Fragebogen fragt, ob wir einen Incident-Response-Plan erstellt haben

Der Incident-Response-Plan ist eine der zehn Maßnahmen aus Artikel 21

Ja, dies ist ein erkennbarer Bestandteil: Artikel 21 Absatz 2 Buchstabe b der NIS2-Richtlinie nennt "incident handling" als eine der zehn erforderlichen Maßnahmen. Der Kunde fragt hier nicht nach einer vagen Bereitschaft, jemals etwas bei einem Hack zu tun, sondern nach einem dokumentierten Verfahren: wer meldet einen Vorfall, wer bewertet die Auswirkungen, wer entscheidet über Eskalation und Kommunikation, und innerhalb welcher Frist. Wenn dieses Verfahren existiert und schriftlich dokumentiert ist, ist dies eine bestätigende Antwort mit dem Dokument als Nachweis. Existiert es nicht oder lebt er nur in den Köpfen von Menschen, dann ist "nein" die ehrliche Antwort — ein halbherziges "ja" ohne zugrundeliegendes Dokument verursacht bei einer Prüfung mehr Schaden als ein nein mit einer Erläuterung, dass es sich noch in Entwicklung befindet.

Beachten Sie den Unterschied zur Frage nach Erkennung und Aufdeckung: Ein Incident-Response-Plan behandelt, was nach der Feststellung eines Vorfalls geschieht, nicht wie Schwachstellen gefunden werden — letzteres gehört zu dem Prozess zur Erkennung und Behebung von Schwachstellen. Einige Fragelisten stellen dies als separate Frage, andere verbinden ihn mit Kontinuität ("wie stellen Sie die Dienstleistung wieder her"), was ein anderes Thema ist und beantwortet wird über die Frage über Sicherungen und Notfallmaßnahmen. Es ist daher erforderlich, im Kettenverzeichnis Incident Response und Kontinuität als separaten Nachweis zu bewahren, auch wenn sie in der Praxis in einem Dokument enthalten sind.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 Buchstabe b der Richtlinie (EU) 2022/2555 nennt "incident handling" wörtlich als erforderliche Maßnahme neben den anderen neun aus diesem Absatz. In ISO/IEC 27001 findet sich dies in Annex A bei den Kontrollmaßnahmen zum Management von Informationssicherheitsvorfällen — wer bereits für einen anderen Zweck gemäß ISO 27001 zertifiziert ist hat diesen Nachweis vermutlich bereits vorliegen. Das Cybersicherheitsgesetz setzt Artikel 21 in niederländische Regeln um, tritt aber erst am 15. August 2026 in Kraft; bis dahin ist die Richtlinie selbst der Maßstab, an dem gemessen werden muss, ob dies bereits geregelt ist.