Ein Vorfallsprotokoll einrichten, dem Auditoren vertrauen

Ein leeres Vorfallsprotokoll ist ein rotes Tuch für Auditoren. Es bedeutet nicht, dass keine Vorfälle aufgetreten sind – sondern dass sie nicht erfasst werden. So richten Sie ein praxistaugliches Protokoll ein.

„Wir hatten im vergangenen Jahr keinerlei Vorfälle" – ein Satz, den Auditoren mit hochgezogener Augenbraue quittieren. Nahezu jede Organisation erlebt Vorfälle – von einer entdeckten Phishing-Mail bis hin zu einem Passwort, das versehentlich in Slack eingefügt wurde. Sie zu protokollieren zeigt, dass Sie das Thema ernst nehmen.

Was ist ein Vorfall?

Jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Unternehmensinformationen (potenziell) beeinträchtigt. Vorfälle sind nicht dasselbe wie Datenpannen – viele bleiben klein und werden schnell behoben, doch sie verdienen eine Erfassung.

Was wird je Vorfall festgehalten?

• Datum + Uhrzeit der Entdeckung
• Kurze Beschreibung („Phishing-Mail scheinbar vom CEO")
• Kategorie (Phishing, verlorenes Gerät, Malware, unbeabsichtigte Offenlegung, Datenpanne, Sonstiges)
• Schweregrad (niedrig/mittel/hoch)
• Wer hat es gemeldet
• Wer hat es übernommen
• Status (offen, in Bearbeitung, geschlossen)
• Was wurde unternommen
• Ursache + Lessons Learned (beim Schließen)
• GDPR-Meldepflicht erforderlich? Ja/Nein + Begründung

Wo wird protokolliert?

Eine Airtable-, Notion-Datenbank oder ein separates Tabellenblatt ist völlig ausreichend – solange es strukturiert ist. Ab 50+ Vorfällen pro Jahr lohnt sich ein dediziertes Tool.

Verknüpfung mit dem Risikoregister

Jeder schwerwiegende Vorfall sollte im Risikoregister nachgezogen werden: Erhöhen Sie die Eintrittswahrscheinlichkeit, aktualisieren Sie die Maßnahme und senken Sie das Restrisiko, nachdem Gegenmaßnahmen ergriffen wurden.

Datenpannen-Meldung (GDPR)

Eine Datenpanne muss innerhalb von 72 Stunden nach Entdeckung bei der zuständigen Aufsichtsbehörde gemeldet werden. Siehe GDPR Datenpannen-Meldung. Ihr Vorfallsprotokoll ist der primäre Nachweis, dass Sie dies fristgerecht getan haben.