Meldepflicht in 24 Stunden: wer meldet, was drinstehen muss, was danach kommt

Es ist Freitag, 19 Uhr. Die Leitstelle meldet, dass das Laborsystem keine Befunde mehr ausliefert, und auf zwei Rechnern in der Verwaltung erscheint eine Nachricht, die dort nicht hingehört.

Ab dem Moment, in dem jemand im Haus davon weiß, läuft eine Frist. Ob sie eingehalten wird, entscheidet sich nicht an diesem Abend, sondern Monate vorher.

Die drei Fristen

§ 32 BSIG staffelt die Meldung eines erheblichen Sicherheitsvorfalls in Stufen:

1. Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis: eine frühe Erstmeldung. Sie sagt, ob ein Angriff vermutet wird und ob der Vorfall über das eigene Haus hinaus wirken könnte. Sie ist kurz und darf Lücken haben.
2. Spätestens innerhalb von 72 Stunden nach Kenntnis: die eigentliche Meldung, mit einer ersten Bewertung von Schweregrad und Auswirkungen und, soweit vorhanden, den Anzeichen einer Kompromittierung.
3. Spätestens einen Monat nach dieser Meldung: die Abschlussmeldung mit ausführlicher Beschreibung, der wahrscheinlichen Ursache und den getroffenen Abhilfemaßnahmen. Dauert der Vorfall dann noch an, tritt an ihre Stelle eine Fortschrittsmeldung.

Dazwischen kann das BSI Zwischenmeldungen verlangen. Gemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Für die Frist zählt die Kenntnis im Haus, nicht der Moment, in dem die Geschäftsführung davon erfährt.

Was „erheblich“ heißt, und wer das entscheidet

Meldepflichtig ist nicht jeder Vorfall, sondern ein erheblicher: einer, der den Betrieb schwer stört oder Dritte erheblich schädigen kann. Im Krankenhaus ist diese Schwelle schneller erreicht als anderswo, weil die Versorgung an den Systemen hängt.

Die Entscheidung, ob gemeldet wird, darf nicht erst im Vorfall gesucht werden. Es braucht eine Person, die sie treffen darf, eine Vertretung und wenige Kriterien, die vorher festgelegt sind. Im Zweifel gilt: lieber früh melden und später einordnen. Eine Erstmeldung, die sich als unnötig herausstellt, ist kein Befund. Eine fehlende ist einer.

Was in die erste Meldung gehört

Die Erstmeldung beantwortet wenige Fragen: Was ist passiert, seit wann weiß das Haus davon, welche Dienste sind betroffen, gibt es Hinweise auf einen Angriff, und kann der Vorfall über das eigene Haus hinaus wirken. Mehr wird nach 24 Stunden niemand ehrlich sagen können, und mehr wird auch nicht erwartet.

Was hilft, ist eine vorbereitete Vorlage mit genau diesen Feldern, die ohne Zugriff auf die betroffenen Systeme ausgefüllt werden kann. Liegt sie nur im Dateisystem, das gerade verschlüsselt wurde, ist sie keine Vorlage.

Die zweite Meldepflicht: Datenschutz

Sind Patientendaten betroffen, gilt parallel Art. 33 DSGVO: Meldung an die zuständige Datenschutzaufsicht binnen 72 Stunden, unter Umständen zusätzlich die Benachrichtigung der Betroffenen nach Art. 34. Das sind zwei Wege an zwei Stellen mit unterschiedlichen Inhalten. In der Praxis bewährt es sich, beide in einem gemeinsamen Ablauf zu führen, mit dem Informationssicherheitsbeauftragten und dem Datenschutzbeauftragten am selben Tisch.

Woran Meldungen in der Praxis scheitern

Selten am Wissen, fast immer an der Organisation:

• Niemand ist erreichbar, der entscheiden darf, weil die Alarmierung nur für den Brandfall geübt ist.
• Die Zugangsdaten zum Meldeweg des BSI liegen bei einer einzigen Person, und die ist im Urlaub.
• Der Vorfall liegt beim Dienstleister, und das Haus erfährt erst Tage später davon. Deshalb gehört eine Meldepflicht mit Frist in jeden Dienstleistervertrag.
• Die Dokumentation beginnt zu spät. Wer ab der ersten Minute mitschreibt, wer was wann wusste, hat die Abschlussmeldung zur Hälfte fertig.

Was nach der Abschlussmeldung kommt

Mit der Abschlussmeldung ist der Vorfall für die Behörde beschrieben, für das Haus aber noch nicht erledigt. Die eigentliche Frage lautet danach: Was hat die Aufarbeitung über das eigene ISMS verraten? Fast jeder Vorfall zeigt eine Stelle, an der ein Risiko bekannt war und die Maßnahme noch fehlte, oder an der ein Ablauf auf dem Papier stand und im Ernstfall nicht trug.

Diese Erkenntnisse gehören zurück in die Risikobewertung und in den Maßnahmenplan, mit Datum und Verantwortlichem. Genau diese Verbindung zwischen Vorfall, Ursache und Änderung will eine spätere Prüfung sehen. Sie zeigt, dass der Prozess lernt und nicht nur meldet.

Der Einstieg für diese Woche

Spielen Sie den Freitagabend einmal am Tisch durch, eine Stunde, ohne Technik. Wer erfährt es zuerst? Wen ruft diese Person an? Wer entscheidet über die Meldung, und von welchem Gerät aus wird gemeldet, wenn das Netz steht?

Schreiben Sie die Antworten auf eine Seite und legen Sie sie dorthin, wo auch der Notfallplan liegt, auf Papier. Diese Seite ist der Kern des Meldeprozesses. Alles Weitere, von der Vorlage bis zur Übung mit dem Dienstleister, baut auf ihr auf.