Planung & Vorbereitung (Plan and Prepare)
Incident-Response-Policy, Rollen, ein Incident Response Team (IRT), Meldewege, Playbooks, Werkzeuge und Awareness werden vor dem ersten Vorfall aufgesetzt – die Grundlage jeder belastbaren Reaktion.
GRC · Incident Management
ISO/IEC 27035 Sicherheitsvorfälle strukturiert beherrschen
Der internationale Standard für das Management von Informationssicherheitsvorfällen (Information Security Incident Management) liefert das Prozessfundament hinter Incident Response und Forensik – von der Vorbereitung bis zur Lessons-Learned-Schleife.
27035-1:2023Aktuelle Ausgabe (Teil 1, 2. Edition)
MehrteiligTeile 1–4 (Prozess, Planung, ICT-Response, Koordination)
Nicht zertifizierbarLeitlinie, keine Zertifizierungsnorm
NIS2 & DORANormbasis für Melde- und Reaktionspflichten
Was ISO/IEC 27035 regelt
ISO/IEC 27035 beschreibt einen strukturierten, wiederholbaren Lebenszyklus für den Umgang mit Informationssicherheitsvorfällen. Statt ad hoc auf Angriffe, Ausfälle oder Datenabflüsse zu reagieren, etabliert die Norm einen durchgängigen Prozess: erkennen, melden, bewerten, entscheiden, eindämmen, wiederherstellen und aus jedem Vorfall lernen.
Die Norm ist mehrteilig aufgebaut: Teil 1 (27035-1:2023) definiert Grundsätze und den Prozess, Teil 2 (27035-2:2023) die Planung und Vorbereitung, Teil 3 (27035-3:2020) die operative ICT-Incident-Response und Teil 4 (27035-4:2024) die organisationsübergreifende Koordination. ISO/IEC 27035 ist eine Leitlinie und selbst nicht zertifizierbar – sie ist aber das operative Rückgrat für die Vorfallsbehandlung eines nach ISO/IEC 27001 zertifizierten ISMS.
Der 5-Phasen-Lebenszyklus
ISO/IEC 27035 gliedert die Vorfallsbehandlung in fünf aufeinander aufbauende Phasen.
Erkennung & Meldung (Detection and Reporting)
Ereignisse werden über Monitoring, SIEM, Meldungen und Detektion erfasst, als sicherheitsrelevant erkannt und über definierte Kanäle zeitnah gemeldet.
Bewertung & Entscheidung (Assessment and Decision)
Gemeldete Ereignisse werden triagiert, klassifiziert und priorisiert. Es wird entschieden, ob ein Sicherheitsvorfall (Incident) vorliegt und welche Eskalation nötig ist.
Reaktion (Responses)
Eindämmung (Containment), Beseitigung (Eradication), Wiederherstellung (Recovery) und – wo nötig – forensische Beweissicherung sowie interne und externe Kommunikation, inklusive Behördenmeldungen.
Lessons Learned
Nachbereitung, Ursachenanalyse (Root Cause), Aktualisierung von Kontrollen und Playbooks sowie Kennzahlen – der Vorfall verbessert nachweislich das Sicherheitsniveau.
Brücke zu NIS2, DORA und ISO 27001
ISO/IEC 27035 ist der normative Unterbau für regulatorische Melde- und Reaktionspflichten im DACH-Raum.
NIS2 (Art. 23 Meldepflichten)
Die gestuften Meldefristen der NIS2-Richtlinie – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats – setzen exakt den Prozess voraus, den ISO/IEC 27035 mit Erkennung, Bewertung und Meldung liefert.
DORA (Incident Reporting)
Für Finanzunternehmen deckt der Lebenszyklus die Klassifizierung und Meldung schwerwiegender IKT-Vorfälle (major ICT-related incidents) nach DORA normseitig ab – von der Erstmeldung bis zum Abschlussbericht.
ISO/IEC 27001 (A.5.24–A.5.28)
Die Controls A.5.24 bis A.5.28 des ISO/IEC 27001:2022-Anhangs A (Planung, Bewertung, Reaktion, Lernen, Beweissicherung) werden durch ISO/IEC 27035 direkt operationalisiert und auditfest belegt.
CRA & Schwachstellenbehandlung
Der Cyber Resilience Act (CRA) verlangt aktive Schwachstellenbehandlung und Meldung ausgenutzter Schwachstellen – die Reaktions- und Meldeprozesse aus 27035 lassen sich unmittelbar darauf ausrichten.
So gehen wir mit Ihnen vor
Von der Bestandsaufnahme zur einsatzfähigen Incident-Response-Fähigkeit.
01
1 · Reifegrad & Gap-Analyse
Wir bewerten Ihre bestehende Vorfallsbehandlung gegen die fünf Phasen der ISO/IEC 27035 und gegen Ihre regulatorischen Pflichten (NIS2, DORA, ISO 27001).
02
2 · Prozess & Playbooks
Wir gestalten Incident-Response-Policy, Rollen, Meldeketten und szenariobasierte Playbooks – inklusive der 24h/72h/1-Monat-Meldelogik.
03
3 · Enablement & Übung
Wir befähigen Ihr Incident Response Team über Tabletop-Übungen und simulierte Vorfälle und binden Detektion, SIEM und Eskalation ein.
04
4 · Betrieb & Verbesserung
Wir verankern Lessons-Learned-Schleifen, Kennzahlen und regelmäßige Reviews – der Prozess bleibt wirksam und audittauglich.
Quellen & weiterführende Seiten
Primärquellen zur Norm und passende Leistungen von VamiSec.
Primärquellen (ISO)
ISO/IEC 27035-1:2023 Teil 1: Grundsätze und Prozess (Principles and process).ISO/IEC 27035-2:2023 Teil 2: Leitlinien zur Planung und Vorbereitung der Incident Response.ISO/IEC 27035-3:2020 Teil 3: Leitlinien für ICT-Incident-Response-Operationen.ISO/IEC 27035-4:2024 Teil 4: Koordination (Coordination) über Organisationsgrenzen hinweg.
Passende VamiSec-Leistungen
Häufige Fragen
Antworten zu ISO/IEC 27035 in der Praxis.
Kann man sich nach ISO/IEC 27035 zertifizieren lassen?
Nein. ISO/IEC 27035 ist eine Leitlinie (Guidance) und selbst nicht zertifizierbar. Zertifizierbar ist das übergeordnete ISMS nach ISO/IEC 27001; ISO/IEC 27035 liefert dafür den operativen Incident-Management-Prozess, insbesondere für die Controls A.5.24–A.5.28.
Wie hilft ISO/IEC 27035 bei den NIS2-Meldepflichten?
Die Norm etabliert genau die Prozessschritte – Erkennung, Bewertung, Entscheidung, Meldung –, die nötig sind, um die gestuften NIS2-Fristen (24 Stunden Frühwarnung, 72 Stunden Meldung, ein Monat Abschlussbericht) zuverlässig einzuhalten.
Was ist der Unterschied zwischen einem Ereignis und einem Vorfall?
Ein Ereignis (Event) ist eine erkennbare Zustandsänderung, die sicherheitsrelevant sein kann. Ein Vorfall (Incident) ist ein oder mehrere Ereignisse, die die Informationssicherheit tatsächlich gefährden. Die Phase Bewertung & Entscheidung trifft genau diese Unterscheidung.
Aus welchen Teilen besteht die Normreihe?
Aus vier Teilen: 27035-1:2023 (Grundsätze und Prozess), 27035-2:2023 (Planung und Vorbereitung), 27035-3:2020 (ICT-Incident-Response-Operationen) und 27035-4:2024 (Koordination über Organisationsgrenzen hinweg).
Brauchen wir 27035, wenn wir schon ISO 27001 haben?
ISO/IEC 27001 fordert einen Incident-Management-Prozess, beschreibt ihn aber nur knapp. ISO/IEC 27035 detailliert diesen Prozess und macht ihn belastbar – das schließt die Lücke zwischen Anforderung und auditfester Umsetzung.
Machen Sie Ihre Vorfallsbehandlung einsatzfähig
Wir bringen Ihre Incident Response auf ISO/IEC-27035-Niveau – abgestimmt auf NIS2, DORA und Ihr ISO-27001-ISMS.