Kurz beantwortet

Was gehört in einen Incident Response Plan?

Ein Incident Response Plan legt fest, wer im Sicherheitsvorfall was tut. Er enthält Rollen und Entscheidungsbefugnisse, eine aktuelle Kontaktliste, Kriterien zur Einstufung von Vorfällen, Abläufe für Erkennung, Eindämmung, Beseitigung und Wiederherstellung, Regeln zur Beweissicherung, einen Kommunikationsplan sowie die Meldepflichten – etwa die Frühwarnung binnen 24 Stunden nach NISG 2026 und die Meldung an die Datenschutzbehörde binnen 72 Stunden nach DSGVO.

Ein Cybervorfall ist Stress pur: Systeme fallen aus, Kundinnen und Kunden rufen an, Entscheidungen müssen schnell fallen. Wer dann erst überlegt, wer zuständig ist, verliert wertvolle Stunden. Ein Incident Response Plan schafft Klarheit, bevor es ernst wird.

Die Phasen der Vorfallbehandlung

Bewährte Leitfäden wie NIST SP 800-61 gliedern die Reaktion in wiederkehrende Phasen:

  1. Vorbereitung: Rollen, Werkzeuge, Kontakte, Schulung und Übungen.
  2. Erkennung und Analyse: Was ist passiert? Wie groß ist die Auswirkung?
  3. Eindämmung: Betroffene Systeme isolieren, Ausbreitung stoppen.
  4. Beseitigung: Ursache entfernen, Schwachstellen schließen.
  5. Wiederherstellung: Systeme geprüft zurück in den Betrieb bringen.
  6. Nachbereitung: Lessons Learned, Maßnahmen ableiten, Plan aktualisieren.

Was im Plan stehen muss

Rollen und Entscheidungen

Wer leitet die Reaktion? Wer darf Systeme abschalten, wer entscheidet über externe Kommunikation? Benennen Sie für jede Rolle eine Vertretung.

Kontaktliste

  • Interne Ansprechpersonen inkl. Geschäftsführung
  • IT-Dienstleister und Sicherheitspartner
  • Cyber-Versicherung (Meldefristen der Polizze beachten)
  • Datenschutzbeauftragte bzw. -beauftragter
  • Cyber-Security-Hotline der WKO: 0800 888 133
  • Polizei und – als betroffene Einrichtung – das zuständige Computer-Notfallteam

Einstufung von Vorfällen

Definieren Sie, was ein „erheblicher“ Vorfall ist – etwa nach Ausfallzeit, betroffenen Daten oder finanziellem Schaden. Davon hängen Eskalation und Meldepflichten ab.

Meldepflichten

  • NISG 2026 (für betroffene Einrichtungen): Frühwarnung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden, Abschlussbericht innerhalb eines Monats. Gemeldet wird über „NIS 2 Services“ im USP. Details: Registrierung und Meldepflichten.
  • DSGVO: Verletzungen des Schutzes personenbezogener Daten sind in der Regel binnen 72 Stunden der Datenschutzbehörde zu melden.

Beweissicherung

Systeme nicht vorschnell neu aufsetzen oder ausschalten. Protokolle sichern, Zeitpunkte dokumentieren, betroffene Geräte isolieren – das ist Voraussetzung für Forensik und Versicherungsleistungen.

Kommunikation

Vorlagen für interne Information, Kundinnen und Kunden sowie Medien. Legen Sie fest, über welchen Kanal kommuniziert wird, falls E-Mail ausfällt.

Playbooks

Kurze Ablaufpläne für die häufigsten Szenarien: Ransomware, kompromittiertes E-Mail-Konto, Phishing-Klick, Datenverlust, Ausfall eines Dienstleisters.

Der Plan auf einer Seite

Ergänzend zum ausführlichen Dokument hat sich eine Notfallkarte bewährt: eine Seite mit den wichtigsten Telefonnummern, den ersten fünf Handgriffen und den Meldefristen. Ausgedruckt und an zentralen Stellen hinterlegt, ist sie auch dann verfügbar, wenn Systeme ausgefallen sind – und sie hilft allen Mitarbeitenden, im Ernstfall richtig zu reagieren.

Üben, üben, üben

Ein Plan, den niemand kennt, hilft nicht. Ein jährliches Planspiel mit der Geschäftsführung deckt Lücken auf – und macht die 24-Stunden-Frist nach NISG 2026 realistisch einhaltbar.

Fazit

Ein Incident Response Plan muss nicht dick sein, aber konkret. Er ist Pflichtbestandteil der NIS2-Risikomanagementmaßnahmen und sinnvoll für jedes Unternehmen. Für die Erkennung im laufenden Betrieb unterstützt Security Operations.