NIS2-Vorfallmeldung, einfach erklärt
Zuletzt aktualisiert:
Die EU-Richtlinie NIS2 verlangt von vielen Organisationen, erhebliche Cybervorfälle nach einem festen Zeitplan an ihre nationale Behörde zu melden. Hier steht, was sie verlangt und wobei InfraFence dir hilft.
Betrifft es dich?
NIS2 erfasst mittlere und große Organisationen in Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur (Cloud, Hosting, Rechenzentren, DNS), verwaltete IT- und Sicherheitsdienste, öffentliche Verwaltung, verarbeitendes Gewerbe und digitale Dienste, dazu einige kleinere unabhängig von ihrer Größe, etwa DNS- und Vertrauensdiensteanbieter. Jedes EU-Land setzt sie mit einem eigenen Gesetz um und benennt eine eigene Behörde: Kläre es mit ihr oder deiner Beratung.
Was als erheblicher Vorfall gilt
Einer, der eine schwerwiegende Störung deiner Dienste oder finanzielle Verluste für dich verursacht hat oder verursachen kann, oder erheblichen Schaden bei anderen Personen oder Organisationen. Ob ein Vorfall erheblich ist, entscheidest du.
Drei Fristen
Innerhalb von 24 Stunden
Frühwarnung
Ab Kenntnis eines erheblichen Vorfalls: Melde, dass er eingetreten ist, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob er Auswirkungen in anderen Ländern haben könnte.
Innerhalb von 72 Stunden
Vorfallmeldung
Ergänze die Frühwarnung um eine erste Bewertung: wie schwer der Vorfall ist, seine Auswirkungen und, soweit vorhanden, die Kompromittierungsindikatoren. Die Behörde kann zwischendurch Statusberichte anfordern.
Innerhalb eines Monats
Abschlussbericht
Einen Monat nach der Meldung: eine ausführliche Beschreibung, die Art der Bedrohung oder die eigentliche Ursache, die getroffenen und laufenden Abhilfemaßnahmen und etwaige Auswirkungen in anderen Ländern. Dauert der Vorfall noch an, sendest du dann einen Fortschrittsbericht und den Abschlussbericht innerhalb eines Monats nach seiner Bewältigung.
Personenbezogene Daten betroffen? Art. 33 DSGVO
Ist der Vorfall auch eine Verletzung des Schutzes personenbezogener Daten, verlangt die DSGVO vom Verantwortlichen, sie innerhalb von 72 Stunden nach Bekanntwerden der Datenschutzaufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Beide Pflichten laufen nebeneinander, gegenüber verschiedenen Behörden.
Wie InfraFence hilft
Eine Zeitleiste, die du nicht rekonstruieren musst
Die Ereignisse deiner Server liegen bereits an einem Ort: wann der Angriff begann, was gesperrt wurde, wer sich per SSH angemeldet hat, welche Dateien sich geändert haben, und jede Aktion, von einer Person oder von AutoMode, mit Freigaben und Rücknahmen.
Entwürfe in Minuten, in deiner Sprache
Aus einem Vorfall oder einem Zeitraum entwirft die KI die Frühwarnung, die Vorfallmeldung und den Abschlussbericht sowie die Bewertung nach Art. 33 DSGVO, auf Basis dieser Zeitleiste. Enthalten in Pro und AutoMode.
Frei bearbeitbar
Jeder Entwurf lässt sich bearbeiten und wird in Versionen gespeichert. Exportiere ihn als Markdown oder drucke ihn als PDF, und ergänze, was nur du weißt: die geschäftlichen Auswirkungen, die Betroffenen, die getroffenen Entscheidungen.
Die getroffenen Maßnahmen, dokumentiert
NIS2 verlangt auch Risikomanagementmaßnahmen wie den Umgang mit Schwachstellen, Zugriffskontrolle und Protokollierung. Härtungsprüfungen, Schwachstellenscans, Zwei-Faktor-Authentifizierung, das Aktivitätsprotokoll, der Sicherheitswert und der Monatsbericht helfen dir zu zeigen, was auf deinen Servern umgesetzt ist.
Was InfraFence nicht tut
- Es entscheidet nicht, ob ein Vorfall erheblich ist oder gemeldet werden muss: Das entscheidest du.
- Es sendet nichts an eine Behörde: Du prüfst, ergänzt und reichst die Berichte selbst ein.
- Die Entwürfe sind keine Rechtsberatung und machen dich allein nicht konform.
- Es sieht nur, was der Agent auf deinen Servern sieht: Andere Systeme, Menschen und Lieferanten liegen bei dir.
Diese Seite ist eine einfache Zusammenfassung von Artikel 23 der Richtlinie (EU) 2022/2555 (NIS2) und Artikel 33 der Verordnung (EU) 2016/679 (DSGVO), nur zur Information. Die nationalen Gesetze unterscheiden sich im Detail: Maßgeblich für deine Pflichten sind die amtlichen Texte, deine nationale Behörde und deine Beratung.
Sei bereit, bevor die Uhr läuft
Starte kostenlos mit einem Server. Berichtsentwürfe gibt es mit Pro und AutoMode; jedes neue Konto bekommt 14 Tage AutoMode kostenlos, ohne Kreditkarte.