Ein Vorfall in der Installationsbranche ist nicht immer ein gehackter Laptop. Genauso oft ist es ein Techniker, der sich mit einem falschen Konto in das Gebäudemanagementsystem eines Kunden einloggt, ein Schlüsselsafe, der nicht richtig verschlossen ist, oder ein Planungsmitarbeiter, der auf einen Phishing-Link klickt, woraufhin ein Kundenkennwort offengelegt wird. Was Sie dokumentieren, ist für jede dieser Situationen im Kern dasselbe: wann es entdeckt wurde, was genau passiert ist, wer daran beteiligt war, welcher Zugriff damit verbunden war, welche Maßnahme eingeleitet wurde und wer benachrichtigt wurde.
Diese Dokumentation unterscheidet sich vom Melden bei einer Aufsichtsbehörde. Ein internes Vorfallregister ist ein laufendes Logbuch, das Sie selbst führen, unabhängig davon, ob ein Vorfall meldepflichtig ist. Für Organisationen, die selbst unter die NIS2-Richtlinie fallen, gehört dieses Register zu den Schutzmaßnahmen gemäß Artikel 21. Für die viel größere Gruppe von Installationsbetrieben, die nicht selbst verpflichtet sind, aber als Lieferant überprüft werden, ist das Register oft genau das, nach dem ein Sicherheitsfragebogen eines Auftraggebers fragt: Können Sie nachweisen, dass Sie Vorfälle erkennen, dokumentieren und nachverfolgen? Ob Sie selbst unter das Gesetz fallen oder nur über die Lieferkette betroffen sind, können Sie überprüfen mit ein paar Fragen, die Ihre Position in der Lieferkette zeigen.
Was gehört in das Register
Ein brauchbares Vorfallregister enthält pro Ereignis ein Datum und eine Uhrzeit der Entdeckung, eine kurze Beschreibung dessen, was beobachtet oder gemeldet wurde, und den Namen der Person, die es bemerkt oder gemeldet hat. Darüber hinaus dokumentieren Sie, welches System, welcher Standort oder welcher Kunde betroffen ist, und welcher Zugriff dabei eine Rolle spielte: ein gemeinsames Kennwort, ein physischer Schlüssel, eine Zutrittskarte, eine VPN-Verbindung zum Netzwerk des Kunden. Anschließend halten Sie fest, welche Maßnahme eingeleitet wurde, wer dafür verantwortlich war, und ob und wann der Kunde oder die eigene Organisation informiert wurde. Schließlich eine Notiz zum Abschluss: Ist der Vorfall behoben, und hat sich daraufhin etwas in der Arbeitsweise geändert?
Diese letzte Notiz wird oft übersehen, während Aufsichtsbehörden und Auftraggeber gerade danach schauen. Ein Register, das nur Meldungen aufzählt, sagt wenig aus. Ein Register, in dem zu sehen ist, dass ein wiederkehrendes Problem zu einer Anpassung der Arbeitsweise geführt hat, zeigt, dass die Organisation daraus lernt.
Die spezifische Situation von Technikern vor Ort
Was die Installationsbranche von beispielsweise einem Softwareunternehmen unterscheidet, ist, dass Zugriff selten nur digital ist. Ein Techniker, der zu einem Kunden gehen muss, hat oft sowohl einen physischen Schlüssel oder eine Karte als auch ein digitales Konto für das Gebäudemanagementsystem, die Alarmanlage oder die Klimaanlage. Ein Vorfall kann also entstehen, weil ein Schlüssel verloren geht, weil das Konto eines ehemaligen Mitarbeiters nicht entzogen wurde, oder weil ein Laptop mit gespeicherten Anmeldedaten aus einem Auto gestohlen wird. Im Register macht dieser Unterschied nicht viel aus: Es geht immer um die gleiche Frage, nämlich wer zu welchem Zeitpunkt Zugriff hatte und ob das noch berechtigt war.
Dies hängt direkt mit der Zugriffskontrolle zusammen: wer auf welche Systeme und Schlüssel zugreifen darf, und ist dieses Verzeichnis aktuell. Ein Vorfallregister ohne ein aktuelles Zugriffsverzeichnis ist schwer vollständig zu führen, weil Sie dann bei jedem Vorfall erneut herausfinden müssen, wer wobei Zugriff hatte. Ein aktuelles Verzeichnis von Maßnahmen, Status und Verantwortlichen, wie es ein Cyber-Dossier führt, macht diese Nachforschung überflüssig.
Nicht jeden Vorfall muss man gleich behandeln
Materialität spielt auch hier eine Rolle: Ein verlorenes Passwortblatt, das sofort bemerkt und geändert wird, wiegt anders als ein unberechtigter Zugriff auf ein Kundensystem, der erst nach Wochen entdeckt wird. Die Richtlinie und die nationale Gesetzgebung unterscheiden zwischen erheblichen Vorfällen und kleineren Zwischenfällen, und die Aufsichtsbehörden berücksichtigen dabei die Auswirkungen auf die Erbringung der Dienste und auf den Kunden. Ein wesentlicher Teil Ihrer eigenen Bewertung ist daher: Betrifft dieser Vorfall nur den eigenen Geschäftsbetrieb oder auch die Systeme oder Daten eines Kunden. Im letzteren Fall liegt eine Verpflichtung zur Benachrichtigung dieses Kunden schnell auf der Hand, unabhängig von der Frage, ob auch eine gesetzliche Meldepflicht besteht.
Die genauen Fristen und Schwellenwerte unterscheiden sich je nach Situation und nach dem Land, in dem Sie tätig sind. Für den genauen Wortlaut und die Fundstelle verweisen wir auf die offiziellen Quellen und für Ihre eigene Situation auf einen Rechtsanwalt oder die zuständige Aufsichtsbehörde. Eine Übersicht darüber, wie wir Quellen verwalten und woher diese stammen, finden Sie auf der Seite, auf der unsere Arbeitsweise erläutert wird.
Was dies in der Praxis bedeutet
Ein Installationsbetrieb, der nachweisen kann, wie er Vorfälle erfasst und verfolgt, gibt einem Auftraggeber bei der Beantwortung einer Sicherheitsfrageliste etwas Konkretes in die Hand und hat selbst ein Nachschlagewerk für den Moment, wenn etwas wieder schiefgeht. Wer noch keine feste Form für dieses Register hat, findet einen Ausgangspunkt und die zugehörige Erläuterung bei der Übersicht der Themen nach Situation, und häufig gestellte Fragen darüber, was in ein solches Register gehört und was nicht, sind auf der Seite mit Antworten auf wiederkehrende Fragen.
Beginnen Sie gerne mit dem kostenlosen Quick-Check: In wenigen Fragen sehen Sie, ob Ihre Organisation selbst unter das Gesetz fällt, über die Lieferkette betroffen wird oder keines von beiden, mit einer Erläuterung für jedes Ergebnis.