Ressourcen
Diese kostenlose Incident-Response-Plan-Vorlage gibt Compliance-Verantwortlichen und CISOs einen einzigen Ort, an dem jede Meldefrist sichtbar wird, die zu laufen beginnt, wenn etwas schiefgeht. Als Excel-Arbeitsmappe aufgebaut, kombiniert die Incident-Response-Plan-Vorlage ein Referenzblatt für Meldefristen mit einem einsatzbereiten Vorfallsprotokoll, sodass Sie Erkennungs- und Kenntnisnahmezeitpunkte in dem Moment festhalten, in dem ein Ereignis auftaucht. Sie deckt die vier Regelwerke ab, die sich in der Praxis am häufigsten überschneiden: DSGVO, NIS2, DORA und die KI-Verordnung. Ob Sie als Security Lead Ihr erstes Runbook entwerfen oder als Compliance-Manager ein bestehendes nachschärfen: Diese Vorlage liefert Ihnen einen belastbaren Ausgangspunkt und erspart Ihnen den Start auf dem leeren Blatt. Laden Sie die Datei unten herunter, tragen Sie Ihre eigenen Kontakte und Schwellenwerte ein und legen Sie sie neben Ihre Incident-Bridge. Prüfen Sie vorab, welche Regelwerke für Ihre Organisation gelten, bevor Sie sich auf eine einzelne Frist verlassen.
Was die Incident-Response- und Meldevorlage abdeckt
Die Datei ist bewusst klein und praxisnah gehalten. Sie besteht aus zwei Arbeitsbereichen, die genau das leisten, was ein echter Vorfall verlangt.
Ein Referenzblatt für Meldefristen. Eine Zeile pro Pflicht, damit Sie mitten im Vorfall keine Gesetzestexte durchsuchen müssen. Es führt DSGVO Artikel 33 (Meldung an die Aufsichtsbehörde spätestens nach 72 Stunden) und Artikel 34 (Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat) auf; NIS2 Artikel 23 (Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats); DORA (Erstmeldung innerhalb von 4 Stunden nach Einstufung eines Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntnisnahme, Zwischenbericht innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats); sowie Artikel 73 der KI-Verordnung (schwerwiegende Vorfälle innerhalb von 15 Tagen, 10 Tage bei Tod einer Person, 2 Tage bei einem weitverbreiteten Verstoß oder einer schwerwiegenden Störung kritischer Infrastrukturen).
Ein Vorfallsprotokoll. Spalten für die Vorfallsreferenz, eine Kurzbeschreibung, den Erkennungszeitpunkt und den Zeitpunkt der Kenntnisnahme als getrennte Felder, die Einstufung als schwerwiegend, die betroffenen Regelwerke, die berechnete Frist für jede Meldung, den Verantwortlichen und Links zu Ihren Nachweisen. Das Feld für die Kenntnisnahme ist mit Absicht separat, denn das ist der Zeitstempel, ab dem die meisten dieser Fristen tatsächlich laufen.
Incident Response ehrlich betrachtet: worauf es wirklich ankommt
Das Wichtigste überhaupt ist zu verstehen, wann die einzelnen Fristen beginnen. Die meisten dieser Regelwerke lassen ihre Fristen ab dem Moment laufen, in dem Sie von einem Vorfall Kenntnis erlangen; die erste Erkennung durch ein Tool kann deutlich früher liegen. Deshalb ist der Zeitstempel der Kenntnisnahme derjenige, den Prüfer am genauesten unter die Lupe nehmen.
Definieren Sie deshalb jetzt schriftlich, was Kenntnisnahme für Ihre Organisation bedeutet, und lassen Sie die Definition freigeben. Bleibt der Begriff offen, wird Kenntnisnahme zu dem, was die Einsatzleitung nach dem Ereignis entscheidet - der denkbar schlechteste Moment für diese Festlegung und für eine Aufsichtsbehörde später das am leichtesten angreifbare Detail.
Nach Artikel 33 der DSGVO müssen Sie die Aufsichtsbehörde spätestens 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen. Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, ergänzt Artikel 34 die Pflicht, auch diese Personen zu informieren.
NIS2 staffelt die Pflicht in Artikel 23: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
DORA ist am Anfang am engsten getaktet. Bei einem schwerwiegenden IKT-Vorfall ist die Erstmeldung innerhalb von 4 Stunden nach der Einstufung als schwerwiegend fällig, in jedem Fall spätestens 24 Stunden nach Kenntnisnahme. Ein Zwischenbericht folgt innerhalb von 72 Stunden, der Abschlussbericht innerhalb eines Monats. Dieses 4-Stunden-Fenster ist das, an dem Pläne scheitern. Es läuft ab der Einstufung, die eigentliche Frage lautet also, wie schnell Sie mitten in der Nacht, am Wochenende und mit halbem Lagebild einstufen können. Braucht die Einstufung ein Gremium, haben Sie die Frist bereits verpasst. Legen Sie vorab fest, wer allein einstufen darf, und schreiben Sie den Namen in die Datei.
Die KI-Verordnung regelt in Artikel 73 schwerwiegende Vorfälle mit Hochrisiko-KI-Systemen. Die Obergrenze liegt bei 15 Tagen, verkürzt sich auf 10 Tage, wenn eine Person gestorben ist, und auf 2 Tage bei einem weitverbreiteten Verstoß oder einer schwerwiegenden Störung kritischer Infrastrukturen. Gemessen an den anderen drei Regelwerken sind diese Fenster großzügig, und das ist eine vertretbare Entscheidung, denn überhaupt festzustellen, dass ein KI-System einen Schaden verursacht hat, dauert länger als zu bestätigen, dass Daten eine Datenbank verlassen haben. Die Falle ist die kürzeste dieser Fristen, die genau an dem Tag zuschlägt, an dem Ihre Organisation am wenigsten klar denken kann.
Zwei Punkte zum Schluss. Erstens überschneiden sich diese Regelwerke: Ein Ereignis kann mehrere gleichzeitig auslösen, und genau deshalb schlägt eine einzige Übersicht über alle Fristen vier getrennte Runbooks. Jedes Regelwerk ist für sich genommen vernünftig, zusammen sind sie eine echte Last für jeden, der unter mehr als eines fällt, denn die Fristen beginnen zu unterschiedlichen Zeitpunkten und die Berichte verlangen unterschiedliche Inhalte. Niemand wird sie für Sie harmonisieren, bauen Sie sich die Gesamtsicht also selbst und legen Sie sie neben die Telefonliste. Zweitens: Prüfen Sie, welche Regelwerke tatsächlich für Ihre Organisation gelten, bevor Sie sich auf eine der Fristen hier verlassen.
So verwenden Sie die Incident-Response- und Meldevorlage
- Laden Sie die Arbeitsmappe herunter und speichern Sie eine Kopie für jede Einheit oder Umgebung, für die Sie verantwortlich sind.
- Tragen Sie im Referenzblatt für Meldefristen neben jedem Regelwerk die Kontaktdaten Ihrer Aufsichtsbehörde und Regulierungsstelle ein. Halten Sie auch den tatsächlichen Einreichungsweg fest: das Portal, das Formular und das Konto, für das jemand registriert sein muss. Stellen Sie sicher, dass mehr als eine Person darauf zugreifen kann. Während eine Frist läuft nach einem Login zu suchen ist eine selbst zugefügte Wunde und vollständig vermeidbar.
- Klären Sie, welche Regelwerke für Sie gelten, und markieren Sie die übrigen Zeilen, damit niemand einer Frist hinterherläuft, die nie zu laufen begonnen hat.
- Öffnen Sie bei einem Vorfall das Vorfallsprotokoll und erfassen Sie sofort den Erkennungszeitpunkt und, entscheidend, den Zeitpunkt der Kenntnisnahme.
- Stufen Sie den Vorfall ein, lesen Sie ab, welche Fristen nun laufen, und benennen Sie für jede Meldung einen Verantwortlichen.
- Führen Sie das Protokoll als Nachweiskette weiter: was Sie gesendet haben, an wen und genau wann.
Automatisieren Sie das in Venvera
Ein Spreadsheet ist ein guter Ausgangspunkt, aktualisiert sich aber nicht von selbst. Ändert sich die Auslegung oder kommt eine neue Pflicht hinzu, muss jemand daran denken, die Datei zu bearbeiten, und jemand anderes muss darauf vertrauen, dass es geschehen ist. In Venvera bleibt dieselbe Arbeit aktuell: Die Meldefristen leben im Produkt, Vorfälle werden dem richtigen Regelwerk zugeordnet, und einmal erfasste Nachweise werden über Frameworks hinweg wiederverwendet. Wenn NIS2 Ihre erste Priorität ist, starten Sie mit der NIS2-Framework-Seite und der NIS2-Compliance-Checkliste und legen dann DSGVO, DORA und die KI-Verordnung darüber, ohne den Aufwand zu verdoppeln. Pläne beginnen bei 399 EUR/Monat.
Häufig gestellte Fragen
Beginnt die Meldefrist mit der Erkennung oder mit der Kenntnisnahme?
Bei den meisten der hier behandelten EU-Regelwerke beginnt sie mit der Kenntnisnahme. Genau deshalb protokolliert die Vorlage beide Zeitstempel getrennt. In der Lücke zwischen Erkennung und Kenntnisnahme verliert ein Response-Programm oft still und leise Stunden, die es nie zurückbekommt.
Kann ein einzelner Vorfall wirklich mehrere Aufsichtsbehörden gleichzeitig betreffen?
Ja. Eine einzelne Verletzung kann DSGVO, NIS2, DORA und die KI-Verordnung gleichzeitig auslösen, jeweils mit eigener Frist. Das Referenzblatt für Meldefristen existiert, damit Sie jede Frist an einem Ort sehen und eine versäumte Meldung gar nicht erst im Nachhinein entdecken müssen.
Ist diese Incident-Response-Plan-Vorlage wirklich kostenlos?
Ja. Die Excel-Arbeitsmappe lässt sich über das Formular auf dieser Seite kostenlos herunterladen, und Sie können sie für den internen Gebrauch anpassen. Tragen Sie Ihre eigenen Kontakte, Schwellenwerte und Eskalationswege ein, bevor Sie sich darauf verlassen.
Welche ist die kürzeste Frist, um die ich mich kümmern muss?
Unter den hier behandelten Regelwerken ist DORA am Anfang am engsten: Die Erstmeldung eines schwerwiegenden Vorfalls ist innerhalb von 4 Stunden nach der Einstufung fällig. Die KI-Verordnung kann eine Meldung innerhalb von 2 Tagen verlangen, wenn ein weitverbreiteter Verstoß oder eine schwerwiegende Störung kritischer Infrastrukturen vorliegt. Prüfen Sie immer, welche Regelwerke für Sie gelten.
