Incident-Response

Incident-Response umfasst alle organisatorischen und technischen Maßnahmen, mit denen eine Einrichtung auf Sicherheitsvorfälle reagiert. Der Prozess folgt typischerweise einem etablierten Phasenmodell, etwa dem des NIST (Preparation, Detection and Analysis, Containment/Eradication and Recovery, Post-Incident Activity) oder dem äquivalenten Vorgehen nach BSI-Standard 200-4. Ziel ist es, einen Vorfall frühzeitig zu erkennen, korrekt zu bewerten, einzudämmen, zu beseitigen und daraus zu lernen, um die Wahrscheinlichkeit und Auswirkung künftiger Vorfälle zu reduzieren.

Kernbestandteil einer wirksamen Incident-Response ist ein dokumentierter Incident-Response-Plan mit klaren Rollen, Eskalationswegen, Meldeketten und Kommunikationsvorgaben. Häufig wird ein dediziertes Computer Security Incident Response Team (CSIRT bzw. SOC) eingerichtet, das Vorfälle klassifiziert, forensisch untersucht und die Eindämmung koordiniert. Eng verzahnt ist die Incident-Response mit dem Notfall- und Business-Continuity-Management sowie mit Disaster-Recovery-Verfahren, damit auch bei schwerwiegenden Vorfällen die Verfügbarkeit kritischer Prozesse gewährleistet bleibt.

Regulatorisch gewinnt Incident-Response durch die NIS2-Richtlinie und ihre nationale Umsetzung erheblich an Bedeutung. Besonders wichtige und wichtige Einrichtungen müssen geeignete Maßnahmen zur Behandlung von Sicherheitsvorfällen vorhalten und unterliegen gestuften Meldepflichten gegenüber dem BSI: eine Frühwarnung binnen 24 Stunden, eine Vorfallsmeldung binnen 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Die Geschäftsleitung trägt die Verantwortung für die Umsetzung und Wirksamkeit dieser Maßnahmen, weshalb Incident-Response ein zentraler Baustein eines Informationssicherheits-Managementsystems (ISMS) ist.