Im Ernstfall fehlt die Zeit, Grundsatzfragen zu klären. Wer darf Systeme vom Netz nehmen? Wer informiert Kunden? Wer meldet an welche Behörde? Ein Incident-Response-Plan beantwortet diese Fragen vorher, damit im Vorfall gehandelt statt diskutiert wird. Das NIST beschreibt in der 2025 überarbeiteten Publikation SP 800-61 Revision 3, wie Incident Response in das gesamte Cybersicherheitsrisikomanagement eingebettet wird.
Rollen und Erreichbarkeit
Ein Plan nennt die Leitung im Vorfall, ihre Stellvertretung, technische Ansprechpersonen, Kommunikation, Rechtsberatung und externe Partner wie IT-Dienstleister, Forensik und Versicherung, jeweils mit Kontaktdaten, die auch ohne funktionierende E-Mail erreichbar sind. Ebenso wichtig sind Entscheidungsbefugnisse: Wer darf einen Dienst abschalten, wer eine Lösegeldforderung beurteilen, wer eine öffentliche Erklärung freigeben?
Einstufung und Sofortmassnahmen
Nicht jeder Vorfall ist eine Krise. Eine einfache Einstufung nach Auswirkung trennt Routine von Ernstfall und legt fest, ab wann der Plan voll anläuft. Für die häufigsten Szenarien, etwa Ransomware, kompromittiertes Benutzerkonto oder Datenabfluss, gehören konkrete Sofortmassnahmen hinein: isolieren, Beweise sichern, Zugänge sperren, Backups schützen.
Meldepflichten mit Fristen
Der Plan führt alle Meldewege nebeneinander: die Meldepflicht nach ISG an das BACS innert 24 Stunden für kritische Infrastrukturen, die Meldung an den EDÖB nach Art. 24 DSG so rasch als möglich bei hohem Risiko für Betroffene, die 72-Stunden-Frist nach Art. 33 DSGVO für Verantwortliche unter der DSGVO, die Fristen nach NIS2 und Branchenmeldungen etwa an die FINMA. Die Checkliste für die Reaktion auf Datenschutzverletzungen ergänzt den Plan für den Datenschutzteil.
Wiederherstellung und Übung
Wiederherstellung heisst, Systeme aus sauberen Sicherungen in einer festgelegten Reihenfolge wieder in Betrieb zu nehmen, ausgerichtet an RPO und RTO. Ein Plan, der nie geübt wurde, scheitert an Details: veraltete Telefonnummern, Backups, deren Wiederherstellung nie getestet wurde, Zuständigkeiten, die niemand kennt. Eine Übung am Tisch einmal pro Jahr, mit einem realistischen Szenario, deckt diese Lücken auf, bevor ein Angreifer es tut.
Weiterführend
Über die Reaktion hinaus regelt das Business Continuity Management, wie das Geschäft weiterläuft. Geübt wird der Plan in einer Tabletop-Übung; die Pflichten gegenüber einer Cyberversicherung gehören hinein.