Wie integriert man Cyber-Krisenmanagement in NIS2 und DORA?
Sowohl die NIS2-Richtlinie als auch die DORA-Verordnung verlangen formalisierte Vorkehrungen für Vorfall- und Krisenmanagement mit definierten Meldefristen in ihren jeweiligen Artikeln. ISO 22361:2022 liefert den methodischen Rahmen für den Krisenstab, der auf beide Regime reagiert.
Die NIS2-Richtlinie (Artikel 21) verlangt von wesentlichen und wichtigen Einrichtungen, Massnahmen zum Management von Cyberrisiken einzuführen, einschliesslich der Bearbeitung von Vorfällen. Artikel 23 legt die Meldepflichten fest: eine Frühwarnung an das CSIRT oder die zuständige Behörde, gefolgt von einer förmlichen Vorfallmeldung und dann einem Abschlussbericht, innerhalb der von der Richtlinie gesetzten Fristen.
Die DORA-Verordnung (Artikel 17 bis 23) verlangt von Finanzunternehmen, einen integrierten Rahmen für das Management IKT-bezogener Risiken zu unterhalten. Die Meldung schwerwiegender IKT-Vorfälle an die zuständigen Behörden (ACPR und AMF in Frankreich; BaFin in Deutschland; FINMA in der Schweiz für beaufsichtigte Akteure) folgt den Fristen und dem Format der von der Europäischen Kommission verabschiedeten technischen Regulierungsstandards (RTS).
Um operativ auf beide Regime zu reagieren, schichtet eine Organisation drei Fähigkeiten: einen technischen Vorfallreaktionsplan (CSIRT, Playbooks, Forensik); einen strategischen Krisenstab, der oberhalb einer Schwellenwertstufe aktiviert wird, hier liefert ISO 22361 den methodischen Rahmen; und eine automatisierte Kette für die regulatorische Meldung, um die unterschiedlichen gesetzlichen Fristen einzuhalten.
Die häufigste operative Falle: Das technische Team bewältigt den Vorfall, doch es ist der Krisenstab, der entscheidet, was Aufsichtsbehörden, Kundschaft und dem Markt kommuniziert wird. Ohne formale Krisenmanagement-Schulung geschieht dieser Übergang am Tag X in Panik, mit erheblichem reputativem und rechtlichem Risiko.
Related Information
- NIS2 (Artikel 23): Meldepflichten für erhebliche Vorfälle
- DORA (Artikel 17 bis 23): Rahmen für IKT-Risikomanagement und Meldung schwerwiegender Vorfälle
- Genaue Fristen: den amtlichen Text jeder Verordnung und ihre RTS konsultieren
- Empfohlener Rahmen für den Krisenstab: ISO 22361:2022
- Schweiz FINMA: Rundschreiben 23/01 ergänzt eine Ebene für beaufsichtigte Akteure
Expert Insight
Behandeln Sie die Meldung als Entscheidung, nicht als Aufgabe. Die Uhr in NIS2 und DORA läuft im Nebel des Vorfalls, legen Sie also vorab fest, wer die Meldung an die Aufsichtsbehörde freigibt, bevor Sie sie je benötigen.
“In NIS2 und DORA läuft die Uhr während des Vorfalls: Legen Sie vorab fest, wer die Meldung freigibt.”
What's next?
Explore related training
Browse all: Business Continuity und KrisenmanagementBrowse all Business Continuity und Krisenmanagement training courses
Related Answers
Wie lange dauert eine Krisenmanagement-Schulung?
Die Dauer einer Krisenmanagement-Schulung hängt vom angestrebten Niveau ab. Eine Sensibilisierung für Teams dauert 1 bis 2 Tage. Die operative Zertifizierung zum Crisis Manager, PECB Lead Crisis Manager, dauert 5 Tage inklusive Prüfung und richtet sich nach ISO 22361:2022.
byLars ZIMMERMANN
Was ist die PECB-Schulung zum Lead Crisis Manager?
PECB Certified Lead Crisis Manager ist eine international anerkannte, personenbezogene Zertifizierung über 5 Tage, ausgerichtet an ISO 22361:2022. Sie richtet sich an Fachleute, die einen Krisenstab führen: Crisis Manager, Leiterinnen und Leiter Resilienz sowie CISOs bei schweren Vorfällen.
byPhani SRIPADA
Für wen ist der Kurs Lead Crisis Manager gedacht?
Er richtet sich an Personen, die eine Krisenmanagement-Fähigkeit aufbauen, an Krisenleitungen und Mitglieder von Krisenstäben, an Verantwortliche für Krisenpläne und Verfahren, an ISO-22361-Beraterinnen und -Berater sowie an Mitglieder der Geschäftsleitung mit einer Rolle in der organisatorischen Reaktion.
byHenri HAENNI
More from Lead Crisis Manager
Wie lange dauert eine Krisenmanagement-Schulung?
Die Dauer einer Krisenmanagement-Schulung hängt vom angestrebten Niveau ab. Eine Sensibilisierung für Teams dauert 1 bis 2 Tage. Die operative Zertifizierung zum Crisis Manager, PECB Lead Crisis Manager, dauert 5 Tage inklusive Prüfung und richtet sich nach ISO 22361:2022.
Welche unmittelbaren Vorteile bringt die Ausbildung zum leitenden Krisenmanager für Ihre Rolle?
Sie können die Konzepte und Grundsätze des Krisenmanagements nach ISO 22361 erklären und einen Krisenmanagement-Rahmen definieren, der Führung, Struktur, Kultur und Kompetenz integriert.
Wie verbessert die Ausbildung zum leitenden Krisenmanager Ihre Krisenkommunikation?
Sie können die Konzepte und Grundsätze des Krisenmanagements nach ISO 22361 erklären und einen Krisenmanagement-Rahmen definieren, der Führung, Struktur, Kultur und Kompetenz integriert.
Was ist die PECB-Schulung zum Lead Crisis Manager?
PECB Certified Lead Crisis Manager ist eine international anerkannte, personenbezogene Zertifizierung über 5 Tage, ausgerichtet an ISO 22361:2022. Sie richtet sich an Fachleute, die einen Krisenstab führen: Crisis Manager, Leiterinnen und Leiter Resilienz sowie CISOs bei schweren Vorfällen.
Browse all FAQs →
Full knowledge base