Der Kunde fragt, wie wir auf einen Cybervorfall reagieren, wie trage ich das ein

Incident-Response-Plan: Prozess, nicht nur Dokument

Die Frage zum Incident-Response-Plan befasst sich damit, wie die Organisation reagiert, sobald ein Sicherheitsvorfall erkannt wird: wer benachrichtigt wird, wer über eine Eskalation entscheidet, wie die Wiederherstellung eingeleitet wird und wie Kunden oder Aufsichtsbehörden benachrichtigt werden. Ein Format fordert oft nach dem Beweismittel selbst — dem Incident-Response-Plan oder der Verfahrensbeschreibung — aber die meisten beschaffenden Parteien prüfen implizit auch, ob der Plan je angewendet oder getestet wurde. Eine Antwort "ja, es gibt einen Plan" ohne dass je eine Übung oder ein tatsächlicher Vorfall stattgefunden hat, ist faktisch korrekt, aber schwach; geben Sie an, dass ein Verfahren vorhanden ist und was Sie darüber nachweisen können, wie einen Testbericht oder eine Bewertung nach einem früheren Vorfall.

Fehlt ein formal getesteter Plan, dann ist "nein" mit einer kurzen Erläuterung besser als ein ausgefülltes "ja" ohne zugrunde liegendes Dokument. Einige Kunden fragen speziell nach Meldungsfristen gegenüber ihnen als Abnehmer — das ist eine vertragliche Vereinbarung, nicht automatisch dieselbe Frist wie eine gesetzliche Meldepflicht. Verwechseln Sie diese beiden nicht in der Antwort: was Sie Ihrem Kunden in einem SLA zusichern, ist unabhängig davon, was möglicherweise gegenüber einer Aufsichtsbehörde erforderlich ist. Diese Frage hängt oft zusammen mit dem Verfahren zur Behandlung von Sicherheitsvorfällen, und mit der Frage, ob Wiederherstellung und Notfall gut geregelt sind über Back-ups und eine Notfallversorgung — ein Format teilt dies manchmal auf mehrere Fragen auf, die im Dossier zusammenhängen.

Rechtsgrundlage: Artikel 21 Absatz 2 NIS2 und Anlage A

Die Incident-Behandlung wird als separate Maßnahme in Artikel 21 Absatz 2 der NIS2-Richtlinie aufgeführt, neben Risikoanalyse und Geschäftskontinuität — es ist eine der zehn Maßnahmen, die die Richtlinie unterscheidet. ISO/IEC 27001 arbeitet dies in den Sicherheitsmaßnahmen der Anlage A aus, wo Incident Management eine eigene Kategorie mit Anforderungen an Erkennung, Reaktion und Bewertung darstellt. Das Cybersicherheitsgesetz setzt diese Verpflichtung in deutsches Recht um und tritt voraussichtlich am 15. August 2026 in Kraft; bis dahin ist die Einhaltung der Richtlinie selbst der Ausgangspunkt für die Begründung einer Antwort.