§ 9 Berichtspflichten

Permalink zu Abs. 1recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-1 Kopieren ⧉(1) Die wichtigen Behörden unterrichten das CSIRT unverzüglich über jeden erheblichen Sicherheitsvorfall nach § 3 Nummer 9. Die wichtigen Behörden sollen die Empfängerinnen und Empfänger ihrer Dienste unverzüglich über den erheblichen Sicherheitsvorfall unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen kann. Melden sie der zuständigen Behörde einen erheblichen Sicherheitsvorfall, leitet die zuständige Behörde nach § 5 die Meldung nach Eingang an das CSIRT weiter. Sofern die Europäische Kommission Durchführungsrechtsakte über die Art der Angaben, das Format und das Verfahren der Meldung nach Absatz 1 oder für die Mitteilung nach diesem Absatz erlässt, sind diese zu beachten.

Permalink zu Abs. 2recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-2 Kopieren ⧉(2) Die wichtigen Behörden sollen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängerinnen und Empfängern ihrer Dienste unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mitteilen, die diese Empfängerinnen und Empfänger als Reaktion auf diese Bedrohung ergreifen können.

Permalink zu Abs. 3recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-3 Kopieren ⧉(3) Eine von einem erheblichen Sicherheitsvorfall betroffene wichtige Behörde übermittelt dem CSIRT für die Zwecke der Meldung nach Absatz 1 das Folgende:

1. unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Frühwarnung, in der gegebenenfalls angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder über das Land Nordrhein-Westfalen hinaus übergreifende Auswirkungen haben könnte,

2. unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Meldung über den Sicherheitsvorfall, in der gegebenenfalls die unter Nummer 1 genannten Informationen aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden,

3. auf Ersuchen eines CSIRT oder gegebenenfalls der zuständigen Behörde einen Zwischenbericht über relevante Statusaktualisierungen,

4. spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls nach Nummer 2 einen Abschlussbericht, der Folgendes enthält:

a) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen,

b) Angaben zur Art der Bedrohung oder der zugrundeliegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat,

c) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen und

d) gegebenenfalls die über das Land Nordrhein-Westfalen hinausgreifenden Auswirkungen des Sicherheitsvorfalls und

5. im Falle eines andauernden Sicherheitsvorfalls zum Zeitpunkt der Vorlage des Abschlussberichts nach Nummer 4 einen Fortschrittsbericht zu diesem Zeitpunkt und einen Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls.

Permalink zu Abs. 4recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-4 Kopieren ⧉(4) Das CSIRT oder die zuständige Behörde nach § 5 übermitteln der meldenden Behörde unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung nach Absatz 3 Nummer 1 eine Antwort, einschließlich einer ersten Rückmeldung zu dem erheblichen Sicherheitsvorfall und, auf Ersuchen der Behörde, Orientierungshilfen oder eine operative Beratung für die Durchführung möglicher Abhilfemaßnahmen. Sofern die betroffene Behörde zusätzliche technische Unterstützung ersucht, ist die zuständige Behörde nach § 5 durch das CSIRT unverzüglich zu beteiligen. Wird bei dem erheblichen Sicherheitsvorfall ein krimineller Hintergrund vermutet, gibt das CSIRT ferner Orientierungshilfen für die Meldung des Sicherheitsvorfalls an die Strafverfolgungsbehörden.

Permalink zu Abs. 5recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-5 Kopieren ⧉(5) Wenn der erhebliche Sicherheitsvorfall weitere Länder, den Bund oder einen anderen Mitgliedstaat betrifft, unterrichtet das CSIRT unverzüglich die zentrale Anlaufstelle des Bundes für Sicherheit in der Informationstechnik. Die zu übermittelnden Informationen umfassen die Art der nach Absatz 3 erhaltenen Informationen.

Permalink zu Abs. 6recht.nulegal.eu/gesetze/InfoSiG%20NRW/9#abs-6 Kopieren ⧉(6) Ist eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder einen laufenden erheblichen Sicherheitsvorfall zu bewältigen oder liegt die Offenlegung des erheblichen Sicherheitsvorfalls anderweitig im öffentlichen Interesse, so kann das CSIRT nach Zustimmung der zuständigen Behörde nach § 5 und nach Anhörung der betreffenden Behörde die Öffentlichkeit über den erheblichen Sicherheitsvorfall auf geeignetem Wege informieren oder die Behörde auffordern, dies zu tun.