Die NIS2-Richtlinie legt spezifische Anforderungen für Computer Security Incident Response Teams (CSIRT) fest, um eine hohe Verfügbarkeit ihrer Kommunikationskanäle zu gewährleisten. Diese Anforderungen konzentrieren sich auf Redundanz, Diversifizierung und eine klare Kommunikation mit den betroffenen Parteien.

Gemäß Artikel 11, Absatz 1(a) der NIS2-Richtlinie müssen CSIRTs:

• Ein hohes Maß an Verfügbarkeit ihrer Kommunikationskanäle gewährleisten: Dies unterstreicht die entscheidende Rolle einer zuverlässigen Kommunikation bei der Reaktion auf Vorfälle.
• Einzelne Ausfallpunkte (Single Points of Failure) vermeiden: CSIRTs sollten redundante Systeme und Verfahren implementieren, um zu verhindern, dass ein einzelner Ausfallpunkt die Kommunikation unterbricht. Dies könnte die Nutzung mehrerer Kommunikationskanäle, Backup-Systeme und diversifizierter Infrastrukturen umfassen.
• Verschiedene Möglichkeiten zur Kontaktaufnahme und zur Kommunikation mit anderen zu jeder Zeit bereithalten: CSIRTs sollten verschiedene Wege anbieten, damit Unternehmen Vorfälle melden, Unterstützung anfordern und Updates erhalten können. Dies könnte Telefonleitungen, E-Mail-Adressen, Webportale und dedizierte sichere Kommunikationsplattformen umfassen.
• Die Kommunikationskanäle klar angeben und bekannt machen: CSIRTs müssen ihrer Nutzerbasis und ihren Partnern klare und zugängliche Informationen über ihre Kommunikationskanäle zur Verfügung stellen. Diese Transparenz stellt sicher, dass Unternehmen wissen, wie sie das CSIRT im Falle eines Vorfalls kontaktieren können. Die Veröffentlichung kann über Websites, Sensibilisierungskampagnen und Foren für den Austausch mit Stakeholdern erfolgen.

Diese Anforderungen unterstreichen die Bedeutung einer robusten und resilienten Kommunikationsinfrastruktur für eine effektive Reaktion auf Vorfälle. Durch die Implementierung redundanter Systeme, diversifizierter Kommunikationskanäle und transparenter Kommunikationspraktiken können CSIRTs sicherstellen, dass sie erreichbar sind und Reaktionen auch während eines schwerwiegenden Cybersicherheitsvorfalls effektiv koordinieren können. Für Organisationen, die ihre Position im Hinblick auf diese Verpflichtungen überprüfen müssen, hilft ein strukturierter Weg zur NIS2-Anpassung dabei, die anwendbaren Anforderungen abzubilden und konkrete Maßnahmen festzulegen. Weitere Details zu den Verpflichtungen hinsichtlich der Benennung von CSIRTs finden Sie im Artikel zur Benennung des CSIRT-Ansprechpartners für NIS-Subjekte sowie in dem Artikel zur Unterscheidung zwischen Kontaktstelle und CSIRT-Ansprechpartner gemäß ACN-Bestimmung Nr. 333017/2025.

[Callforaction-NIS2-Footer]