Der Fragebogen fragt, ob wir ein SOC oder SIEM haben, was bedeutet das

SOC und SIEM sind beide Teil der Erkennung und Reaktion

SOC steht für Security Operations Center: ein Team oder eine Dienststelle, die Protokolle und Meldungen kontinuierlich überwacht. SIEM steht für Security Information and Event Management: die Software, die Protokolldaten aus Systemen sammelt, korreliert und Alarme auslöst. Sie gehören oft zusammen — das SIEM ist das Werkzeug, das SOC sind die Menschen, die damit arbeiten — aber das ist keine Voraussetzung. Ein SOC kann auch mit anderer Tooling arbeiten, und ein SIEM kann laufen, ohne dass dahinter ein separates Team sitzt, das 24/7 überwacht.

Wenn du keines von beiden hast, ist "nein" die richtige Antwort, keine Umgehung. Viele Kunden fragen danach als Indikator, wie ausgereift deine Erkennung und Reaktion ist, nicht als Anforderung an sich. Was du dann ergänzen kannst: wie Schwachstellen und Vorfälle bei dir dennoch erkannt und behandelt werden, auch ohne SOC oder SIEM — zum Beispiel über dem Verfahren zur Behandlung von Sicherheitsvorfällen und dem Prozess zur Erkennung und Behebung von Schwachstellen. Das gibt ein realistischeres Bild als ein bloßes "nein" ohne Erläuterung, und es liegt näher an dem, was der Kunde eigentlich wissen möchte.

Quelle hierzu: Artikel 21 Absatz 2 NIS2 und Annex A von ISO 27001

Die Frage stammt normalerweise nicht wörtlich aus einer Norm — weder Artikel 21 Absatz 2 der NIS2-Richtlinie noch Anhang A der ISO/IEC 27001 nennen SOC oder SIEM als separaten Pflichtbestandteil. Beide erfordern jedoch, dass eine Organisation Sicherheitsvorfälle erkennen und darauf reagieren kann, und ein SOC oder SIEM ist eine Möglichkeit, dies umzusetzen, kein Selbstzweck. Kunden, die unter den Cybersicherheitsgesetz fallen — die niederländische Umsetzung von NIS2, die am 15. August 2026 in Kraft tritt — übersetzen diese Erkenntnisanforderung manchmal in diese konkrete Frage in ihrem eigenen Fragebogen, auch wenn die zugrunde liegende Norm das Wort SIEM nicht verwendet.