Was ist ein CSIRT oder CERT?
Ein CSIRT ist ein Team für eine festgelegte Nutzer- oder Organisationsgruppe, das Sicherheitsvorfallmeldungen entgegennimmt und die Reaktion unterstützt und koordiniert; CERT ist eine verbreitete Bezeichnung dafür. Im NIS-2-Recht meint CSIRT insbesondere staatlich benannte oder eingerichtete Computer-Notfallteams.
Technische Einordnung: Nach RFC 2350 kennzeichnen ein solches Team insbesondere eine definierte Zuständigkeit, ein sicherer Meldekanal, Unterstützung bei der Vorfallbearbeitung und die Weitergabe vorfallbezogener Informationen. „CERT“ und „CSIRT“ können technisch ähnlich verwendet werden; sie sind aber nicht pauschal identische Rechtskategorien.
Der Normwortlaut
Jeder Mitgliedstaat benennt ein oder mehrere CSIRTs oder richtet sie ein. Die CSIRTs können innerhalb einer zuständigen Behörde benannt oder eingerichtet werden. Die CSIRTs erfüllen die in Artikel 11 Absatz 1 festgelegten Anforderungen, decken mindestens die in den Anhängen I und II genannten Sektoren, Teilsektoren und Arten von Einrichtungen ab und sind für die Bewältigung von Sicherheitsvorfällen nach einem genau festgelegten Ablauf zuständig.
Artikel 10 Absatz 1 der Richtlinie (EU) 2022/2555 (NIS 2).
Rechtliche Einordnung: Adressat dieser Organisationspflicht ist jeder Mitgliedstaat. Ein zusätzlicher ereignisbezogener Auslöser ist nicht vorgesehen. Die Pflicht erfasst die nach Artikel 10 benannten oder eingerichteten nationalen CSIRTs.
Für wen ist die CSIRT-Regelung relevant?
Die Pflicht aus Artikel 10 NIS 2 richtet sich an die Mitgliedstaaten, nicht unmittelbar an jedes von NIS 2 erfasste Unternehmen. Die nationalen CSIRTs müssen mindestens die Sektoren, Teilsektoren und Einrichtungsarten der Anhänge I und II abdecken. Ein CSIRT darf innerhalb einer zuständigen Behörde angesiedelt sein.
Deutscher Rechtsrahmen: Das BSIG weist dem BSI Aufgaben im CSIRTs-Netzwerk sowie die Funktion des nationalen Koordinators für die koordinierte Schwachstellenoffenlegung zu (§ 3 Absatz 1 Nummer 3 und § 5 Absatz 1 BSIG). Daraus folgt nicht, dass jedes Unternehmen ein eigenes CSIRT einrichten muss.
Welche Aufgaben und Auslöser gelten für nationale CSIRTs?
Die Aufgaben nach Artikel 11 Absatz 3 gelten für die nach Artikel 10 benannten oder eingerichteten CSIRTs. Viele davon sind fortlaufend, darunter die Überwachung und Analyse von Cyberbedrohungen, Schwachstellen und Sicherheitsvorfällen, Warnungen, Incident Response, Unterstützung sowie forensische Datenerhebung und -analyse.
Unterstützung bei der Echtzeit- oder nahezu Echtzeit-Überwachung erfolgt auf Anfrage. Ein Schwachstellenscan nach Artikel 11 Absatz 3 Buchstabe e setzt das Ersuchen einer wesentlichen oder wichtigen Einrichtung voraus und betrifft Schwachstellen mit potenziell signifikanten Auswirkungen.
Welche Grenzen und Sonderrollen bestehen?
CSIRTs dürfen öffentlich zugängliche Netz- und Informationssysteme wesentlicher und wichtiger Einrichtungen proaktiv prüfen, jedoch nur nicht intrusiv, zur Ermittlung und Mitteilung anfälliger oder unsicher konfigurierter Systeme und ohne nachteilige Auswirkungen auf das Funktionieren der Dienste.
Nur das nach Artikel 12 Absatz 1 benannte CSIRT ist Koordinator für die koordinierte Schwachstellenoffenlegung. Es vermittelt erforderlichenfalls auf Ersuchen der meldenden Person oder des Herstellers beziehungsweise Anbieters. Bei potenziell erheblichen Auswirkungen in mehreren Mitgliedstaaten arbeitet es, soweit angezeigt, mit dort benannten Koordinator-CSIRTs zusammen.
Kooperation und Informationsaustausch mit Computer-Notfallteams aus Drittländern sind nach Artikel 10 Absätze 7 und 8 erlaubt, aber nicht vorgeschrieben. Werden dabei personenbezogene Daten ausgetauscht, gilt das Datenschutzrecht der Union.
Welche Fristen und Schwellenwerte sind wichtig?
Für die technische Reaktion eines CSIRT besteht keine allgemeine Stundenfrist. Davon getrennt gelten Meldefristen für wesentliche und wichtige Einrichtungen bei einem erheblichen Sicherheitsvorfall: Frühwarnung unverzüglich und spätestens binnen 24 Stunden nach Kenntnisnahme, Meldung unverzüglich und spätestens binnen 72 Stunden nach Kenntnisnahme sowie grundsätzlich ein Abschlussbericht spätestens einen Monat nach der Meldung.
Ein Vorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Dauert der Vorfall beim Fälligkeitstermin des Abschlussberichts noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht und innerhalb eines Monats nach Behandlung des Vorfalls ein Abschlussbericht zu übermitteln. Für Vertrauensdiensteanbieter gilt bei erheblichen Vorfällen, die ihre Vertrauensdienste beeinträchtigen, abweichend von der 72-Stunden-Frist eine Meldung unverzüglich und spätestens binnen 24 Stunden nach Kenntnisnahme.
Nach § 36 Absatz 1 BSIG bestätigt das BSI den Eingang einer Meldung nach § 32 unverzüglich und nach Möglichkeit innerhalb von 24 Stunden. Das ist eine Rückmeldefrist des BSI ab Eingang der Meldung, keine allgemeine Reaktionsfrist für jedes CSIRT.
Wie unterscheidet sich ein CSIRT von SOC und Ticketsystem?
Ein Name allein entscheidet nicht. Ein CSIRT benötigt eine festgelegte Nutzer- oder Organisationsgruppe, definierte Kontakt- und Meldewege sowie Verfahren zur Unterstützung und Koordination der Vorfallbearbeitung. Ein Ticketsystem oder ein Security Operations Center kann Teile davon unterstützen, ist aber nicht allein aufgrund seiner Bezeichnung ein CSIRT. Die Aufgaben aus Artikel 11 NIS 2 gelten unmittelbar nur für die national benannten oder eingerichteten CSIRTs und nicht automatisch als Pflichtenheft jedes privaten Reaktionsteams.
Häufige Fehlannahmen
- „CERT und CSIRT sind immer rechtlich identisch.“ Nein. CERT ist eine verbreitete technische Bezeichnung; die rechtliche CSIRT-Rolle nach NIS 2 beruht auf staatlicher Benennung oder Einrichtung.
- „Jedes NIS-2-Unternehmen muss ein eigenes CSIRT betreiben.“ Nein. Artikel 10 verpflichtet Mitgliedstaaten. Auch das BSIG schreibt Unternehmen nicht ausdrücklich ein eigenes internes CSIRT vor.
- „Ein nationales CSIRT darf Unternehmenssysteme beliebig scannen.“ Nein. Der Scan nach Artikel 11 Absatz 3 Buchstabe e erfordert ein Ersuchen; eine proaktive Prüfung öffentlich zugänglicher Systeme muss nicht intrusiv und betriebsunschädlich sein.
- „Jedes CSIRT koordiniert Schwachstellenoffenlegungen.“ Nein. Diese Sonderrolle hat nur das nach Artikel 12 Absatz 1 benannte Koordinator-CSIRT.
- „Die 24-Stunden-Frist ist eine allgemeine technische Reaktionsfrist des CSIRT.“ Nein. Sie betrifft je nach Regelung eine Frühwarnung, die besondere Meldung eines Vertrauensdiensteanbieters oder die Rückmeldung des BSI; Adressat und Startpunkt unterscheiden sich.
Was die Geschäftsleitung tun sollte
Rechtspflicht: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 Absatz 1 BSIG die nach § 30 erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. § 30 Absatz 2 umfasst die Bewältigung von Sicherheitsvorfällen. Nach § 38 Absatz 3 ist regelmäßig an Schulungen teilzunehmen. Zu beachten sind die Nichtanwendungstatbestände des § 28 Absätze 5 und 6 sowie für Einrichtungen der Bundesverwaltung § 29 Absatz 2 BSIG.
Praxisempfehlung:
- Den eigenen Anwendungsbereich einschließlich gesetzlicher Nichtanwendungstatbestände dokumentiert prüfen.
- Verantwortung, sichere Kontaktwege, Erreichbarkeit und Eskalation für die Vorfallbearbeitung verbindlich festlegen.
- Meldewege nach § 32 BSIG samt Zeitmessung für die einschlägigen Fristen organisatorisch vorbereiten.
- Incident-Response- und Meldeabläufe regelmäßig testen und Entscheidungen, Meldungen sowie Zeitpunkte nachweisbar dokumentieren.
- Bewusst entscheiden, ob die Funktion intern, durch einen Dienstleister oder in anderer geeigneter Organisationsform erbracht wird; das Gesetz schreibt kein eigenes internes CSIRT ausdrücklich vor.
Für die Geschäftsleitung
Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen; § 30 Absatz 2 umfasst die Bewältigung von Sicherheitsvorfällen. Zu beachten sind die Nichtanwendungstatbestände des § 28 Absätze 5 und 6 sowie für Einrichtungen der Bundesverwaltung § 29 Absatz 2 BSIG. Davon getrennt sollten sie Zuständigkeiten und Meldewege festlegen, über eine interne, externe oder andere geeignete Organisationsform entscheiden und deren Wirksamkeit überwachen. Als Nachweis eignen sich dokumentierte Rollen, erreichbare Kontaktkanäle, getestete Eskalations- und Meldeabläufe, Schulungsbelege sowie Zeit- und Entscheidungsprotokolle.
Quellen
Amtliche Quellen:
- Richtlinie (EU) 2022/2555 (NIS 2), insbesondere Artikel 10 bis 12 und 23
- BSIG, insbesondere §§ 3, 5, 28 bis 30, 32, 36 und 38
Autoritative technische Quelle:
