CSIRT

Definition

Ein Computer Security Incident Response Team (CSIRT) ist eine spezialisierte Organisationseinheit oder ein Dienstleister, der für die strukturierte Reaktion auf IT-Sicherheitsvorfälle zuständig ist — von der Erstanalyse über die Eindämmung bis zur forensischen Aufarbeitung und Wiederherstellung betroffener Systeme. Das BSI betreibt als nationales CSIRT die zentrale Koordinierungsstelle für Sicherheitsvorfälle in Deutschland und ist Anlaufpunkt für Meldungen betroffener Einrichtungen. Im NIS2-Rahmen arbeiten nationale CSIRTs in einem EU-weiten CSIRT-Netzwerk zusammen, das durch die ENISA koordiniert wird. Ein internes CSIRT oder der Zugang zu einem externen CSIRT-Dienst ist für besonders wichtige Einrichtungen eine wesentliche Resilienzkomponente.

Rechtsgrundlage

Artikel 11 der NIS-2-Richtlinie (EU) 2022/2555 schreibt vor, dass jeder Mitgliedstaat mindestens ein nationales CSIRT zu benennen hat, das über definierte Fähigkeiten zur Vorfallsanalyse und -koordinierung verfügt. § 10 BSIG überträgt die CSIRT-Funktion in Deutschland dem BSI als zentraler nationaler Meldestelle und Koordinierungsstelle für grenzüberschreitende Vorfälle. Die ENISA koordiniert das EU-weite CSIRT-Netzwerk und veröffentlicht Leitlinien für CSIRT-Fähigkeiten, -Prozesse und Mindestqualitätsstandards. Betroffene Einrichtungen müssen gemäß § 32 Abs. 1 BSIG sicherstellen, dass sie im Vorfallsfall unverzüglich mit dem nationalen CSIRT (BSI) kommunizieren und alle erforderlichen Informationen innerhalb der gesetzlichen Fristen bereitstellen können.

Praktische Implikation

Registrieren Sie Ihr Unternehmen beim BSI-Meldeportal und stellen Sie sicher, dass Ihre Notfallkontakte stets aktuell sind. Definieren Sie intern klare Eskalationspfade, die im Vorfallsfall zur rechtzeitigen CSIRT-Kontaktaufnahme führen und die 24-Stunden-Meldefrist für erhebliche Vorfälle sicherstellen. Erwägen Sie die Beauftragung eines externen CSIRT-Dienstleisters, wenn interne Kapazitäten für eine 24/7-Reaktionsbereitschaft fehlen. Führen Sie mindestens jährlich Tabletop-Übungen durch, die den Ablauf einer CSIRT-Meldung realitätsnah simulieren. Dokumentieren Sie alle Vorfalls-Response-Aktivitäten vollständig, da das BSI diese Unterlagen bei Nachprüfungen einfordern kann.

Verwandte Begriffe

• Incident Response
• SOC
• SIEM