Der Fragebogen fragt, ob wir in den letzten Jahren einen Cybervorfall hatten

Eine Incident-Frage behandelt Fakten, nicht Image

Die Frage, ob Sie in den letzten Jahren einen Cybervorfall hatten, verlangt eine sachliche Antwort: ja oder nein, und bei ja meist mit einer kurzen Erläuterung zu Art, Auswirkung und Handhabung. Es gibt keine richtige oder falsche Antwort — ein "ja" mit ordnungsgemäßer Handhabung ist für viele Kunden glaubwürdiger als ein unbegründetes "nein" von einem Lieferanten, der sonst nichts über seine Sicherheit vorweisen kann. Worauf es ankommt: Können Sie die Antwort belegen?

War es einen Vorfall, ist das Nachweisstück nicht der Vorfall selbst, sondern dessen Handhabung: wurde es gemeldet, untersucht und verfolgt nach einem festgelegten Verfahren? Das ist genau das, worauf dem Verfahren zur Behandlung von Sicherheitsvorfällen fragt, und Kunden kombinieren diese Frage oft mit den beiden anderen. Gab es keinen Vorfall, dann ist "nein" die Antwort, gegebenenfalls mit einem Verweis auf die Erkennungsmaßnahmen, die das belegen — siehe dem Prozess zur Erkennung und Behebung von Schwachstellen. Ohne Incident-Register oder -Protokoll ist "nein" immer noch eine gültige Antwort, aber dann ohne zugrundeliegende Nachweise; Sie können dies in der Erläuterung erwähnen, anstatt einen nicht vorhandenen Nachweis zu erfinden.

Warum dies unter die zehn Maßnahmen fällt

Incident Handling ist eine der zehn konkreten Maßnahmen, die Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) als Teil der Cybersicherheitspolitik einer Entität nennt. In der niederländischen Umsetzung durch das Cybersecurity Act — das am 15. August 2026 in Kraft tritt — findet sich dieselbe Anforderung für Entitäten, die unter dieses Gesetz fallen. In der Praxis ist daher eine Frage über frühere Incidents oft ein indirekter Test der Frage, ob die Organisation einen Incident-Prozess hat, nicht nur des Incidents selbst. Wer ISO/IEC 27001 anwendet, erkennt dasselbe Thema in Annex A unter den Kontrollmaßnahmen für „information security incident management