Die Gefahr, dass Ihr Unternehmen zum Ziel böswilliger Angriffe wird, ist leider längst kein Einzelfall mehr, sondern eine alltägliche Realität, mit der jedes moderne Unternehmen konfrontiert ist. Unabhängig von Ihrer Größe oder Ihrem Profil werden Kriminelle jede Gelegenheit nutzen, um Ihr Unternehmen für finanzielle Gewinne als Geisel zu nehmen.
In part one we discussed how NIS2 legislation places a large importance on business continuity and how the right processes and backup tools can help in response to ransomware and other cybersecurity incidents.
Ein weiterer entscheidender Aspekt jeder Sicherheitsmaßnahme ist jedoch die mögliche Meldepflicht gegenüber den Behörden. Im Folgenden gehen wir auf einige dieser Verpflichtungen ein.
Auch wenn es verlockend sein mag, der Behebung des Sicherheitsvorfalls Vorrang einzuräumen, beginnt der Countdown oft schon in dem Moment, in dem Sie feststellen, dass Ihre Systeme kompromittiert wurden. Die Fristen können sehr knapp bemessen sein, sodass dies nicht erst während der Reaktion geklärt werden kann. Es muss als fester Bestandteil Ihrer Prozesse verankert sein, mit klaren Vorgaben dazu, wer die erforderliche Berichterstattung übernimmt.
Die Uhr tickt – es ist Zeit, den Vorfall zu melden
Man sollte unbedingt bedenken, dass man in manchen Fällen die zuständige Stelle innerhalb von 24 Stunden nach Feststellung eines Vorfalls benachrichtigen muss, in manchen Fällen sogar schon nach vier Stunden.
Hier finden Sie wichtige Rechtsvorschriften, die sich auf Ihre Organisation auswirken könnten.
DSGVO DSGVO 72 Stunden
Wer: Jeder für die Datenverarbeitung Verantwortliche, der in der EU bzw. im Vereinigten Königreich geschäftlich tätig ist.
Sollten Sie eine Sicherheitsverletzung feststellen, die ein Risiko für personenbezogene Daten darstellen könnte, muss die zuständige Behörde innerhalb von 72 Stunden nach Feststellung des Vorfalls benachrichtigt werden.
Das kann ein vorsätzlicher Angriff auf Ihre Systeme sein, durch den Zugriff auf Kundendaten ermöglicht wurde, oder ein zufälliges Ereignis, wie beispielsweise der Verlust einer Festplatte, auf der sich Daten befinden. Entscheidend ist, ob Einzelpersonen durch die Folgen beeinträchtigt werden könnten.
Wenn Sie sich nicht sicher sind, ob Ihr Vorfall die Meldepflicht erreicht, sollten Sie den Countdown am besten trotzdem starten und auf Nummer sicher gehen. Halten Sie unbedingt alle Maßnahmen fest, die Sie im Rahmen Ihrer Reaktion ergreifen, und nehmen Sie dann unbedingt vor Ablauf der 72 Stunden Kontakt auf.
NIS2 – 24 Stunden
Wer: NIS2 ist eine EU-Richtlinie, die sich auf Unternehmen konzentriert, die als „kritisch“ oder „wichtig“ eingestuft werden, um Störungen in lebenswichtigen Sektoren und der Infrastruktur so gering wie möglich zu halten. Sie können jedoch indirekt betroffen sein, wenn Sie ein wesentlicher Bestandteil der Lieferkette eines Unternehmens sind, das unter die NIS2-Verordnung fällt.
Bei schwerwiegenden Datenschutzverletzungen muss innerhalb von 24 Stunden eine erste Meldung an das CSIRT (Computer Security Incident Response Team) des jeweiligen Mitgliedstaats erfolgen. Innerhalb von 72 Stunden muss dann eine vollständige Meldung des Vorfalls erfolgen, und innerhalb eines Monats ist ein vollständiger Bericht vorzulegen.
Wenn Sie als Dienstleister in der Lieferkette eines NIS2-Unternehmens tätig sind, sind Sie nicht verpflichtet, einen Vorfall den Behörden zu melden; Sie sollten jedoch Ihren Kunden darüber informieren, wobei der dafür vorgesehene Zeitrahmen möglicherweise in Ihrem Vertrag festgelegt ist.
Auch das Vereinigte Königreich verfügt über eine eigene NIS-Verordnung, wonach jeder Vorfall, der erhebliche Auswirkungen auf die Erbringung der Dienstleistungen eines Unternehmens hat, innerhalb von 72 Stunden der ICO gemeldet werden muss.
DORA – 4 Stunden
Wer: Alle Finanzinstitute, die innerhalb der EU tätig sind. Dazu gehören (unter anderem) Banken, Versicherungen und Zahlungsinstitute. Ähnlich wie NIS2 über die unter seine Zuständigkeit fallenden Unternehmen hinausgehen kann, umfasst auch DORA kritische externe IT-Anbieter in seinem Anwendungsbereich.
Stellt ein Unternehmen, das der DORA-Gesetzgebung unterliegt, einen Verstoß fest, muss es innerhalb von 24 Stunden nach Feststellung eine Erstmeldung vornehmen. Wird der Vorfall nach einer Untersuchung jedoch als schwerwiegender Vorfall eingestuft, verkürzt sich die Meldefrist auf nur vier Stunden (oder den verbleibenden Zeitraum innerhalb des 24-Stunden-Fensters).
Innerhalb von 72 Stunden ist dann ein Zwischenbericht fällig, innerhalb eines Monats ein vollständiger Bericht.
Sonstige Rechtsvorschriften
Darüber hinaus gibt es weitere regionale Vorschriften, wobei Länder wie die Vereinigten Arabischen Emirate und Saudi-Arabien jeweils über ein eigenes Gesetz zum Schutz personenbezogener Daten (PDPL) verfügen. Dies macht deutlich, wie wichtig es ist, die Rechtslage in den jeweiligen Ländern, in denen Sie tätig sind, zu kennen, und dass die Vorgehensweisen je nach Standort unterschiedlich sein können.
Das potenzielle Dreigespann der Berichterstattung
Für manche Unternehmen kann es erforderlich sein, einen Verstoß bei den für DSGVO, NIS2 und DORA zuständigen Behörden zu melden. Für jede dieser Vorschriften gelten unterschiedliche Meldewege und Fristen.
Dies macht deutlich, wie wichtig es ist, über klare Abläufe zu verfügen, in denen genau festgelegt ist, wer wann welche Aufgaben übernimmt. Die Folgen einer Nichtbeachtung könnten kostspielig sein.
Denken Sie daran: Die Behörden sind dazu da, Ihnen zu helfen
Zwar können sie bei schwerwiegenden und weitreichenden Verstößen hohe Geldbußen verhängen, doch ist es wichtig, die zuständigen Behörden nicht ausschließlich als Kontrollinstanzen zu betrachten. Wenn Sie sie umgehend benachrichtigen, können sie Ihnen dabei helfen, mögliche Folgen zu bewältigen und Schäden zu begrenzen. In den Ländern der EU können die zuständigen Stellen zudem bei der grenzüberschreitenden Koordination behilflich sein.
Wie die ICO im Zusammenhang mit DSGVO erklärt: „Es ist verständlich, dass Sie sich Sorgen darüber machen, wie es weitergeht. Aber wir sind hier, um Ihnen zu helfen, zu verstehen, was passiert ist, und um zu verhindern, dass sich so etwas wiederholt.“
Das gehört alles zum Incident Management
All diese Meldepflichten bilden den Kern eines effektiven Störungsmanagements. Sie sorgen dafür, dass alle Teammitglieder auf dem gleichen Stand sind, erleichtern eine schnelle Entscheidungsfindung und helfen dabei, den Fortschritt bei der Behebung der Störung zu verfolgen.
Wird ein Sicherheitsvorfall einer Behörde gemeldet, können Sie aufgefordert werden, im Rahmen der Ermittlung und Behebung des Problems Schritt für Schritt darzulegen, welche Maßnahmen Sie ergriffen haben. Möglicherweise werden Sie auch gebeten, Nachweise darüber vorzulegen, welche Maßnahmen Sie in den Monaten vor dem Vorfall ergriffen haben.
Daher benötigen Sie die richtigen Tools, um Prozesse und Systeme zu dokumentieren – und damit nicht nur nachzuweisen, dass Sie über die erforderlichen Daten verfügen, sondern auch, wie Sie diese zur Risikosteuerung in Ihrem Unternehmen nutzen. Erfahren Sie, wie IT Glue Ihnen mit seinen leistungsstarken Dokumentationsfunktionen dabei helfen kann, bei der Bewältigung eines Vorfalls die richtige Vorgehensweise zu finden.
