Ein zweiteiliger praktischer Leitfaden für IT-Führungskräfte in der EMEA-Region

Die Aussicht, dass Ihr Unternehmen böswillig ins Visier genommen wird, ist leider längst kein Einzelfall mehr, sondern eine alltägliche Realität, mit der jedes moderne Unternehmen konfrontiert ist. Unabhängig von Ihrer Größe oder Ihrem Profil werden Kriminelle jede Gelegenheit nutzen, um Ihr Unternehmen aus finanziellen Gründen als Geisel zu nehmen.

Im ersten Teil haben wir erörtert, wie die NIS2-Richtlinie der Geschäftskontinuität große Bedeutung beimisst und wie die richtigen Prozesse und Backup-Tools bei der Reaktion auf Ransomware und andere Cybersicherheitsvorfälle helfen können.

Ein weiterer entscheidender Aspekt jeder Sicherheitsmaßnahme ist jedoch die mögliche Meldepflicht gegenüber den Behörden. Im Folgenden gehen wir auf einige dieser Verpflichtungen ein.

Auch wenn es verlockend sein mag, der Behebung des Sicherheitsvorfalls Vorrang einzuräumen, beginnt der Countdown oft schon in dem Moment, in dem Sie feststellen, dass Ihre Systeme kompromittiert wurden. Die Fristen können sehr eng sein, sodass dies nicht erst während der Reaktion geklärt werden kann. Es muss als fester Bestandteil Ihrer Prozesse verankert sein, mit klaren Vorgaben dazu, wer die erforderliche Berichterstattung übernimmt.

Die Uhr tickt – es ist Zeit, den Vorfall zu melden

Man sollte unbedingt bedenken, dass man in manchen Fällen die zuständige Stelle innerhalb von 24 Stunden nach Feststellung eines Vorfalls benachrichtigen muss – in manchen Fällen sogar schon nach vier Stunden.

Hier finden Sie wichtige Rechtsvorschriften, die sich auf Ihre Organisation auswirken könnten.

DSGVO/Großbritannien DSGVO – 72 Stunden

Wer: Jeder für die Datenverarbeitung Verantwortliche, der seine Geschäftstätigkeit innerhalb der EU bzw. im Vereinigten Königreich ausübt.

Sollten Sie eine Sicherheitsverletzung feststellen, die ein Risiko für personenbezogene Daten darstellen könnte, muss die zuständige Behörde innerhalb von 72 Stunden nach Feststellung des Vorfalls benachrichtigt werden.

Dabei kann es sich um einen vorsätzlichen Angriff auf Ihre Systeme handeln, durch den Zugriff auf Kundendaten ermöglicht wurde, oder um einen zufälligen Vorfall, wie beispielsweise den Verlust einer Festplatte, auf der sich Daten befinden. Entscheidend ist, ob Einzelpersonen durch die Folgen nachteilig betroffen sein könnten.

Wenn Sie sich nicht sicher sind, ob Ihr Vorfall die Meldepflichtschwelle erreicht, sollten Sie den Countdown am besten trotzdem starten und auf Nummer sicher gehen. Halten Sie unbedingt alle Maßnahmen fest, die Sie im Rahmen Ihrer Reaktion ergreifen, und nehmen Sie dann unbedingt vor Ablauf der 72 Stunden Kontakt auf.

NIS2 – 24 Stunden

Wer: NIS2 ist eine EU-Richtlinie, die sich auf Unternehmen konzentriert, die als „kritisch“ oder „wichtig“ eingestuft werden, um Störungen in lebenswichtigen Sektoren und der Infrastruktur so gering wie möglich zu halten. Sie können jedoch indirekt betroffen sein, wenn Sie ein wesentlicher Bestandteil der Lieferkette eines Unternehmens sind, das unter die NIS2-Verordnung fällt.

Bei schwerwiegenden Datenschutzverletzungen muss innerhalb von 24 Stunden eine erste Meldung an das CSIRT (Computer Security Incident Response Team) des jeweiligen Mitgliedstaats erfolgen. Innerhalb von 72 Stunden muss dann eine vollständige Meldung des Vorfalls erfolgen, und innerhalb eines Monats ist ein vollständiger Bericht vorzulegen.

Wenn Sie als Dienstleister Teil der Lieferkette eines NIS2-Unternehmens sind, sind Sie nicht verpflichtet, einen Vorfall den Behörden zu melden; Sie sollten jedoch Ihren Kunden darüber informieren, wobei die Frist hierfür möglicherweise in Ihrem Vertrag festgelegt ist.

Auch das Vereinigte Königreich verfügt über eine eigene NIS-Verordnung, wonach jeder Vorfall, der erhebliche Auswirkungen auf die Erbringung der Dienstleistungen eines Unternehmens hat, innerhalb von 72 Stunden der ICO gemeldet werden muss.

DORA – 4 Stunden

Wer: Alle Finanzinstitute, die innerhalb der EU tätig sind. Dazu gehören (unter anderem) Banken, Versicherungen und Zahlungsinstitute. Ähnlich wie NIS2 über die in ihren Geltungsbereich fallenden Unternehmen hinausgehen kann, umfasst auch DORA kritische externe IT-Anbieter in ihrem Geltungsbereich.

Stellt ein Unternehmen, das den DORA-Vorschriften unterliegt, einen Verstoß fest, muss es innerhalb von 24 Stunden nach Feststellung eine Erstmeldung vornehmen. Wird der Vorfall nach einer Untersuchung jedoch als schwerwiegender Vorfall eingestuft, verkürzt sich die Meldefrist auf nur vier Stunden (bzw. auf die verbleibende Zeit innerhalb des 24-Stunden-Zeitraums).

Innerhalb von 72 Stunden ist dann ein Zwischenbericht fällig, und innerhalb eines Monats ein vollständiger Bericht.

Sonstige Rechtsvorschriften

Darüber hinaus gibt es weitere regionale Vorschriften, wobei Länder wie die Vereinigten Arabischen Emirate und Saudi-Arabien jeweils über ein eigenes Gesetz zum Schutz personenbezogener Daten (PDPL) verfügen. Dies unterstreicht, wie wichtig es ist, die Rechtsvorschriften der Länder zu kennen, in denen Sie tätig sind, und dass die Vorgehensweisen je nach Standort unterschiedlich ausfallen können.

Das potenzielle Dreigespann der Berichterstattung

Bei einigen Unternehmen kann es vorkommen, dass Sie einen Datenschutzverstoß an die Behörden gemäß dem „ DSGVO “, NIS2 und DORA melden müssen. Für jede dieser Behörden gelten unterschiedliche Meldewege und Fristen.

Dies unterstreicht die dringende Notwendigkeit klarer Abläufe mit eindeutigen Zuständigkeiten, aus denen hervorgeht, wer was wann zu tun hat. Die Folgen einer Nichtbeachtung könnten kostspielig sein.

Denken Sie daran: Die Behörden sind dazu da, Ihnen zu helfen.

Zwar können sie bei schwerwiegenden und weitreichenden Verstößen hohe Geldbußen verhängen, doch ist es wichtig, die zuständigen Behörden nicht ausschließlich als Vollzugsbehörden zu betrachten. Wenn Sie sie umgehend benachrichtigen, können sie Ihnen dabei helfen, mögliche Folgen zu bewältigen und Schäden zu begrenzen. In den Ländern der EU können die zuständigen Stellen zudem bei der grenzüberschreitenden Koordination helfen.

Wie die ICO im Zusammenhang mit Verstößen gegen das Gesetz über die elektronische Kommunikation ( DSGVO ) erklärt: „Es ist verständlich, wenn Sie sich Sorgen darüber machen, wie es nun weitergeht. Aber wir sind hier, um Ihnen zu helfen, zu verstehen, was passiert ist, und um zu verhindern, dass sich so etwas wiederholt.“

Das gehört alles zum Vorfallmanagement dazu

All diese Meldepflichten bilden den Kern eines effektiven Störungsmanagements. Sie sorgen dafür, dass alle Teammitglieder auf dem gleichen Stand sind, erleichtern eine schnelle Entscheidungsfindung und helfen dabei, den Fortschritt bei der Behebung der Störung zu verfolgen.

Wird ein Sicherheitsvorfall einer Behörde gemeldet, können Sie aufgefordert werden, Schritt für Schritt darzulegen, welche Maßnahmen Sie im Rahmen der Ermittlung und Behebung des Problems ergriffen haben. Möglicherweise werden Sie auch gebeten, Nachweise darüber vorzulegen, welche Maßnahmen Sie in den Monaten vor dem Vorfall ergriffen haben.

Daher benötigen Sie die richtigen Tools, um Prozesse und Systeme zu dokumentieren – und damit nicht nur nachzuweisen, dass Sie über die erforderlichen Daten verfügen, sondern auch, wie Sie diese zur Risikosteuerung in Ihrem Unternehmen nutzen. Erfahren Sie, wie IT Glue mit seinen leistungsstarken Dokumentationsfunktionen Ihnen dabei helfen kann, bei einem Vorfall angemessen zu reagieren.