Vorfälle in NIS2 und KRITIS

Incident Management

Für die Behandlung von Sicherheitsvorfällen in Kritischen Infrastrukturen sind bei Einrichtungen und Betreibern klare Verantwortlichkeiten und Abläufe notwendig. Dazu muss ein geregeltes Incident Management mit Rollen und Prozessen für die Behandlung von Vorfällen definiert und betrieben werden.

Rollen

Rollen und Aufgaben für Vorfälle müssen im Geltungsbereich festgelegt werden. Die Rollen können Teil vom CERT, CSIRT, SOC oder auch in der Security oder Flächenorganisation beim Betreiber sein.

• Leiter Vorfälle: Governance für und Leitung der Vorfallserkennung und -behandlung
• Vorfallsbehandlung: Reaktionsteam zur operativen Bewältigung von Vorfällen
• Notfallmanagement: Reaktives BCM zur Behandlung von Notfällen
• Störungsmanagement: Behandlung von betrieblichen Störungen

NIS2 und KRITIS-Dachgesetz

Geregeltes Vorfallsmanagement ist sowohl in NIS2 (BSIG) für Einrichtungen und im KRITIS-Dachgesetz für Betreiber verpflichtend. Das Vorfallsmanagement nach NIS2 wird üblicherweise in Security Incident Management mit Fokus auf Sicherheitsvorfälle aus der Cybersecurity sein.

Im KRITIS-Dachgesetz ist ebenfalls Vorfallsmanagement gefordert, aber mehr für die Behandlungen von Notfällen und Beeinträchtigungen der kritischen Dienstleistung.

Prozesse

Für den Umgang mit Störungen und Vorfällen müssen zentrale Prozesse im Betrieb der Einrichtungen Anlagen definiert werden, u.a.:

• Detektion: Störungen, Angriffe und Vorfälle müssen anhand von Logs, Mustern und Indikatoren im Betrieb erkannt und festgestellt werden
• Reaktion: Erkannte Vorfälle müssen von Fachpersonal klassifizert und behandelt, und die weitere Bewältigung eingeleitet werden (zum Incident-/Notfall-/Krisen-Management)
• Meldungen: Festgestellte Vorfälle und Störungen müssen dokumentiert und gemeldet werden, falls diese meldepflichtig sind (ggf. über die Meldeorganisation)
• Auswertung: Vorfälle und Bewältigung müssen für Lessons Learned ausgewertet werden

Nachweise

Artefakte als Nachweis für funktionierende Governance für Vorfälle sind u.a.:

1. Erkannte Angriffe
2. Bewältigte Vorfälle
3. Tickets
4. Lessons Learned

Definition

Für die Behandlung und Meldung von Vorfällen ist eine durchgängige Einstufung von Ereignissen und meldepflichten Vorfällen an Aufsichtsbehörden essentiell. Detektierte oder gemeldete Ereignissen müssen nach Regeln und Definitionen in Sicherheitsvorfälle und meldepflichtige Störungen hochgestuft werden können – was dann die Meldepflicht nach sich zieht.

Festlegung Kriterien

Die Kriterien für Sicherheitsvorfälle (NIS2) und Störungen/Vorfälle (KRITIS-Dachgesetz) sollten so klar, eindeutig und handelbar wie möglich definiert und zugänglich in Aufnahmebögen und Handouts für das Vorfallspersonal dokumentiert werden.

Wenn möglich, sollten die Kriterien mit der Leitung abgestimmt und freigegeben werden, und anschließend weitflächig im Rahmen der Vorfallsprozesse kommuniziert werden.

NIS2

Einrichtungen nach NIS2 müssen erhebliche Sicherheitsvorfälle an die Aufsichtsbehörden melden. Dazu ist eine Definition der Erheblichkeit essentiell, die nach dem BSIG sehr verkürzt ist. Der EU Implementing Act, die Durchführungsverordnung kann hier als Orientierung dienen:

• Finanzieller Verlust von mehr als 500 Tsd. EUR oder 5 Prozent des Jahresumsatzes
• Abfluss von Geschäftsgeheimnissen
• Tod oder schwere Schädigung der Gesundheit einer natürlichen Person
• Unbefugter Zugriff auf Netz- und Informationssysteme → schwerwiegende Betriebsstörungen
• Wiederholte Sicherheitsvorfälle

KRITIS-Dachgesetz

Das KRITIS-Dachgesetz definiert eine Art von meldepflichtigem Vorfall: ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte. Ausgenommen davon sind Sicherheitsvorfälle nach NIS2 und Vorfälle nach TKG.

Meldewesen zu Behörden

Nach der Erkennung und parallel zur Behandlung von Vorfällen müssen bestimmte meldepflichtige Vorfälle an Aufsichtsbehörden gemeldet werden.

Meldepflichten NIS2

Regulierte Einrichtungen und Betreiber kritischer Anlagen müssen nach NIS2 erhebliche Sicherheitsvorfälle an das BSI melden – innerhalb von 24 Stunden mit abgestuften Folge- und Abschlussmeldungen. Die Fristen und Inhalte der Meldung sind im Gesetz (BSIG) umfangreich vorgegeben – und müssen im BSI-Portal gemeldet werden.

Meldepflichten KRITIS-Dachgesetz

Betreiber kritischer Anlagen müssen Vorfälle (erhebliche Störungen) nach dem KRITIS-Dachgesetz über die vom BSI und BBK für NIS2 eingerichtete gemeinsame Meldestelle melden – in sehr kurzen Fristen, innerhalb von 24 Stunden, und mit stufenweisen Folgemeldungen.

Kontaktstelle

Bei Betreibern kritischer Anlagen muss eine jederzeit erreichbare Kontaktstelle für das BSI eingerichtet und registriert werden. Sie nimmt eigehende Meldungen und Fragen von beiden Seiten an.

Nachweise

Artefakte als Nachweis für ein funktionierendes Meldewesen sind u.a.:

1. Gemeldete Vorfälle
2. Dokumentierte Vorfälle
3. Quittierungen

Quellen

1. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und die Sicherheit in der Informationstechnik von Einrichtungen, BSI-Gesetz vom 2. Dezember 2025
2. Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)
3. Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
4. Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
5. ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements