Gilt die Pflicht zur Angriffserkennung auch für KMU?
Nicht unmittelbar: § 31 Abs. 2 BSIG gilt nur für Betreiber kritischer Anlagen. Andere besonders wichtige und wichtige Einrichtungen, darunter viele mittelständische Unternehmen, fallen unter die allgemeinen Risikomanagementmaßnahmen des § 30, die geeignete, verhältnismäßige und wirksame Maßnahmen verlangen, um Störungen zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten, einschließlich der Bewältigung von Sicherheitsvorfällen (§ 30 Abs. 2 Nr. 2). § 30 nennt Angriffserkennung nicht ausdrücklich, doch Vorfälle zu bewältigen und die 24-Stunden-Stufe des § 32 einzuhalten, ist ohne eine Möglichkeit, sie zu bemerken, schwer; viele Einrichtungen setzen deshalb risikogerecht Erkennung ein. Kunden, die kritische Anlagen betreiben, können sie von Lieferanten auch vertraglich verlangen. Dokumentieren Sie, warum die gewählte Erkennung zu Größe und Risiko passt. NetSenX bietet Netzwerkerkennung in jedem Plan, auch im Free-Plan, und sagt, was es nicht sieht.
Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.