SOC

Definition

Ein Security Operations Center (SOC) ist eine spezialisierte Organisationseinheit, die rund um die Uhr für die Überwachung, Erkennung, Analyse und Reaktion auf Cybersicherheitsbedrohungen zuständig ist. Das SOC-Team betreibt zentrale Sicherheitswerkzeuge wie SIEM-Systeme und EDR-Plattformen, bewertet Sicherheitsereignisse nach Kritikalität und koordiniert die Reaktion bei Vorfällen. Im NIS2-Kontext ist ein SOC — intern oder als Managed SOC-Dienst eines externen Dienstleisters — für besonders wichtige Einrichtungen ein wesentlicher Bestandteil der geforderten Fähigkeit zur kontinuierlichen Vorfallserkennung und -reaktion. Ein SOC ohne definierte Prozesse und klare Eskalationswege ist wirkungslos; entscheidend ist die Qualität der Analyse, nicht allein die Präsenz.

Rechtsgrundlage

§ 30 Abs. 1 BSIG und § 30 Abs. 2 Nr. 4 BSIG fordern von betroffenen Einrichtungen Maßnahmen zur Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen, was organisatorisch einem SOC-Betrieb entspricht. Das BSI IT-Grundschutz-Kompendium enthält Baustein DER.1 (Detektion von sicherheitsrelevanten Ereignissen), der die konzeptionellen und prozessualen Anforderungen an einen SOC-artigen Betrieb detailliert beschreibt und Mindestvorgaben für Detektionsfähigkeiten und Reaktionszeiten macht. ISO/IEC 27001:2022 Anhang A, Kontrolle 5.25 (Assessment and decision on information security events) und Kontrolle 5.26 (Response to information security incidents) definieren die organisatorischen Anforderungen an die Vorfallsbewertung und -reaktion.

Praktische Implikation

Etablieren Sie klare SOC-Prozesse mit definierten Triage-Stufen, Reaktionszeiten und Eskalationsregeln, bevor Sie in Technologie investieren. Bewerten Sie, ob ein intern betriebenes SOC oder ein Managed SOC-Dienst für Ihre Unternehmensgröße wirtschaftlich sinnvoller ist. Dokumentieren Sie alle SOC-Prozesse nachvollziehbar und führen Sie regelmäßige Wirksamkeitsprüfungen durch. Schulen Sie das SOC-Team kontinuierlich zu neuen Angriffstechniken und aktuellen Bedrohungslagen. Stellen Sie sicher, dass SOC-Analysten direkte Eskalationswege zur Geschäftsführung haben, um bei kritischen Vorfällen die gesetzlichen BSI-Meldefristen einzuhalten.

Verwandte Begriffe

• SIEM
• CSIRT
• Incident Response