Wie trage ich ein, dass Mitarbeiter einen Sicherheitsvorfall melden können

Interne Meldestelle ist der Nachweis, nicht eine Absicht

Diese Frage bezieht sich auf den Meldekanal selbst: können Mitarbeiter einen Vorfall intern melden, und geschieht das auch tatsächlich. Das ist etwas anderes als die Frage, ob die Organisation Vorfälle registriert oder bearbeitet — das gehört zu dem Verfahren zur Behandlung von Sicherheitsvorfällen. Hier möchte der Kunde konkret wissen, ob es einen niedrigschwelligen, bekannten Weg gibt, über den ein Mitarbeiter etwas ansprechen kann: eine E-Mail-Adresse, ein Ticketsystem, ein Name im Intranet. Der Nachweis ist also nicht das Verfahren im Ganzen, sondern der konkrete Kanal plus etwas, das zeigt, dass Mitarbeiter diesen Kanal kennen — ein Screenshot des Intranets, ein Auszug aus dem Onboarding-Dokument oder eine Schulungsfolie.

Hast du das nicht separat dokumentiert, dann ist "nein" oder "teilweise" die ehrliche Antwort, auch wenn es ein Vorfallverfahren gibt, das nur vom IT-Team verwendet wird. Fülle "ja" nicht allein auf Grundlage des Verfahrens aus; die Frage prüft Bewusstsein und Erreichbarkeit, nicht allein Prozess. Wenn es Sensibilisierungsschulung gibt, die den Meldekanal behandelt, ist das oft der stärkste Nachweis — überprüfe das gegen die Schulung in Basispraktiken für Cyberhygienedenn diese beiden Antworten müssen untereinander konsistent sein. Stimmt das nicht überein, fällt das in einer Audit-Stichprobe schneller auf als ein einzelner fehlender Nachweis.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Diese Anforderung stammt aus Artikel 21 Absatz 2 der NIS2-Richtlinie, wobei Vorfallbehandlung eine der zehn obligatorischen Maßnahmen ist; das Cybersicherheitsgesetz setzt dies ab 15. August 2026 in deutsches Recht um. ISO/IEC 27001 arbeitet dies in Annex A bis zur Ebene der Meldekanäle und Sensibilisierung aus, und Kunden, die mit einer ISO-Frageliste arbeiten, fragen oft direkt nach diesem Annex A-Kontrollpunkt. Ist die Organisation selbst zertifiziert, liegt dieser Nachweis normalerweise bereits vor — siehe das ISO 27001-Zertifikat um das nachweisbar zu machen.