NIS 2 Vorfallsmelde-Schema

Kategorie der Meldung. Pflichtmeldung nur für erhebliche Sicherheitsvorfälle nach Art. 23(3) NIS 2; Beinahevorfälle und nicht erhebliche Sicherheitsvorfälle sind freiwillig nach Art. 30 NIS 2.

Erstbewertung des Schweregrades. Art. 23(4)(b) NIS 2 verlangt zur 72h-Meldung eine Erstbewertung von Schwere und Auswirkungen. CIR 2024/2690 quantifiziert die Schwellen für die dort erfassten Anbieter digitaler Dienste.

Verständliche Zusammenfassung des Vorfalls. Art. 23(4)(a) NIS 2 verlangt die frühe Warnung mit Hinweis darauf, ob der erhebliche Sicherheitsvorfall vermutlich rechtswidrig oder böswillig ist.

Wortlaut Art. 23(4)(d) NIS 2: Der Abschlussbericht muss eine ausführliche Beschreibung des Sicherheitsvorfalls einschließlich seiner Schwere und seiner Auswirkungen enthalten.

Art. 23(4)(a) NIS 2 verlangt im 24h-Frühwarnbericht die Angabe, ob der erhebliche Sicherheitsvorfall vermutlich durch rechtswidrige oder böswillige Handlungen verursacht wurde.

Art. 23(2) NIS 2: Wo zutreffend, hat die Einrichtung den Empfängern ihrer Dienste, die potenziell von einer erheblichen Cyberbedrohung betroffen sind, unverzüglich alle Maßnahmen oder Abhilfen mitzuteilen, die sie ergreifen können.

Verständliche Mitteilung an die Empfänger der Dienste über die Bedrohung und die empfohlenen Abhilfemaßnahmen. Pflicht, wenn customerNotificationRequired wahr ist.

Frühester bekannter Zeitpunkt des Vorfalls. Kann unbekannt sein, wenn die forensische Aufarbeitung noch läuft.

Zeitpunkt der Kenntniserlangung des erheblichen Sicherheitsvorfalls. Startet die 24h / 72h / 1m-Fristen nach Art. 23(4) NIS 2.

Zeitpunkt der Eindämmung und Behebung. Pflicht im Abschlussbericht nach Art. 23(4)(d) NIS 2.

Wortlaut Art. 23(4)(d)(ii) NIS 2: Der Abschlussbericht muss die Art der Bedrohung oder die wahrscheinliche Grundursache des Vorfalls angeben.

Schriftliche Analyse zur Untermauerung der Ursachenklassifikation. Wo die Analyse unvollständig ist, die plausibelste Hypothese und die zugrundeliegenden Belege angeben.

Einschätzung, ob es sich um einen gezielten Angriff (spezifisch gegen das Unternehmen oder den Sektor) oder einen ungezielten / opportunistischen Vorfall handelt.

Welche der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit der Vorfall beeinträchtigt hat. Art. 6 Nr. 6 NIS 2 definiert den 'erheblichen Sicherheitsvorfall' u. a. anhand dieser Eigenschaften.

Wortlaut Art. 23(4)(b) NIS 2: Die Folgemeldung (72h) muss 'eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie, sofern verfügbar, die Kompromittierungsindikatoren' enthalten. Beobachtbare Artefakte angeben — Datei-Hashes, IP-Adressen, Domains, URLs, Malware-Signaturen, Verhaltensmuster — die Verteidiger zur Erkennung derselben Bedrohung nutzen können. Wegen 'sofern verfügbar' nicht zwingend, sondern verfügbarkeitsabhängig; wenn die Forensik zum Meldezeitpunkt noch keine Indikatoren liefert, leer lassen.

Bereits ergriffene technische, organisatorische und operative Maßnahmen zur Eindämmung des Vorfalls. Pflicht zur Folgemeldung (72h) und Fortschreibung in späteren Berichten.

Wortlaut Art. 23(4)(d)(iii) NIS 2: Der Abschlussbericht muss die angewandten und laufenden Schadensbegrenzungsmaßnahmen beschreiben.

Wie der Vorfall erstmals erkannt wurde. Wird vom CSIRT verwendet, um systemische Detektionslücken sektorweit zu identifizieren.

Maßnahmen zur Vermeidung von Wiederholungsfällen. Trägt die in der ENISA TIG für den Abschlussbericht geforderte Lessons-learned-Schleife.

Geschätzte Anzahl betroffener Nutzer. CIR 2024/2690 quantifiziert Schwellen für die dort erfassten Anbieter digitaler Dienste; sonst ist die Einschätzung qualitativ nach Art. 6 Nr. 6 und Art. 23(3) NIS 2.

Beschreibung, welche Dienste (Betrieb, kundenseitig, intern) beeinträchtigt oder nicht verfügbar waren und wie lange. Art. 6 Nr. 6 NIS 2 macht die Dienststörung zum Definitionskriterium des erheblichen Sicherheitsvorfalls.

Geschätzter unmittelbarer und mittelbarer finanzieller Schaden. Art. 6 Nr. 6 NIS 2 zählt den finanziellen Verlust zu den Kriterien, die einen Vorfall als 'erheblich' qualifizieren.

Einschätzung, ob der Vorfall zu Reputationsschäden geführt hat oder wahrscheinlich führen wird. Eines der Qualifizierungskriterien für einen 'erheblichen Sicherheitsvorfall' nach Art. 6 Nr. 6 NIS 2.

Art. 23(4)(a) NIS 2 verlangt im 24h-Frühwarnbericht die Angabe, ob der Sicherheitsvorfall grenzüberschreitende Auswirkungen hat. Die CSIRTs anderer Mitgliedstaaten werden über den Kooperationsmechanismus nach Art. 15 NIS 2 informiert.

Liste der EU-Mitgliedstaaten, deren Unternehmen, Nutzer oder Dienste vom Vorfall betroffen sind. Wird vom CSIRT zur Information der zuständigen Behörden anderer Staaten verwendet.

Vom Vorfall betroffene Sektoren nach Anhang I (Sektoren mit hoher Kritikalität) und Anhang II (sonstige kritische Sektoren) NIS 2. Ggf. müssen sektorale CSIRTs informiert werden.

Name der natürlichen Person, die die Meldung im Namen der Einrichtung übermittelt. Pflicht in allen nationalen Portalen für CSIRT-Rückfragen.

E-Mail-Adresse für CSIRT-Rückfragen, Zwischenberichts-Anfragen und Feedback-Mitteilungen nach Art. 23(5) NIS 2.

Telefonnummer für dringende CSIRT-Kontaktaufnahme, insbesondere während des Frühwarnzeitfensters.

Internes Aktenzeichen der Einrichtung. Ermöglicht dem CSIRT die Korrelation mehrerer Meldungen zum gleichen Vorfall.