Vorfallbearbeitung nach NIS-2 – intern vor der Meldung einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/vorfallbearbeitung

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Vorfallbearbeitung ist der interne Ablauf vom Erkennen über Eindämmung bis zur Nachbereitung. Die Meldepflicht gegenüber dem BSI ist der äußere Teil. Catenis dokumentiert Vorfälle, Kontakte und Status; die Frist hält nur, wenn der Innenprozess geübt ist.

Intern zählt die Kette: wer nimmt die Meldung entgegen, wer entscheidet, ob der Fall erheblich ist, wer dämmt ein, wer spricht mit Dienstleistern, wer schreibt die Nachbereitung. Ohne diese Kette bleibt die Behördenmeldung ein Formular ohne Inhalt. Mit der Kette wird die Meldung eine Abschrift dessen, was schon liegt.

Catenis hält den Fall: Titel, betroffene Systeme, Zeitpunkt der Kenntnis, Erheblichkeit, Status der inneren Schritte, Kontakte. Die Meldung selbst geht über das BSI-Portal. Wer den Fall nur in persönlichen Postfächern hat, findet um vier Uhr morgens niemanden und keine Fakten.

Übung gehört dazu. Ein Walkthrough oder ein dokumentierter Testfall zeigt, dass Rollen und Erreichbarkeit nicht nur auf der Folie stehen. Die Maßnahme „Bewältigung von Sicherheitsvorfällen“ ist erst dann tragfähig, wenn Policy und Übung zusammenliegen.

Nachtschicht, Feiertag und Urlaub der IT-Leitung sind der echte Test. Wenn nur eine Person den Ablauf kennt, ist der Prozess nicht da. Catenis hält Kontakte und Status, nicht die Bereitschaft. Die Nummern müssen stimmen, bevor jemand sie braucht.

Geltungsbereich

Der Prozess gilt für die erfasste Einrichtung und für die Systeme, die ihre Dienste tragen. Dienstleister mit Betrieb oder Zugang müssen im Ablauf vorkommen: wer sie weckt, welche Daten sie liefern, wie ihre Meldung in die eigene Akte läuft. Eine interne Richtlinie, die den MSP nicht kennt, bricht am ersten Cloud-Ausfall.

Nicht jeder Vorfall ist ein erheblicher Sicherheitsvorfall. Die Schwelle (schwerer Betriebseingriff, Schaden Dritter) ist Rechts- und Sachfrage. Catenis nimmt die vom Team gesetzten Merkmale auf. Es stuft den Fall nicht hoheitlich ein und sendet nichts an die Behörde.

Meldepflicht ist der äußere Zwilling. Kurze Meldefristen gelten erst, wenn der Fall die Schwelle überschreitet. Wer intern langsam erkennt, verbrennt die Frist, bevor jemand das Portal öffnet. Deshalb sitzen Erkennung und Eskalation vor der Behördenseite.

Datenschutzvorfälle, Kundeninfo und interne Krisenkommunikation können parallel laufen. Das verdoppelt die Kanäle, nicht die Faktenbasis. Eine Akte mit Zeitpunkt der Kenntnis, Systemen und Wirkung speist mehrere Schreiben. Drei isolierte Chats speisen keins zuverlässig.

Was zu tun ist

Rollen und Erreichbarkeit auf eine Seite: Wer ist erstansprechbar, wer entscheidet Erheblichkeit, wer darf nach außen sprechen. Kontakte der kritischen Dienstleister daneben, nicht in einem privaten Handy.

Den Ablauf üben und das Protokoll ablegen. In Catenis die Policy führen und den Vorfallstatus nutzen, sobald etwas passiert – auch bei Übungsfällen. Offene To-dos (Erstbewertung, Nachbereitung) dürfen nicht ohne Owner bleiben.

Nachbereitung schreiben, solange die Fakten da sind: Ursache, Wirkung, Maßnahme, was am Prozess geändert wird. Ein geschlossener Fall ohne Lernnotiz wiederholt sich. Der Evidence-Pack braucht genau diese Spur.

Die Meldekette als zweiten Schritt behandeln, nicht als ersten. Innenprozess, dann Portal. Catenis ersetzt das Portal nicht.

Eskalationskette und Notfallkommunikation in der Backup-Policy und im Vorfallprozess gleich halten. Wenn die eine Liste andere Namen trägt als die andere, verliert die Nacht die Zeit. Review mindestens so oft, wie Leute und Dienstleister wechseln.

Erheblichkeit als Checkliste intern vorbereiten: Betrieb schwer gestört, Dritte betroffen – wer kreuzt an, wer widerspricht. Catenis nimmt die Kreuze auf. Die rechtliche Schwelle bleibt Beratung. Ohne die Kreuze startet die Meldekette nicht.

Typischer Fehler

Der häufigste Fehler: den Helpdesk-Ticketstrom mit Vorfallbearbeitung zu verwechseln. Ein Ticket „Outlook langsam“ ohne Eskalation, ohne Erheblichkeit und ohne Leitungskontakt ist kein NIS-2-Fall. Umgekehrt wird ein Ransomware-Ereignis zum Ticket ohne Status, weil niemand die andere Liste kennt.

Der zweite: den Prozess erst zu schreiben, während der Angriff läuft. Der dritte: Dienstleister nicht in der Kette zu haben. Dann merkt der Kunde den Ausfall, bevor der eigene Owner den MSP erreicht.

Der vierte: Übungen ohne Protokoll. Dann steht intern „wir haben das durchgespielt“, und niemand kann Datum, Teilnehmer und gefundene Lücke zeigen. Catenis braucht genau diese Spur an der Maßnahme, sonst bleibt sie offen. Wer die Übung nur in der IT macht und Einkauf sowie Leitung auslässt, testet die halbe Kette.

Grenze

Das Lexikon sagt nicht, ob ein konkreter Fall erheblich ist oder gemeldet werden muss. Das bleibt Leitung, Fachseite und Beratung.

Catenis dokumentiert Vorfälle, Kontakte und Status. Behördenmeldung und BSI-Portal bleiben extern. Die Frist hält der geübte Innenprozess, nicht das Formular allein. Einordnung der Einrichtung entscheidet die Plattform nicht. Eine Ampel am Fall ist Arbeitsstand, kein Bescheid. Ohne Übung und ohne erreichbare Kontakte bleibt die Policy Papier. Die Meldepflicht ist der äußere Teil, die Bearbeitung der innere. Kontakte der Dienstleister gehören in dieselbe Kette, nicht ins private Handy eines einzelnen Admins. Die Übung muss das sichtbar machen, inklusive Nachtschicht, Feiertag, Urlaub und klarer, geübter Vertreterregel.