Sicherheitsvorfall
Definition
Ein Sicherheitsvorfall im Sinne des NIS2UmsuCG ist ein Ereignis, das die Verfügbarkeit, Vertraulichkeit oder Integrität von Netz- und Informationssystemen oder der durch sie bereitgestellten Dienste tatsächlich negativ beeinträchtigt. Ein erheblicher Sicherheitsvorfall, der Meldepflichten auslöst, liegt vor, wenn schwerwiegende Betriebsstörungen oder erhebliche finanzielle Verluste entstehen oder andere natürliche oder juristische Personen durch den Vorfall erheblich beeinträchtigt werden könnten. Auch Vorstufen zu Vorfällen, sogenannte signifikante Bedrohungen, können eine Meldepflicht auslösen. Die Abgrenzung zwischen einem internen IT-Problem und einem meldepflichtigen Sicherheitsvorfall ist oft nicht trivial und erfordert klare interne Klassifizierungsprozesse.
Rechtsgrundlage
Die Definition des Sicherheitsvorfalls und die Kriterien für Erheblichkeit finden sich in § 2 Nr. 37 und § 32 Abs. 1 BSIG. Das BSI hat zur Konkretisierung des Begriffs "erheblich" ergänzende Leitlinien veröffentlicht, die Kriterien wie Anzahl betroffener Nutzer, Dauer der Beeinträchtigung, geografische Reichweite und wirtschaftliche Schäden berücksichtigen und mit konkreten Schwellenwerten hinterlegen. ENISA-Leitlinien bieten ergänzende Orientierung für die einheitliche Einordnung grenzüberschreitender Vorfälle im EU-Binnenmarkt. Artikel 23 der NIS-2-Richtlinie enthält die EU-weiten Erheblichkeitskriterien, die das BSI in seinen nationalen Leitlinien konkretisiert und mit Beispielen versehen hat.
Praktische Implikation
Unternehmen sollten im Voraus definieren, welche internen Ereignisse als erhebliche Sicherheitsvorfälle einzustufen sind. Eine Klassifizierungsmatrix mit klaren und messbaren Schweregrad-Kriterien erleichtert die schnelle und rechtssichere Einordnung im Ernstfall erheblich. Diese interne Klassifizierung sollte halbjährlich mit den aktuellen BSI-Leitlinien abgeglichen werden. Eine zu niedrige Einordnung, die zur unterlassenen Meldung führt, kann als Verstoß gegen § 32 BSIG mit erheblichen Bußgeldern geahndet werden. Eine zu hohe Einordnung führt zu unnötigem Aufwand, ist aber rechtlich risikoärmer. Die Klassifizierungsmatrix sollte als genehmigtes Dokument vorliegen und in regelmäßigen Übungen angewendet werden, damit alle zuständigen Personen sie im Ernstfall sicher handhaben können.
Verwandte Begriffe
Verwandte Inhalte
Leistungen
Checklisten
Glossar
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen