
  • Nachweis von Übungen und Lessons Learned

Häufige Fehler

Fristen nicht eingeplantIm Vorfall wird erst gesucht, wer wann an wen melden muss. Die 24-Stunden-Frist ist dann kaum zu halten.
Nie geübtDer Plan existiert auf Papier, wurde aber nie durchgespielt und versagt im Ernstfall.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.5.24Planung und Vorbereitung des VorfallmanagementsA.5.26Reaktion auf InformationssicherheitsvorfälleA.6.8Meldung von Informationssicherheitsereignissen

Häufig gestellte Fragen

Welche Meldefristen gelten unter NIS2?
Nach § 32 BSIG eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.
Welche Vorfälle sind meldepflichtig?
Erhebliche Sicherheitsvorfälle, die den Betrieb der Dienste schwer beeinträchtigen oder beeinträchtigen können, etwa durch Ausfall oder Datenabfluss.
An wen wird gemeldet?
In Deutschland an das BSI über das dafür vorgesehene Meldeportal.
In CompliantDesk

Vorfallbewältigung & Meldepflicht mit CompliantDesk umsetzen

CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: Vorfälle · Incident-Response-Konzept · Meldefristen-Tracker. Starten Sie mit dem kostenlosen NIS2-Check.

NIS2-Check gratisDemo buchen

Verwandte NIS2-Pflichten

§ 30 Abs. 2 Nr. 3 BSIGBusiness Continuity & Backup§ 30 Abs. 2 Nr. 1 BSIGRisikoanalyse

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten