Fragebogen fragt, wie wir auf einen Ransomware-Angriff reagieren

Ransomware fällt unter Incident-Handling, nicht nur unter Kontinuität

Die Frage zu Ransomware prüft normalerweise dein Antwortsverfahren, nicht deine Technik. Kunden möchten sehen, dass es einen festgelegten Prozess gibt: erkennen, eindämmen, wiederherstellen und den zuständigen Stellen melden. Das ist genau das Verfahren für Sicherheitsvorfälle aus Artikel 21 Absatz 2 Buchstabe b der NIS2 — wenn du diesen Prozess beschrieben hast, nutze diesen Text hier, nicht einen separaten Ransomware-Absatz. Eine separate Ransomware-Richtlinie ist also keine Voraussetzung; ein Incident-Verfahren, das Ransomware als Szenario benennt, ist normalerweise ausreichend.

Was häufig separat abgefragt wird, ist der Wiederherstellungsteil: kannst du den Dienst wieder in Betrieb nehmen, ohne das Lösegeld zu zahlen. Das gehört zu Sicherungen und der Notfallvorkehrung zur Wiederherstellung der Dienstleistung — Punkt c derselben Liste, Geschäftskontinuität und Krisenmanagement. Wenn du keine kürzlich getestete Sicherungs-Wiederherstellung hast, dann ist die Antwort auf das Ransomware-Szenario faktisch schwach, auch wenn dein Incident-Prozess auf dem Papier stimmt. Beantworte diesen Teil daher erst, wenn du weißt, ob der letzte Wiederherstellungstest durchgeführt wurde und wann.

Wo dies genau steht: Artikel 21 Absatz 2 Buchstabe b und c der NIS2-Richtlinie

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Maßnahmen, die eine Einrichtung ergreifen muss; Buchstabe b ist Incident Handling, Buchstabe c ist Business Continuity einschließlich Backup-Management und Disaster Recovery. Ein Ransomware-Angriff betrifft beide: die Erkennung und Reaktion fallen unter b, die Wiederherstellung ohne Zahlung an den Angreifer fällt unter c. Im niederländischen Cybersicherheitsgesetz — der niederländischen Umsetzung der NIS2-Richtlinie, das am 15. August 2026 in Kraft tritt — finden sich diese Verpflichtungen für Einrichtungen, die unter das Gesetz fallen; überprüfen Sie im Zweifelsfall, ob das Unternehmen selbst unter die NIS2-Richtlinie oder deren nationale Umsetzung fällt, denn das bestimmt, ob dies eine Verpflichtung ist oder nur eine Kundenerwartung. Wenn du mit ISO 27001 arbeitest, befindet sich das Äquivalent in Annex A: A.5.24 bis A.5.26 für Incident Management, A.5.29 und A.5.30 für Kontinuität und Disaster Recovery. Wenn du beides nicht formal festgelegt hast, dann ist die ehrlichste Antwort, dass du einen informellen Ansatz hast und kein dokumentiertes Verfahren — das ist eine andere Antwort als "ja", und es ist wichtig, diesen Unterschied beizubehalten.