NIS 2 Vorfallsmelde-Schema

Kategorie der Meldung. Pflichtmeldung nach Art. 23(1) NIS 2 nur für erhebliche Sicherheitsvorfälle im Sinne von Art. 23(3) NIS 2; Beinahevorfälle und nicht erhebliche Sicherheitsvorfälle sind freiwillig nach Art. 30 NIS 2.

Erstbewertung des Schweregrades. Art. 23(4)(b) NIS 2 verlangt zur 72h-Meldung eine Erstbewertung von Schwere und Auswirkungen. CIR 2024/2690 quantifiziert die Schwellen für die dort erfassten Anbieter digitaler Dienste.

Verständliche Zusammenfassung des Vorfalls. Art. 23(4)(a) NIS 2 verlangt die frühe Warnung mit Hinweis darauf, ob der erhebliche Sicherheitsvorfall vermutlich rechtswidrig oder böswillig ist.

Wortlaut Art. 23(4)(d) NIS 2: Der Abschlussbericht muss eine ausführliche Beschreibung des Sicherheitsvorfalls einschließlich seiner Schwere und seiner Auswirkungen enthalten.

Art. 23(4)(a) NIS 2 verlangt im 24h-Frühwarnbericht die Angabe, ob der erhebliche Sicherheitsvorfall vermutlich durch rechtswidrige oder böswillige Handlungen verursacht wurde.

Art. 23(2) NIS 2: Wo zutreffend, hat die Einrichtung den Empfängern ihrer Dienste, die potenziell von einer erheblichen Cyberbedrohung betroffen sind, unverzüglich alle Maßnahmen oder Abhilfen mitzuteilen, die sie ergreifen können.

Verständliche Mitteilung an die Empfänger der Dienste über die Bedrohung und die empfohlenen Abhilfemaßnahmen. Pflicht, wenn customerNotificationRequired wahr ist.

Frühester bekannter Zeitpunkt des Vorfalls. Kann unbekannt sein, wenn die forensische Aufarbeitung noch läuft.

Zeitpunkt der Kenntniserlangung des erheblichen Sicherheitsvorfalls. Startet die Fristen von 24 und 72 Stunden nach Art. 23(4)(a) und (b) NIS 2; die Frist von einem Monat für den Abschlussbericht läuft ab der Meldung über den Sicherheitsvorfall (Art. 23(4)(d) NIS 2).

Zeitpunkt der Eindämmung und Behebung. Pflicht im Abschlussbericht nach Art. 23(4)(d) NIS 2.

Wortlaut Art. 23(4)(d)(ii) NIS 2: Der Abschlussbericht muss die Art der Bedrohung oder die wahrscheinliche Grundursache des Vorfalls angeben.

Schriftliche Analyse zur Untermauerung der Ursachenklassifikation. Wo die Analyse unvollständig ist, die plausibelste Hypothese und die zugrundeliegenden Belege angeben.

Einschätzung, ob es sich um einen gezielten Angriff (spezifisch gegen das Unternehmen oder den Sektor) oder einen ungezielten / opportunistischen Vorfall handelt.

Welche der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit der Vorfall beeinträchtigt hat. Art. 6 Nr. 6 NIS 2 definiert den 'Sicherheitsvorfall' anhand dieser Eigenschaften und der Authentizität.

Wortlaut Art. 23(4)(b) NIS 2: Die Folgemeldung (72h) muss 'eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie, sofern verfügbar, die Kompromittierungsindikatoren' enthalten. Beobachtbare Artefakte angeben — Datei-Hashes, IP-Adressen, Domains, URLs, Malware-Signaturen, Verhaltensmuster — die Verteidiger zur Erkennung derselben Bedrohung nutzen können. Wegen 'sofern verfügbar' nicht zwingend, sondern verfügbarkeitsabhängig; wenn die Forensik zum Meldezeitpunkt noch keine Indikatoren liefert, leer lassen.

Bereits ergriffene technische, organisatorische und operative Maßnahmen zur Eindämmung des Vorfalls. Pflicht zur Folgemeldung (72h) und Fortschreibung in späteren Berichten.

Wortlaut Art. 23(4)(d)(iii) NIS 2: Der Abschlussbericht muss die angewandten und laufenden Schadensbegrenzungsmaßnahmen beschreiben.

Wie der Vorfall erstmals erkannt wurde. Wird vom CSIRT verwendet, um systemische Detektionslücken sektorweit zu identifizieren.

Maßnahmen zur Vermeidung von Wiederholungsfällen. Trägt die in der ENISA TIG für den Abschlussbericht geforderte Lessons-learned-Schleife.

Geschätzte Anzahl betroffener Nutzer. CIR 2024/2690 quantifiziert Schwellen für die dort erfassten Anbieter digitaler Dienste; sonst ist die Einschätzung qualitativ nach Art. 23(3) NIS 2.

Beschreibung, welche Dienste (Betrieb, kundenseitig, intern) beeinträchtigt oder nicht verfügbar waren und wie lange. Art. 23(3)(a) NIS 2 macht schwerwiegende Betriebsstörungen der Dienste zu einem der Kriterien für einen erheblichen Sicherheitsvorfall.

Geschätzter unmittelbarer und mittelbarer finanzieller Schaden. Art. 23(3)(a) NIS 2 zählt finanzielle Verluste für die betreffende Einrichtung zu den Kriterien, die einen Vorfall als 'erheblich' qualifizieren.

Einschätzung, ob der Vorfall zu Reputationsschäden geführt hat oder wahrscheinlich führen wird. Art. 23(3) NIS 2 nennt Reputationsschäden nicht unter den Kriterien für einen 'erheblichen Sicherheitsvorfall'; das Feld hält die eigene Einschätzung der Einrichtung als Teil der Bewertung der Auswirkungen nach Art. 23(4)(b) NIS 2 fest. Bei Finanzunternehmen zählen Reputationsschäden dagegen zu den Klassifizierungskriterien nach Art. 18(1)(a) DORA.

Art. 23(4)(a) NIS 2 verlangt im 24h-Frühwarnbericht gegebenenfalls die Angabe, ob der Sicherheitsvorfall grenzüberschreitende Auswirkungen haben könnte. Nach Art. 23(6) NIS 2 unterrichtet das CSIRT, die zuständige Behörde oder die zentrale Anlaufstelle gegebenenfalls die anderen betroffenen Mitgliedstaaten und die ENISA.

Liste der EU-Mitgliedstaaten, deren Unternehmen, Nutzer oder Dienste vom Vorfall betroffen sind. Wird vom CSIRT zur Information der zuständigen Behörden anderer Staaten verwendet.

Vom Vorfall betroffene Sektoren nach Anhang I (Sektoren mit hoher Kritikalität) und Anhang II (sonstige kritische Sektoren) NIS 2. Ggf. müssen sektorale CSIRTs informiert werden.

Name der natürlichen Person, die die Meldung im Namen der Einrichtung übermittelt. Pflicht in allen nationalen Portalen für CSIRT-Rückfragen.

E-Mail-Adresse für CSIRT-Rückfragen, Zwischenberichts-Anfragen und Feedback-Mitteilungen nach Art. 23(5) NIS 2.

Telefonnummer für dringende CSIRT-Kontaktaufnahme, insbesondere während des Frühwarnzeitfensters.

Internes Aktenzeichen der Einrichtung. Ermöglicht dem CSIRT die Korrelation mehrerer Meldungen zum gleichen Vorfall.