muss ich unseren Notfallplan als Dokument an den Kunden schicken

Normalerweise nicht das ganze Dokument, sondern die Kerndaten

Nein, in den meisten Fällen muss der vollständige Incident-Response-Plan nicht als Anlage beigefügt werden. Portale, die nach Incident-Response fragen — Teil von dem Verfahren zur Behandlung von Sicherheitsvorfällen — möchten normalerweise wissen, oder ob ein Verfahren vorhanden ist, wer verantwortlich ist und innerhalb welcher Zeit ein Incident eskaliert und gemeldet wird. Das sind Fragen, die Sie mit einem Ja/Nein und einer kurzen Erläuterung beantworten, nicht mit dem vollständigen Handbuch einschließlich Kontaktbäumen und Systemnamen.

Es gibt zwei Situationen, in denen eine Anlage tatsächlich verlangt wird: wenn der Kunde den Fragetyp "Laden Sie Ihren Incident-Response-Plan hoch" explizit angegeben hat, oder wenn es sich um eine Audit-Checkliste handelt, die Nachweise verlangt. In diesem Fall ist oft eine Zusammenfassungsversion — eine Seite mit Umfang, Rollen, Meldungsfristen und Eskalationswegen ohne sensible technische Details — ausreichend. Ob ein vollständiger Plan oder eine Zusammenfassung erforderlich ist, ergibt sich aus dem Fragetext selbst; wenn dort "beschreiben" steht anstelle von "hochladen", ist eine textliche Antwort angemessener als eine Anlage.

Warum es diesen Unterschied gibt: Artikel 21 Absatz 2 NIS2

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Incident-Handling als eine der zehn obligatorischen Maßnahmen, schreibt aber keine Dokumentform vor — die Richtlinie verlangt einen Prozess, nicht ein spezifisches Upload-Format. ISO/IEC 27001 Anhang A konkretisiert dies in Kontrollmaßnahmen zu Reaktion und Wiederherstellung, und dort sehen Sie das gleiche Muster: Der Standard prüft, ob der Prozess vorhanden ist und funktioniert, nicht ob es ein eindeutig definiertes Dokument gibt, das "Incident-Response-Plan" heißt. Das erklärt, warum die meisten Portale mit einer Beschreibung im Antwortfeld zufrieden sind, und warum eine Anlage erst erforderlich ist, wenn die Frage das ausdrücklich verlangt. Wenn Sie den Prozess noch nicht dokumentiert haben, ist es oft einfacher, zunächst die Richtlinie für Risikoanalyse und Informationssicherheit zu regeln — Incident-Response baut darauf normalerweise auf.