Maßnahme 2: Bewältigung von Sicherheitsvorfällen.

Die zweite Mindestmaßnahme in § 30 Abs. 2 BSIG ist die „Bewältigung von Sicherheitsvorfällen“. Sie entspricht Art. 21 Abs. 2 Buchst. b der Richtlinie (EU) 2022/2555. Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Ihr Umfang richtet sich nach der Verhältnismäßigkeit gemäß § 30 Abs. 1 Satz 2 BSIG, ihre Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren.

Hinzu kommen die Meldepflichten aus § 32 Abs. 1 BSIG, die Art. 23 der Richtlinie umsetzen. Erhebliche Sicherheitsvorfälle sind an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe zu melden: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung mit der Angabe, ob ein böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden; spätestens innerhalb von 72 Stunden eine Meldung mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren; auf Ersuchen des BSI eine Zwischenmeldung; spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Dauert der Vorfall dann noch an, sieht § 32 Abs. 2 BSIG eine Fortschrittsmeldung vor und die Abschlussmeldung nach abschließender Bearbeitung.

Erheblich ist ein Vorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste und Managed Service Provider gelten die Kriterien der Durchführungsverordnung (EU) 2024/2690, deren technische Anforderungen nach § 30 Abs. 3 BSIG vorgehen. Das BSI empfiehlt Einrichtungen anderer Sektoren, einen Vorfall als erheblich anzusehen, wenn eines der Kriterien aus Art. 3 Abs. 1 der Verordnung erfüllt ist.

Nach § 35 Abs. 1 BSIG kann das BSI anordnen, dass Sie die Empfänger Ihrer Dienste über einen erheblichen Sicherheitsvorfall unterrichten. Betreiber kritischer Anlagen übermitteln nach § 32 Abs. 3 BSIG zusätzlich Angaben zur betroffenen Anlage und kritischen Dienstleistung.

Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Über die Meldung selbst hinaus sieht das BSI keine gesonderte Dokumentationspflicht für Meldungen vor, empfiehlt aber, sie zu dokumentieren und auszuwerten. Die Tabelle ist ein Vorschlag.

In Secani bildet der Katalog „NIS2 Deutschland“ § 30 Abs. 2 Nr. 2 BSIG als Anforderung DE-REQ-06 ab und die Meldepflichten aus § 32 BSIG als eigene Anforderungen DE-REQ-18 bis DE-REQ-22. Die vorgeschlagenen Controls decken Vorfallverfahren, Protokollierung und die einzelnen Meldestufen ab.

Vorfälle erfassen Sie im Register für Sicherheitsvorfälle mit Schweregrad und Status von gemeldet über untersucht, eingedämmt und wiederhergestellt bis geschlossen. Vorfallhandbuch, Übungsberichte und Meldebelege laden Sie als Nachweise hoch und verknüpfen sie mit dem passenden Control.

Für jedes Control legen Sie Verantwortliche und Reviewer fest. Jährliche Übungen und die Überprüfung der Kontaktliste planen Sie als wiederkehrende Aufgaben. Die Freigabe des Handbuchs läuft über Freigaben mit Vier-Augen-Prinzip und bleibt im Entscheidungsverlauf nachvollziehbar.