Gibt es ein Verfahren zur Behandlung von Sicherheitsvorfällen?

Vorfallbehandlung ist eine der zehn erforderlichen Maßnahmen

Ja, und diese Frage prüft speziell die zweite der zehn Maßnahmen aus artikel 21 lid 2 NIS2: "Vorfallbehandlung" steht wörtlich neben Risikoanalyse als eigene Kategorie. Wer diese Frage gestellt bekommt, muss also nicht nur sagen, dass es ein Verfahren gibt, sondern auch zeigen, was darin enthalten ist: wie ein Vorfall gemeldet wird, wer sich darum kümmert, welche Schritte unternommen werden und wie festgehalten wird, was vorgefallen ist. Ein Verfahren ohne Verantwortlichen oder ohne festgelegte Schritte überzeugt einen Auditor nicht, auch wenn das Dokument existiert.

Konkreter Nachweis ist üblicherweise eine Verfahrensbeschreibung oder ein Runbook, mit darin Klassifizierung von Vorfällen (Schweregrad, Auswirkung), einer Meldestelle oder Kontaktperson und einem Schritt zur Evaluierung im Anschluss. Diese Evaluierung ist nicht dekorativ: ohne eine etablierte Methode zum Ereignisse in den Systemen festzuhalten und zu speichern, gibt es keine Grundlage, um einen Vorfall zu rekonstruieren oder nachzuweisen, dass er behandelt wurde. Fehlt das Verfahren noch, dann ist "nein, in Entwicklung" eine ehrlichere Antwort als ein Verfahren zu erfinden, das es nicht gibt — die Frageliste fragt nach dem, was es gibt, nicht nach einer Absicht.

Wie dies mit Kontinuität und Risikoanalyse zusammenhängt

artikel 21 lid 2 nennt die zehn Maßnahmen als Ganzes, und Vorfallbehandlung steht nicht isoliert vom Rest. Ein Vorfall, der die Diensterbringung betrifft, aktiviert oft den Punkt über Sicherungen und eine Notfalllösung zur Wiederherstellung der Diensterbringung; ein Vorfallverfahren, das nicht auf den Wiederherstellungsplan verweist, ist unvollständig. Auch ist Vorfallbehandlung das Schlussglied von Strategie zur Risikoanalyse und zum Schutz von Informationssystemen: Risikoanalyse sagt voraus, was schiefgehen kann, Vorfallbehandlung regelt, was geschieht, wenn es dennoch schiefgeht. Ein Kunde, der nach dem Verfahren fragt, prüft also implizit, ob diese beiden aufeinander abgestimmt sind.