STOP.LI · Berichte · Ereignisse
Incident
Report.
Der Bericht zu einem Sicherheitsvorfall: intern als Lagebild für Krisenstab und Geschäftsleitung, extern als Grundlage für die Meldungen an Behörden in Deutschland und der Schweiz.
Auf einen
Blick.
AdressatKrisenstab, Geschäftsleitung, BehördenEin interner Bericht, aus dem die externen Meldungen abgeleitet werden. So bleiben Zahlen und Zeitpunkte konsistent.
RhythmusJe Vorfall, fortgeschriebenErstbericht, Aktualisierungen bei Statuswechsel, Abschlussbericht nach Ursachenanalyse.
ZweckEine Wahrheit, mehrere EmpfängerGesichertes und Vermutetes werden getrennt; jede Zahl hat einen Zeitstempel.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Kopf | Vorfall-ID, Klassifizierung, Status, verantwortliche Person. | Worum geht es und wer führt? |
| Zeitstempel | Eintreten, Entdeckung, Kenntnis, Einstufung als schwerwiegend oder erheblich, Meldungen; in UTC, Fristen zusätzlich in Lokalzeit. | Ab wann laufen welche Fristen? |
| Zusammenfassung | Was passiert ist, in drei Sätzen; gesichert und vermutet getrennt. | Was wissen wir sicher? |
| Auswirkungen | Betroffene Leistungen, Funktionen, Daten, Kunden; Dauer; geschätzte Kosten. | Wen und was trifft es? |
| Ursache | Bekannte oder vermutete Ursache, Angriffsweg, Kompromittierungsindikatoren. | Wie kam es dazu? |
| Massnahmen | Eindämmung, Beseitigung, Wiederherstellung; Stand und nächste Schritte. | Was tun wir und was wirkt? |
| Meldungen | Empfänger, Frist, Zeitpunkt, Referenznummer, nächste fällige Meldung. | Sind alle Meldungen fristgerecht? |
| Kommunikation | Kunden und betroffene Personen (z. B. Art. 19 Abs. 3 DORA, Art. 34 DSGVO, Art. 24 Abs. 4 DSG), Mitarbeitende, Medien, Dienstleister, Versicherer. | Wer wurde wann informiert? |
| Entscheide | Offene Entscheide mit Frist, etwa Abschaltung, Lösegeldfrage, Strafanzeige. | Was muss jetzt entschieden werden? |
Meldepflichten
und Inhalte.
Mehrere Regelwerke können für denselben Vorfall gelten. Die Fristen beginnen zu unterschiedlichen Zeitpunkten; der Bericht muss jeden Auslöser getrennt festhalten.
| Regelwerk | Fristen | Pflichtinhalte · Fundstelle |
|---|---|---|
| DORA · FinanzD | Erstmeldung spätestens 4 Stunden nach Einstufung als schwerwiegend, höchstens 24 Stunden nach Kenntnis (bei späterer Einstufung 4 Stunden ab Einstufung); Zwischenmeldung spätestens 72 Stunden nach Erstmeldung; Abschlussmeldung spätestens 1 Monat nach der letzten Zwischenmeldung. | Unter anderem Einstufungskriterien, betroffene Funktionen, Ursachen, Kosten und Verluste · Art. 19 DORA; Art. 1–5 VO 2025/301; Vorlagen VO 2025/302 |
| NIS2 · BSIG · Deutschland | Frühe Erstmeldung spätestens 24 Stunden, Meldung spätestens 72 Stunden nach Kenntnis; Abschlussmeldung spätestens 1 Monat nach der Meldung, sonst Fortschrittsmeldung. | Verdacht auf rechtswidrige Handlung, erste Bewertung mit Schweregrad, Ursache, Abhilfemassnahmen, grenzüberschreitende Auswirkungen · Art. 23 NIS2; § 32 BSIG |
| DSGVO · EU | Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde, ausser die Verletzung führt voraussichtlich nicht zu einem Risiko; Verspätung begründen. | Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen, Folgen, Massnahmen, Kontaktstelle; jede Verletzung dokumentieren · Art. 33 DSGVO |
| ISG · Schweiz | Innert 24 Stunden nach Entdeckung an das BACS; ergänzen, sobald neue Informationen vorliegen (gemäss BACS Vervollständigung innert 14 Tagen). | Meldepflichtige Organisation, Art und Ausführung des Angriffs, Auswirkungen, Massnahmen, geplantes Vorgehen · Art. 74d und 74e ISG |
| FINMA · FinanzCH | Erstmeldung an die FINMA innert 24 Stunden nach Entdeckung, mit Erstbeurteilung der Kritikalität; vollständige Meldung innert 72 Stunden über die Erhebungsplattform; abschliessender Ursachenbericht. Fristen zählen an Bankarbeitstagen; bei Schweregrad «schwerwiegend» läuft die 24-Stunden-Frist auch ausserhalb. | Erstmeldung formlos an den Key Account Manager, danach Pflichtfelder der Erhebungsplattform · Art. 29 Abs. 2 FINMAG; FINMA-AM 05/2020 und 03/2024 |
| revDSG · Schweiz | So rasch als möglich an den EDÖB bei voraussichtlich hohem Risiko. | Art, Zeitpunkt, betroffene Daten und Personen, Folgen, Massnahmen, Ansprechperson; Dokumentation mindestens zwei Jahre · Art. 24 DSG; Art. 15 DSV |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| FinanzD | Schwerwiegende IKT-bezogene Vorfälle werden der Geschäftsleitung gemeldet, mit Auswirkungen, Gegenmassnahmen und zusätzlichen Kontrollen. | Interner Bericht an die Geschäftsleitung ist Pflicht, nicht nur die Behördenmeldung. | Art. 17 Abs. 3 Bst. e DORA ↗ |
| Deutschland | Meldung an die gemeinsame Meldestelle von BSI und BBK in drei Stufen; Betreiber kritischer Anlagen ergänzen Angaben zur betroffenen Anlage. | Kenntniszeitpunkt sauber dokumentieren; er startet beide Fristen. | § 32 BSIG ↗ |
| Schweiz | Meldepflichtig sind Cyberangriffe auf kritische Infrastrukturen, die deren Funktionsfähigkeit gefährden, zu Manipulation oder Informationsabfluss führten, lange unentdeckt blieben oder mit Erpressung verbunden sind. | Prüfen und dokumentieren, welcher Auslöser nach Art. 74d ISG vorliegt. | Art. 74d ISG ↗ |
| FinanzCH | Banken, Versicherungen und Finanzmarktinfrastrukturen sind nach ISG meldepflichtig. Die 24-Stunden-Meldung kann über das BACS-Formular mit Weiterleitung an die FINMA erfolgen; die vollständige 72-Stunden-Meldung an die FINMA läuft weiterhin über deren Erhebungsplattform. | Beide Meldewege im Bericht führen, mit je eigener Frist und Referenz. | Art. 74b Abs. 1 Bst. e und Art. 74f ISG; FINMA-AM 03/2024 ↗ |
| Norm | Vorfälle werden geplant behandelt, bewertet, beantwortet und ausgewertet. | Bericht als Teil des Vorfallprozesses verankern. | ISO/IEC 27001:2022, Anhang A 5.24–5.26; NIST SP 800-61 Rev. 3 ↗ |
Häufige
Fehler.
FehlerZeitpunkte unklarOhne festgehaltenen Kenntnis- und Einstufungszeitpunkt lässt sich keine Frist belegen.
FehlerVermutung als FaktWas nicht gesichert ist, wird als Annahme gekennzeichnet und später bestätigt oder korrigiert.
FehlerWarten auf VollständigkeitDie Erstmeldung darf unvollständig sein. Wer wartet, bis alles bekannt ist, verpasst die Frist.
FehlerMehrere WahrheitenUnterschiedliche Zahlen in Behördenmeldung, Kundeninformation und Bericht an die Geschäftsleitung untergraben Vertrauen.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugIncident ResponseUnterstützt Eindämmung, Untersuchung und Wiederherstellung.WerkzeugCase ManagementHält Zeitachse, Entscheidungen und Belege des Falls fest.WerkzeugSIEMLiefert die Ereignisdaten zu Erkennung und Ausmass.WerkzeugStatus und Incident CommunicationSteuert die Information von Kunden und Partnern.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Fristenkalender DCH →, Post-Incident-Review →, Forensik-Zusammenfassung →.