Incident Response Plan (IRP)

0 Kurzkarte: Einen Incident Response Plan abarbeiten in 5 Schritten

Ein Laptop ist weg, ein Server verschlüsselt, ein System fällt aus? Dann arbeiten Sie die vorbereiteten Schritte aus einem Incident Response Plan ab, statt im Ernstfall zu improvisieren.

1. Ereignis öffnen – in Informationssicherheit → Ereignisse & Vorfälle das Ereignis öffnen und den Reiter Incident Response wählen.
2. Plan erstellen – auf Incident Response Plan erstellen klicken, die passende Vorlage wählen und Anlegen.
3. Zuständige festlegen – je Aktion über das Stift-Symbol eine Person unter Verantwortlich wählen. Braucht eine Aktion einen Termin, legen Sie über + Aufgabe eine Aufgabe mit Frist an.
4. Abarbeiten – Aktionen mit In Arbeit nehmen beginnen und mit Als erledigt markieren abschließen. Der Balken oben zeigt, wie viele Aktionen erledigt sind.
5. Überblick behalten – unter Informationssicherheit → Incident Response sehen Sie alle laufenden Pläne und die offenen Aktionen.

Wichtig: Der Plan ersetzt nicht die Bewertung und Meldung des Ereignisses. Meldefristen, z. B. 72 Stunden nach Art. 33 DS-GVO, laufen im Ereignis weiter.

1 Einführung

1.1 Wofür ist das Modul da?

Die NIS-2-Richtlinie (Art. 21 Abs. 2 lit. b) und ISO/IEC 27001 (Anhang A 5.24 bis 5.26) verlangen, dass Sie Sicherheitsvorfälle geplant bewältigen. Zuständigkeiten, Abläufe und Kommunikationswege müssen vorher feststehen. Das Modul Incident Response

• hält Vorlagen für typische Vorfälle bereit, z. B. Ransomware, Datenpanne oder Systemausfall, gegliedert nach fünf Phasen,
• ordnet jede Vorlage passenden Ereignisarten zu, damit im Ernstfall die richtige Vorlage angeboten wird,
• erzeugt aus der Vorlage am Ereignis einen Incident Response Plan mit Aktionen, Verantwortlichen und Status und
• zeigt im Dashboard, wie viele Pläne laufen und wie viele Aktionen offen sind.

Sie öffnen das Modul über Informationssicherheit → Incident Response. Die Seite heißt Incident Response Plan und hat die Reiter Dashboard, Vorlagen und Archiv.

Abbildung 1: Startseite Incident Response mit Dashboard

1.2 Zusammenspiel mit Ereignisse & Vorfälle

Das Modul arbeitet mit dem Modul Ereignisse & Vorfälle zusammen:

Wie Sie ein Ereignis melden, einstufen und bewerten, beschreibt das Handbuch Ereignisse und Vorfälle.

Hinweis: Sofortaktionen und Aktionen eines Incident Response Plans sind zwei verschiedene Dinge. Sofortaktionen sind die Checkliste, die die meldende Person beim Melden sieht. Der Incident Response Plan ist der Maßnahmenplan der Bearbeitenden.

1.3 Begriffe

1.4 Die fünf Phasen

1.5 Der Ablauf im Überblick

1.6 Voraussetzungen, Rollen und Rechte

Das Modul erscheint nur, wenn für Ihren Mandanten die Compliance + ISMS Erweiterung gebucht ist.

Ihre Rolle braucht zwei Rechte:

• Ereignisse & Vorfälle mindestens Lesen, sonst bleibt das Modul gesperrt.
• Incident Response – es bestimmt, was Sie im Modul tun dürfen:

Hinweis: Den Plan am Ereignis bearbeiten Sie mit Ihren Rechten im Modul Ereignisse & Vorfälle. Zum Bearbeiten brauchen Sie dort Schreiben.

2 Einen Incident Response Plan im Ereignis führen

Für alle, die ein Ereignis bearbeiten.

2.1 Wann erscheint der Reiter?

Der Reiter Incident Response erscheint am Ereignis, sobald in der Klassifikation ein Schutzziel betroffen ist, also Vertraulichkeit, Integrität oder Verfügbarkeit. Bei abgeschlossenen Ereignissen erscheint er nur, wenn bereits ein Plan angelegt wurde.

2.2 Plan erstellen

1. Öffnen Sie das Ereignis in Ereignisse & Vorfälle und wählen Sie den Reiter Incident Response.
2. Klicken Sie auf Incident Response Plan erstellen.

Abbildung 2: Reiter Incident Response ohne Plan

1. Wählen Sie im Dialog eine Vorlage. Unter jeder Vorlage stehen ihre Beschreibung und die Zahl der Aktionen.
   • Angeboten werden die aktiven Vorlagen, die einer Ereignisart des Ereignisses zugeordnet sind.
   • Hat das Ereignis keine Ereignisart, erscheinen alle aktiven Vorlagen.
   • Mit Ohne Vorlage erstellen beginnen Sie mit einem leeren Plan.
2. Klicken Sie auf Anlegen. Die Aktionen der Vorlage werden in den Plan übernommen.

Abbildung 3: Vorlage für das Ereignis wählen

Je Ereignis gibt es einen Plan. Spätere Änderungen an der Vorlage wirken nicht auf einen bereits erstellten Plan.

2.3 Der Plan im Überblick

Abbildung 4: Incident Response Plan mit Aktionen

Oben zeigt ein Balken den Fortschritt, z. B. „1 von 8 Aktionen Erledigt“. Darunter stehen Aktion hinzufügen, Löschen und IRP entfernen.

Die Tabelle zeigt je Aktion:

2.4 Verantwortliche festlegen und Aktionen ändern

1. Klicken Sie in der Zeile auf das Stift-Symbol (Bearbeiten).
2. Ändern Sie im Dialog Aktion bearbeiten bei Bedarf Bezeichnung, Beschreibung und Phase.
3. Wählen Sie unter Verantwortlich die zuständige Person. Angeboten werden die Benutzer Ihres Mandanten.
4. Klicken Sie auf Speichern.

Abbildung 5: Dialog Aktion bearbeiten

Eigene Schritte ergänzen Sie mit Aktion hinzufügen. Der Dialog hat dieselben Felder.

Tipp: Legen Sie die Verantwortlichen gleich nach dem Erstellen fest. So weiß jede Person sofort, was sie zu tun hat.

2.5 Status fortschreiben

Den Status ändern Sie über die Symbole am Zeilenende:

Abbildung 6: Erledigen bestätigen

2.6 Aufgabe zu einer Aktion anlegen

Soll eine Person eine Aktion mit Termin erledigen, legen Sie eine Aufgabe an. Sie erscheint im Aufgabenmanagement der verantwortlichen Person.

1. Klicken Sie in der Spalte Frist auf + Aufgabe.
2. Prüfen Sie im Dialog Aufgabe erstellen die Bezeichnung. Sie beginnt mit „[IRP]“ und der Bezeichnung der Aktion. Die Beschreibung ist aus der Aktion übernommen.
3. Wählen Sie Verantwortlich und Priorität und geben Sie eine Frist ein.
4. Klicken Sie auf Aufgabe erstellen.

Abbildung 7: Dialog Aufgabe erstellen

Danach zeigt die Spalte Frist die Frist der Aufgabe. Über das Symbol Verknüpfte Aufgabe öffnen öffnen Sie die Aufgabe in einem neuen Fenster. Aktion und Aufgabe halten den Status gemeinsam: Erledigen Sie die Aufgabe, ist auch die Aktion erledigt, und umgekehrt.

2.7 Aktionen löschen und Plan entfernen

• Aktionen löschen: Markieren Sie die Aktionen und klicken Sie auf Löschen. Nach der Bestätigung sind sie endgültig gelöscht. Verknüpfte Aufgaben werden mitgelöscht.
• IRP entfernen: löscht den Plan mit allen Aktionen, z. B. um mit einer anderen Vorlage neu zu beginnen. Das geht nur, solange keine Aktion mit einer Aufgabe verknüpft ist.

Achtung: Gelöschte Aktionen und ein entfernter Plan lassen sich nicht wiederherstellen.

3 Das Dashboard

Für ISB, DSB und alle, die laufende Vorfälle verfolgen.

Öffnen Sie Informationssicherheit → Incident Response. Der Reiter Dashboard ist die Startansicht.

3.1 Kennzahl-Karten

3.2 Tabellen

• Aktive Incident Response Plans – IRP-Nummer, Ereignis, Vorlage, Gestartet, Fortschritt und Status.
• Überfällige Aktionen – IRP-Nummer, Aktion, Phase, Verantwortlicher, Frist und Tage überfällig.
• Kennzahlen – Ereignisse pro Monat (letzte 12 Monate) und Top 5 Ereignisarten. Beide zählen alle Ereignisse des Mandanten, nicht nur die mit Plan.

Abbildung 8: Kennzahlen im Dashboard

Zum Bearbeiten eines Plans öffnen Sie das Ereignis in Ereignisse & Vorfälle.

Tipp: Schauen Sie während eines Vorfalls regelmäßig auf Offene Aktionen. In den ersten Stunden entscheidet schnelles Handeln über den Schaden.

4 Vorlagen vorbereiten

Für ISB und DSB, die die Reaktion auf typische Vorfälle vorbereiten.

4.1 Der Reiter Vorlagen

Der Reiter Vorlagen zeigt alle Vorlagen mit Bezeichnung, Beschreibung, Zahl der Zugeordneten Ereignisarten, Zahl der Aktionen und Aktiv. Am Zeilenende öffnen Sie eine Vorlage über das Augen-Symbol (Anzeigen) oder das Stift-Symbol (Bearbeiten). Suche in Tabelle filtert die Liste.

Abbildung 9: Reiter Vorlagen mit Massenaktionen

Tipp: Statt bei null zu beginnen, importieren Sie drei Standardvorlagen und passen sie an (siehe Kapitel Konfiguration).

4.2 Schritt 1: Vorlage anlegen

1. Klicken Sie im Reiter Vorlagen auf Anlegen.
2. Geben Sie im Dialog Neue Vorlage erstellen die Bezeichnung ein, z. B. Verlust von Datenträgern und Endgeräten.
3. Klicken Sie auf Speichern. Mit Weiteren Datensatz anlegen bleibt der Dialog für die nächste Vorlage offen.

Abbildung 10: Dialog Neue Vorlage erstellen

Die neue Vorlage steht in der Liste und ist sofort Aktiv. Öffnen Sie sie über das Stift-Symbol, um sie zu vervollständigen.

4.3 Schritt 2: Stammdaten

Die Vorlage hat die Reiter Stammdaten, Zugeordnete Ereignisarten und Aktionen.

1. Prüfen Sie im Reiter Stammdaten die Bezeichnung.
2. Beschreiben Sie unter Beschreibung, für welches Szenario die Vorlage gilt (bis 2.000 Zeichen).
3. Lassen Sie Aktiv eingeschaltet, wenn die Vorlage am Ereignis zur Auswahl stehen soll. Schalten Sie es aus, solange die Vorlage in Arbeit ist.
4. Klicken Sie auf Speichern.

Abbildung 11: Vorlage, Reiter Stammdaten

4.4 Schritt 3: Ereignisarten zuordnen

1. Öffnen Sie im Reiter Zugeordnete Ereignisarten die Auswahl.
2. Wählen Sie alle Ereignisarten, zu denen die Vorlage passt. Das Suchfeld hilft bei langen Listen, Alle auswählen markiert alle.
3. Klicken Sie auf Speichern.

Abbildung 12: Ereignisarten zuordnen

Die Auswahl zeigt die Ereignisarten Ihres Mandanten. Fehlt eine, legen Sie sie in der Konfiguration von Ereignisse & Vorfälle an.

4.5 Schritt 4: Aktionen je Phase anlegen

Der Reiter Aktionen hat einen Abschnitt je Phase. Jeder Abschnitt zeigt Reihenfolge, Bezeichnung, Beschreibung und Verantwortlicher.

Abbildung 13: Reiter Aktionen mit den Phasen

1. Klicken Sie im Abschnitt der Phase auf Aktion hinzufügen.
2. Geben Sie die Bezeichnung ein (Pflicht) und bei Bedarf eine Beschreibung.
3. Wählen Sie den Verantwortlichen und legen Sie die Reihenfolge innerhalb der Phase fest.
4. Klicken Sie auf Speichern. Die Aktion steht sofort in der Tabelle.

Abbildung 14: Dialog Aktion hinzufügen

Eine Aktion ändern Sie über das Stift-Symbol der Zeile. Zum Löschen markieren Sie Aktionen und klicken im Abschnitt auf Löschen.

Tipp: Formulieren Sie Aktionen so, dass jemand sie ohne Rückfrage ausführen kann: ein Verb und ein Gegenstand, z. B. „Zugangsdaten ändern“. Einzelheiten gehören in die Beschreibung.

4.6 Vorlagen verwalten

Abbildung 15: Vorlage im Lesemodus

Abbildung 16: Reiter Archiv mit Massenaktionen

Archivierte Vorlagen öffnen Sie nur im Lesemodus.

Tipp: Archivieren Sie Vorlagen, statt sie zu löschen. So bleibt nachvollziehbar, mit welchen Vorlagen frühere Vorfälle bearbeitet wurden.

4.7 Vorlagen auf andere Mandanten kopieren

Betreuen Sie mehrere Mandanten, übertragen Sie fertige Vorlagen auf andere Mandanten.

1. Markieren Sie die Vorlagen und wählen Sie Massenaktionen → Auf Mandant kopieren.
2. Wählen Sie im Dialog Vorlagen auf Mandant kopieren die Zielmandanten. Angeboten werden die Mandanten, in denen Sie Vorlagen anlegen dürfen.
3. Lassen Sie Fehlende Ereignisarten im Zielmandanten anlegen eingeschaltet, wenn die zugeordneten Ereignisarten dort fehlen dürfen.
4. Klicken Sie auf Auf Mandant kopieren.

Abbildung 17: Dialog Vorlagen auf Mandant kopieren

Kopiert werden die Vorlagen mit ihren Aktionen und Ereignisart-Zuordnungen. Die Verantwortlichen der Aktionen werden nicht übernommen, weil im Zielmandanten andere Personen zuständig sind.

5 Konfiguration

Zugriff: Standardvorlagen importiert nur, wer im Recht Incident Response das Sonderrecht hat. Vorlagen pflegen alle mit Schreiben. Die Rechte selbst vergibt die Administration in den Rollen.

Das Modul hat keine eigene Konfigurationsseite. Die Einrichtung besteht aus diesen Schritten:

1. Rechte vergeben – in den Rollen Incident Response und Ereignisse & Vorfälle (mindestens Lesen).
2. Ereignisarten prüfen – in der Konfiguration von Ereignisse & Vorfälle, Reiter Ereignisarten.
3. Vorlagen bereitstellen – Standardvorlagen importieren oder eigene anlegen.
4. Vorlagen vervollständigen – Ereignisarten zuordnen, Verantwortliche je Aktion eintragen, Aktiv prüfen.

5.1 Standardvorlagen importieren

Solange es keine Vorlagen gibt, zeigt der Reiter Vorlagen „Keine IRP-Vorlagen vorhanden.“

Abbildung 18: Reiter Vorlagen ohne Vorlagen

1. Klicken Sie im Reiter Vorlagen auf Standardvorlagen importieren.
2. Bestätigen Sie den Dialog Standard-Vorlagen mit Importieren.

Abbildung 19: Dialog Standard-Vorlagen

Es entstehen drei aktive Vorlagen:

Bestehende Vorlagen werden dabei nicht überschrieben. Führen Sie den Import nur einmal aus.

Wichtig: Die Standardvorlagen sind keiner Ereignisart zugeordnet und haben keine Verantwortlichen. Ergänzen Sie beides, bevor Sie sich im Ernstfall darauf verlassen.

5.2 Hilfe und Tour

Über das Fragezeichen oben rechts öffnen Sie die Hilfe zur aktuellen Ansicht. Ist für Incident Response eine geführte Tour eingerichtet, startet sie beim ersten Aufruf von selbst. Danach starten Sie sie in der Hilfe über das Symbol Tour erneut starten neu.

6 Glossar

7 Häufige Fragen

Warum wird mir am Ereignis keine Vorlage angeboten? Angeboten werden nur aktive Vorlagen, die einer Ereignisart des Ereignisses zugeordnet sind. Prüfen Sie in der Vorlage Aktiv und den Reiter Zugeordnete Ereignisarten. Sie können den Plan auch Ohne Vorlage erstellen.

Warum sehe ich den Reiter Incident Response am Ereignis nicht? Der Reiter erscheint erst, wenn in der Klassifikation des Ereignisses Vertraulichkeit, Integrität oder Verfügbarkeit betroffen ist.

Wirken Änderungen an einer Vorlage auf laufende Pläne? Nein. Beim Erstellen werden die Aktionen in den Plan kopiert. Spätere Änderungen an der Vorlage gelten nur für neue Pläne.

Kann ein Ereignis mehrere Pläne haben? Nein, je Ereignis gibt es einen Plan. Ergänzen Sie fehlende Schritte mit Aktion hinzufügen.

Wie bekommt eine Aktion eine Frist? Legen Sie über + Aufgabe eine Aufgabe mit Frist an. Die Spalte Frist zeigt dann die Frist der Aufgabe.

Warum sehe ich das Modul nicht in der Navigation? Es setzt die Compliance + ISMS Erweiterung und die Rechte Incident Response sowie Ereignisse & Vorfälle voraus. Wenden Sie sich an Ihre Administration.