Die NIS2-Richtlinie sieht einen mehrstufigen Ansatz für die Meldung signifikanter Vorfälle vor, wobei der Schwerpunkt sowohl auf Schnelligkeit als auch auf Vollständigkeit liegt. Für Organisationen, die ihren Compliance-Plan strukturieren, unterstützt der Service zur Anpassung an die NIS2-Richtlinie von ISGroup den gesamten Prozess, von der ersten Bewertung bis zur Umsetzung der erforderlichen Maßnahmen. Um den regulatorischen Rahmen besser zu verstehen, ist es hilfreich, zunächst zu klären, was das Hauptziel der NIS2-Richtlinie ist.

[Callforaction-NIS2]

Hier ist eine Zusammenfassung der Zeitpläne:

1. Frühwarnung (Innerhalb von 24 Stunden)

• Artikel 23, Absatz 4(a): Einrichtungen müssen eine Frühwarnung an ihr CSIRT oder die zuständige nationale Behörde “ohne ungebührliche Verzögerung, spätestens jedoch innerhalb von 24 Stunden” senden, nachdem sie von einem signifikanten Vorfall Kenntnis erlangt haben.
• Zweck: Die Frühwarnung dient dazu, die zuständigen Behörden schnell zu informieren, noch bevor eine vollständige Bewertung der Auswirkungen des Vorfalls möglich ist.
• Inhalt: Die Frühwarnung erfordert keine detaillierten Angaben, sollte jedoch, sofern zutreffend, Folgendes enthalten:
  • Verdächtige oder schädliche Aktivitäten: Wenn davon ausgegangen wird, dass der Vorfall das Ergebnis einer böswilligen Handlung ist.
  • Grenzüberschreitende Auswirkungen: Wenn der Vorfall Personen oder Organisationen in anderen Mitgliedstaaten beeinträchtigen könnte.
• Unterstützungsersuchen: Die Mitteilung der Kommission unterstreicht, dass die Übermittlung einer Frühwarnung es den betroffenen Einrichtungen ermöglicht, Unterstützung bei ihrem CSIRT oder der zuständigen Behörde anzufordern, was Hinweise zu Minderungsmaßnahmen oder operative Unterstützung umfassen kann. Die Modalitäten zur Benennung des CSIRT-Ansprechpartners für NIS-Subjekte sind in der italienischen Umsetzungsgesetzgebung festgelegt.

2. Vorfallsmeldung (Innerhalb von 72 Stunden)

• Artikel 23, Absatz 4(b): Im Anschluss an die Frühwarnung muss eine detailliertere Meldung des Vorfalls “ohne ungebührliche Verzögerung, spätestens jedoch innerhalb von 72 Stunden” nach Kenntniserlangung des Vorfalls übermittelt werden.
• Inhalt: Die Meldung sollte die in der Frühwarnung bereitgestellten Informationen erweitern und Folgendes enthalten:
  • Aktualisierte Informationen: Alle neuen Details, die seit der Übermittlung der Frühwarnung bekannt geworden sind.
  • Erste Bewertung: Eine vorläufige Einschätzung des signifikanten Vorfalls, einschließlich:
    • Schweregrad: Welche Auswirkungen hatte oder könnte der Vorfall auf die Einrichtung und potenziell betroffene Dritte haben?
    • Auswirkungen: Was sind die spezifischen Folgen des Vorfalls in Bezug auf Dienstunterbrechungen und potenzielle Schäden (finanziell, reputationsbezogen usw.)?
  • Indikatoren für eine Kompromittierung (IoC): Falls verfügbar, technische Details, die bei der Identifizierung der Quelle oder Art des Vorfalls helfen können, wie z. B. schädliche IP-Adressen oder Malware-Signaturen.

3. Zwischenbericht (Auf Anfrage)

• Artikel 23, Absatz 4(c): Das CSIRT oder die zuständige Behörde kann von der betroffenen Einrichtung Zwischenberichte anfordern, um Aktualisierungen zur Situation zu erhalten.
• Zweck: Dies ermöglicht es den Behörden, den Verlauf des Vorfalls zu überwachen, neu entstehende Risiken zu bewerten und bei Bedarf die Reaktionsmaßnahmen zu koordinieren.

4. Abschlussbericht (Innerhalb eines Monats)

• Artikel 23, Absatz 4(d): Ein vollständiger Abschlussbericht muss “innerhalb eines Monats” nach Übermittlung der ersten Vorfallsmeldung eingereicht werden.
• Inhalt: Der Abschlussbericht sollte eine detaillierte Beschreibung des Vorfalls enthalten, mit:
  • Detaillierte Beschreibung: Eine vollständige Erläuterung des Vorfalls, einschließlich Hauptursachen, verwendeter Techniken, betroffener Systeme und Chronologie der Ereignisse.
  • Schweregrad und Auswirkungen: Eine eingehende Analyse der Auswirkungen des Vorfalls, basierend auf der zuvor bereitgestellten ersten Bewertung.
  • Minderungsmaßnahmen: Eine Beschreibung der Maßnahmen, die ergriffen wurden, um den Vorfall einzudämmen, die Auswirkungen zu mindern und zukünftige ähnliche Ereignisse zu verhindern.
  • Grenzüberschreitende Auswirkungen: Falls zutreffend, ein detaillierter Bericht darüber, wie der Vorfall Personen oder Organisationen in anderen Mitgliedstaaten beeinflusst hat oder beeinflussen könnte.

5. Laufende Vorfälle

• Artikel 23, Absatz 4(e): Wenn ein Vorfall zum Zeitpunkt des Ablaufs der einmonatigen Frist für den Abschlussbericht noch andauert, muss die Einrichtung Folgendes bereitstellen:
  • Fortschrittsbericht: Ein Update zum aktuellen Status des Vorfalls und den laufenden Minderungsmaßnahmen.
  • Abschlussbericht (Innerhalb eines Monats nach Behebung): Sobald der Vorfall behoben ist, muss der Abschlussbericht innerhalb eines Monats eingereicht werden, wobei die gleiche Struktur und die gleichen inhaltlichen Anforderungen wie zuvor beschrieben einzuhalten sind.

Sonderfall: Vertrauensdiensteanbieter

• Artikel 23, Absatz 4 (letzter Absatz): Vertrauensdiensteanbieter haben aufgrund der Art ihrer Dienste strengere Meldefristen für signifikante Vorfälle, die ihre Kerndienste betreffen. Sie müssen ihr CSIRT oder die zuständige Behörde “ohne ungebührliche Verzögerung, spätestens jedoch innerhalb von 24 Stunden” nach Kenntniserlangung des Vorfalls informieren. Diese Angleichung folgt den Zeitplänen für die Frühwarnung, die für andere Einrichtungen vorgesehen sind.

Kernpunkte:

• Mehrstufigkeit: Der Meldeprozess gemäß NIS2 ist iterativ und erfordert, dass Einrichtungen Informationen in aufeinanderfolgenden Phasen bereitstellen, beginnend mit einer schnellen ersten Warnung und endend mit einem vollständigen Abschlussbericht.
• Fokus auf Aktualität: Die strengen Meldefristen unterstreichen die Bedeutung eines schnellen Handelns als Reaktion auf signifikante Vorfälle.
• Gleichgewicht zwischen Schnelligkeit und Detailtiefe: Während erste Meldungen der Geschwindigkeit Priorität einräumen, legen spätere Berichte einen stärkeren Fokus auf eine detaillierte Analyse und gewonnene Erkenntnisse.
• Unterstützung von Kooperation und Reaktion: Die Meldeanforderungen dienen nicht nur der Information der Behörden, sondern auch der Erleichterung der Zusammenarbeit, der Koordinierung von Reaktionsbemühungen und der Verbesserung der allgemeinen Cybersicherheitslage. Der vollständige Text der Verpflichtungen kann im offiziellen Dokument der NIS2-Richtlinie eingesehen werden.

[Callforaction-NIS2-Footer]