INCIDENT-RESPONSE-PLAN (PLAN ZUR VORFALLBEHANDLUNG)
Muster nach ISO/IEC 27001 und NIS2

Bereitgestellt von CompliantDesk (Corelead GmbH).
Hinweis: Muster zur Orientierung, keine Rechtsberatung. Passen Sie die
[Platzhalter], Rollen und Kontakte an Ihre Organisation an und üben Sie
den Plan regelmäßig.

Organisation:        [Name des Unternehmens]
Version / Stand:     [1.0 / Datum]
Verantwortlich:      [ISB / IT-Leitung]

========================================================================
1. Zweck und Geltungsbereich
========================================================================
Dieser Plan regelt das Erkennen, Melden, Bewerten, Eindämmen, Beheben
und Nachbereiten von Informationssicherheitsvorfällen. Er gilt für alle
Beschäftigten, Systeme und Standorte.

========================================================================
2. Rollen im Incident-Team
========================================================================
- Meldestelle / Erstkontakt: [Kontakt, E-Mail, Telefon]
- Incident-Verantwortliche/r (Leitung): [Name]
- IT / technische Analyse: [Name]
- Datenschutz: [Name]
- Kommunikation / Geschäftsführung: [Name]
- Externe Unterstützung (Forensik, Dienstleister): [Kontakt]

========================================================================
3. Klassifizierung (Schweregrade)
========================================================================
- Niedrig:  Geringe Auswirkung, kein Datenabfluss, lokal begrenzt.
- Mittel:   Spürbare Beeinträchtigung, Eingrenzung erforderlich.
- Hoch:     Erhebliche Beeinträchtigung, mögliche Meldepflicht.
- Kritisch: Schwere Störung, Datenabfluss, Meldepflicht wahrscheinlich.

========================================================================
4. Ablauf der Vorfallbehandlung
========================================================================
Schritt 1 - Erkennen und Melden
  Jede Person meldet ein Sicherheitsereignis unverzüglich an die
  Meldestelle. Erste Informationen werden dokumentiert (was, wann, wo).

Schritt 2 - Bewerten und Klassifizieren
  Das Incident-Team bewertet das Ereignis und stuft es als Vorfall ein
  (Schweregrad). Entscheidung über Eskalation und Meldepflichten.

Schritt 3 - Eindämmen
  Sofortmaßnahmen zur Begrenzung (z.B. Systeme isolieren, Konten sperren).
  Wichtig: Beweise sichern, bevor bereinigt wird.

Schritt 4 - Beheben
  Ursache beseitigen, Schadsoftware entfernen, Schwachstellen schließen.

Schritt 5 - Wiederherstellen
  Geordnete Wiederinbetriebnahme, Überwachung auf erneutes Auftreten.

Schritt 6 - Nachbereiten (Lessons Learned)
  Ursachenanalyse, abgeleitete Maßnahmen, Aktualisierung von Risiken und
  diesem Plan.

========================================================================
5. Meldefristen (WICHTIG)
========================================================================
NIS2 (an das BSI, sofern betroffen):
  - Frühwarnung:        binnen 24 Stunden
  - Vollständige Meldung: binnen 72 Stunden
  - Abschlussbericht:   binnen 1 Monat

DSGVO (bei Verletzung des Schutzes personenbezogener Daten):
  - Meldung an Aufsichtsbehörde: binnen 72 Stunden (Art. 33)
  - Benachrichtigung Betroffener bei hohem Risiko (Art. 34)

Prüfen Sie bei jedem Vorfall, welche Meldepflichten greifen, ggf. beide.

========================================================================
6. Kontakte und Meldewege
========================================================================
- Interne Meldestelle:        [...]
- Zuständige NIS2-Stelle/BSI: [...]
- Datenschutzaufsichtsbehörde: [...]
- IT-Dienstleister / Forensik: [...]
- Cyberversicherung:          [...]

========================================================================
7. Dokumentation
========================================================================
Jeder Vorfall wird mit Zeitleiste, Maßnahmen, Entscheidungen und
Meldungen dokumentiert. Vorlage je Vorfall:
  Vorfall-ID | Erkannt am | Schweregrad | Beschreibung | Maßnahmen |
  Meldung (ja/nein, wann) | Status | Abschluss

------------------------------------------------------------------------
Tipp: In CompliantDesk werden Vorfälle samt Klassifizierung, Zeitleiste
und Meldefristen automatisch nachverfolgt, statt manuell in einer Datei.