Incident-Management · Protokoll nach ENS

Compliance · ENS · Cybersicherheit

Das Incident-Management-Protokoll nach dem Spanischen Nationalen Sicherheitsgrundgesetz (ENS) umfasst Erkennung, Klassifizierung, Meldung an CCN-CERT, Eindämmung, Wiederherstellung und Lessons Learned.

Ein Cybersicherheitsvorfall ist nicht die Frage ob, sondern wann. Das Spanische Nationale Sicherheitsgrundgesetz (ENS) verlangt, dass jede pflichtige Stelle ein dokumentiertes Protokoll besitzt, das jeden Schritt definiert: Erkennung, Klassifizierung, Reaktion, Meldung und Lessons Learned. Dieser Leitfaden zeigt das vollständige Protokoll mit Fristen, Verantwortlichkeiten und Vorlagen.

Was ein Cybersicherheitsvorfall ist

Ein Vorfall ist jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationssystems kompromittiert oder kompromittieren könnte. Typische Beispiele:

• Phishing mit Kompromittierung von Zugangsdaten.
• Ransomware-Infektion.
• Distributed Denial of Service (DDoS).
• Unautorisierter Zugriff auf Datenbanken.
• Verlust eines unverschlüsselten Laptops mit sensiblen Daten.
• Ausnutzung einer ungepatchten Schwachstelle.

Vorfallklassifizierung nach ENS

CCN-CERT klassifiziert Vorfälle nach Schwere und Impact:

• Kritisch: massive Auswirkung auf einen essentiellen Service.
• Sehr hoch: signifikante Auswirkung auf Service oder Daten.
• Hoch: erhebliche Auswirkung, mit Möglichkeit zur Eindämmung.
• Mittel: begrenzte Auswirkung.
• Niedrig: minimale Auswirkung.
• Sehr niedrig: ohne realen Impact, dokumentationspflichtig.

Das vollständige Protokoll Schritt für Schritt

1. Erkennung und initialer Alarm

Die Quellen sind Monitoring-Tools (SIEM, IDS/IPS), Benutzermeldungen, automatische Alerts oder externe Hinweise (CCN-CERT, INCIBE). Das Service-Desk oder SOC nimmt den Alarm auf, verifiziert seine Echtheit (kein False Positive) und klassifiziert ihn nach erstem Eindruck.

2. Aktivierung des Incident-Response-Teams

Das Computer Security Incident Response Team (CSIRT) wird aktiviert. Mindestbesetzung: Sicherheitsverantwortlicher (CISO), technischer IT-Verantwortlicher, Rechts-/Datenschutz, interne Kommunikation. Bei kritischen Vorfällen wird die Geschäftsleitung sofort eingebunden.

3. Eindämmung

Sofortmaßnahmen zur Schadensbegrenzung: kompromittierte Systeme isolieren, kompromittierte Zugangsdaten widerrufen, bösartige Kommunikation blockieren. Eindämmung darf forensische Beweise nicht zerstören – dokumentieren Sie jede Maßnahme.

4. Meldung an CCN-CERT

Bei hoher Schwere oder darüber meldet die ENS-pflichtige Stelle binnen 24 Stunden über das CCN-CERT-Portal LUCIA. Erstmeldung: Vorfallstyp, betroffene Systeme, geschätzter Impact. Folgemeldungen: technische Details, ergriffene Maßnahmen, finaler Status. Bei kompromittierten personenbezogenen Daten parallele Meldung an AEPD binnen 72 Stunden.

5. Ausrottung und Wiederherstellung

Vollständige Entfernung der Ursache (Patch, kompromittierte Konten löschen, Malware bereinigen), Wiederherstellung der Services aus sauberen Backups, intensive Beobachtung nach Wiederherstellung (mindestens 72 Stunden). RTO und RPO werden gegen den Business-Continuity-Plan validiert.

6. Lessons Learned

Binnen 10 Arbeitstagen nach Schließung des Vorfalls erstellen Sie einen Bericht: Chronologie, technische und organisatorische Ursache, ergriffene Maßnahmen, Impact-Bewertung und konkrete Verbesserungspläne. Der Bericht geht an die Geschäftsleitung und wird in die Managementbewertung des ISMS überführt.

Tabelle: SLA Reaktion und Meldung nach Schwere

Pflichtdokumentation des Protokolls

• Incident-Response-Plan mit Rollen und Verantwortlichkeiten.
• Kontaktverzeichnis CSIRT (intern und extern: CCN-CERT, Provider, Forensik).
• Klassifizierungskriterien.
• Vorlagen für Erst- und Folgemeldungen LUCIA.
• Forensik-Checkliste und Beweissicherung.
• Vorlage des Lessons-Learned-Berichts.
• Vorfallregister (Ticket-Verlauf).

Praxisbeispiel: Rathaus mit 80.000 Einwohnern

Eine spanische Kommune (80.000 Einwohner, ENS mittlere Kategorie) erlitt einen Ransomware-Vorfall, der den Bürgerservice 48 Stunden lahmlegte. Aktivierung des Protokolls: Erkennung in 22 Minuten via SIEM, CSIRT in 35 Minuten aktiviert, Eindämmung durch Netzwerksegmentierung in 90 Minuten, Meldung an CCN-CERT in 4 Stunden, vollständige Wiederherstellung aus Backups in 36 Stunden. Lessons Learned: Investition in EDR und Mitarbeitenden-Schulung; ein vergleichbarer Vorfall 8 Monate später wurde in 6 Minuten eingegrenzt.

KPIs Incident-Management

• MTTD (Mean Time To Detect).
• MTTR (Mean Time To Respond).
• MTTC (Mean Time To Contain).
• Anzahl Vorfälle nach Schwere und Periode.
• Rate falsch positiver Alarme.
• Quote der Vorfälle, die SLA der Meldung an CCN-CERT erfüllen.

Checkliste: 10 Schritte zur Einrichtung des Protokolls

1. CSIRT mit benannten Rollen einrichten.
2. Klassifizierungskriterien an ENS und NIS2 ausrichten.
3. Meldewege mit CCN-CERT (LUCIA) und AEPD aktivieren.
4. Monitoring-Tools (SIEM, EDR) konfigurieren.
5. Mitarbeitenden-Schulung in Phishing-Erkennung.
6. Forensik-Checkliste und Beweissicherung vorbereiten.
7. Vorlagen Erstmeldung und Lessons Learned dokumentieren.
8. Jährliches Tabletop-Exercise mit der Geschäftsleitung.
9. Halbjährliche Überprüfung des Plans.
10. Integration mit Business-Continuity- und Wiederherstellungsplan.

Autor: Ángel Ortega Castro · unabhängiger Berater für Strategie, Qualität und Digitalisierung für KMU.

El marketing del cerebro es más predictible que el marketing de la opinión. — Ángel Ortega Castro