az ügyfél azt kérdezi, hogyan reagálunk egy kibertámadásra, hogyan válaszoljak

Incidens-reagálási terv: folyamat, nem csak dokumentum

Az incidens-reagálási tervről szóló kérdés arra vonatkozik, hogy a szervezet hogyan reagál, amint egy biztonsági incidenst azonosítanak: kit értesítenek, ki dönt az eszkaláció megkezdéséről, hogyan indítják el a helyreállítást, és hogyan értesítik az ügyfeleket vagy a felügyeleti hatóságokat. Egy forma gyakran magára a biztonsági dokumentumra — az incidens-reagálási tervre vagy az eljárásleírásra — kérdez rá, de a legtöbb beszerzési fél hallgatólagosan azt is megvizsgálja, hogy a tervet valaha is használták-e vagy tesztelték-e. Egy "igen, van egy tervünk" válasz anélkül, hogy valaha is lenne gyakorlat vagy valódi incidens, ténylegesen helyes, de gyenge; említse meg, hogy van egy eljárás, és mit tud erről bemutatni, például egy tesztjelentést vagy egy értékelést egy korábbi incidens után.

Ha formálisan tesztelt terv hiányzik, akkor az "nem" rövid magyarázattal jobb, mint egy kitöltött "igen" mögöttes dokumentum nélkül. Egyes ügyfelek kifejezetten az Önökhöz (a beszerzőhöz) irányuló értesítési határidőkre kérdeznek rá — ez egy szerződéses megállapodás, nem pedig automatikusan ugyanez a határidő, mint egy törvényi bejelentési kötelezettség. Ne keverjék össze ezt a kettőt a válaszban: amit az SLA-ban vállal az ügyfelének, az független az esetleges felügyeleti hatóság felé szükséges intézkedésektől. Ez a kérdés gyakran összekapcsolódik biztonsági incidensek kezelésének eljárásáhozval, és azzal a kérdéssel, hogy a helyreállítás és a vészhelyzeti ellátás jól van-e biztosítva a biztonsági másolatokon és egy vészhelyzetben működőképes intézményen keresztül — egy formátum ezt néha több, a dossziéban összetartozó kérdésre osztja szét.

Jogalap: a NIS2 21. cikk (2) bekezdése és a függelék A

Az incidenskezelés a NIS2-irányelv 21. cikk (2) bekezdésében önálló intézkedésként szerepel, a kockázatelemzés és az üzletmenet-folytonosság mellett — ez a tíz intézkedés egyike, amelyeket az irányelv megkülönböztet. Az ISO/IEC 27001 ezt a függelék A felügyeleti intézkedéseiben dolgozza ki, ahol az incidenskezelés önálló kategóriát alkot, amelynek követelményei az észlelésre, az elhárításra és az értékelésre vonatkoznak. A kiberbiztonsági törvény ezt a kötelezettséget beépíti a német jogrendszerbe, és várhatóan 2026. augusztus 15-én lép hatályba; addig az irányelvhez való igazodás maga az alapvetően kérdéses válasz alátámasztása.