Bemerkt jemand in Ihrer Organisation etwas Verdächtiges, meldet er es in Varmo unter „Vorfälle“, lieber einmal zu viel. Das Vorfall-Team beurteilt die Meldung, behandelt den Vorfall und hält in der Nachbereitung Ursache und Erkenntnisse fest. Diese Anleitung richtet sich an alle Mitarbeitenden und an das Vorfall-Team.

Bevor Sie beginnen

  • Melden dürfen standardmässig alle Mitarbeitenden.
  • Beurteilen und behandeln dürfen Personen mit dem Recht, Vorfälle zu bearbeiten (das Vorfall-Team, standardmässig die ISMS-Verantwortlichen). Die verantwortliche Person eines Vorfalls behandelt ihn auch ohne dieses Recht.
  • Einstellungen: Unter ISMS-Einstellungen › Vorfälle (Karte Vorfallmanagement) legen Sie einen Notfallkontakt fest, der oben im Meldeformular erscheint, pflegen die Kategorien und wählen die Meldepflichten an Behörden, die für Ihre Organisation gelten.
  1. MitarbeitendeMelden

    Was ist passiert, wann bemerkt?

  2. Vorfall-TeamBeurteilen

    Kategorie, Schweregrad, verantwortliche Person.

  3. Verantwortliche PersonBehandeln und beheben

    Protokoll, Sofortmassnahme, „Als behoben melden“.

  4. Verantwortliche PersonNachbereitung abschliessen

    Ursache und Erkenntnisse.

Kein Vorfall

Der Entscheid wird begründet; die Meldung bleibt als Nachweis erhalten.

Meldepflicht an Behörden

Je Meldung eine Pendenz mit gesetzlicher Frist, etwa 24 Stunden für die Meldung an das BACS. Abschliessen erst, wenn über alle Meldungen entschieden ist.

Der Weg eines Vorfalls

Vier Schritte: Eine Person meldet den Vorfall. Das Vorfall-Team beurteilt die Meldung und legt die verantwortliche Person fest. Diese dämmt den Vorfall ein und meldet ihn als behoben. Danach schliesst sie die Nachbereitung mit Ursache und Erkenntnissen ab. Ist es kein Vorfall, wird das begründet. Für gewählte Meldepflichten an Behörden entsteht je Meldung eine Pendenz mit der gesetzlichen Frist; abschliessen lässt sich der Vorfall erst, wenn über die Meldungen entschieden ist.

Vorfall melden

  1. Öffnen Sie Vorfälle und klicken Sie auf Vorfall melden.
  2. Beschreiben Sie, was passiert ist (z. B. „Link in verdächtiger E-Mail angeklickt“), was Sie bemerkt und schon unternommen haben, und wann Sie es bemerkt haben. Kopieren Sie keine Passwörter oder vertraulichen Inhalte hinein.
  3. Geben Sie an, ob Personendaten betroffen sind und welches Asset betroffen ist, soweit Sie es wissen.
  4. Senden Sie die Meldung ab.

Den Stand Ihrer Meldungen sehen Sie unter Meine Vorfallmeldungen. Bei akuter Gefahr gilt zusätzlich der Notfallkontakt im Meldeformular.

Vorfall bearbeiten

  1. Beurteilen: Das Vorfall-Team öffnet die Meldung und wählt Meldung beurteilen. Bei Ja, Sicherheitsvorfall legen Sie Kategorie, Schweregrad, Personendaten und die verantwortliche Person fest. Bei Nein, kein Vorfall begründen Sie den Entscheid, etwa bei Fehlalarm oder Spam ohne Klick; die Meldung bleibt als Nachweis erhalten.
  2. Behandeln: Die verantwortliche Person dämmt den Vorfall ein, hält im Protokoll fest, was getan wurde, und legt bei Bedarf eine Sofortmassnahme an. Einträge im Protokoll haben einen Typ: Notiz, Eindämmung / Behebung, Kommunikation oder Beweissicherung. Halten Sie mit Beweissicherung fest, welche Spuren (z. B. Logdateien, E-Mails) Sie wo gesichert haben (ISO/IEC 27001, Anhang A 5.28).
  3. Beheben: Mit Als behoben melden beschreiben Sie, wie der Vorfall eingedämmt und behoben wurde. Tritt er erneut auf, holen Sie ihn mit Wieder öffnen zurück.
  4. Nachbereitung abschliessen: Halten Sie Ursache sowie Erkenntnisse und Folgen fest. Zeigt der Vorfall, dass eine Vorgabe nicht eingehalten wurde, erfassen Sie eine Feststellung aus dem Vorfall; sie wird im Register der Feststellungen weiterbehandelt.

Sind Personendaten betroffen, entscheiden Sie unter Meldepflicht (Datenschutz), ob gemeldet wurde (Datum, Stelle, Referenz) oder warum keine Meldung nötig ist.

Meldungen an Behörden

Haben Sie unter ISMS-Einstellungen › Vorfälle › Meldepflichten an Behörden Pflichten gewählt, entscheidet die verantwortliche Person je Vorfall unter Meldung an Behörden prüfen, an welche Stellen gemeldet wird, oder begründet, warum keine Meldung nötig ist. Je Meldung entsteht eine Pendenz mit der gesetzlichen Frist ab dem Zeitpunkt, an dem der Vorfall bemerkt wurde bzw. ab der vorherigen Meldung:

  • BACS (Cyberangriffe auf kritische Infrastrukturen): Meldung innert 24 Stunden, Vervollständigung innert 14 Tagen, falls Angaben fehlten.
  • FINMA (Cyber-Attacken): Vororientierung innert 24 Stunden, Meldung über die EHP innert 72 Stunden, Ursachenbericht nach Abschluss der Fallbearbeitung.
  • DORA (schwerwiegende IKT-Vorfälle): Erstmeldung innert 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis, Zwischenmeldung innert 72 Stunden nach der Erstmeldung, Abschlussmeldung innert eines Monats nach der letzten Zwischenmeldung. Als Termin der Erstmeldung setzt Varmo die Grenze von 24 Stunden ab Kenntnis; die 4 Stunden ab der Einstufung überwachen Sie selbst.
  • NIS2 (erhebliche Sicherheitsvorfälle): Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung.

Halten Sie je Meldung den Zeitpunkt und die Referenz / das Aktenzeichen fest. Varmo legt dann die nächste Stufe an.

Was danach passiert

  • Neue Meldungen erscheinen beim Vorfall-Team als Pendenz „Meldung beurteilen“.
  • Die verantwortliche Person erhält die Pendenzen zum Eindämmen und Beheben, zur Meldepflicht und zur Nachbereitung.
  • Ein Vorfall lässt sich erst abschliessen, wenn über Meldungen an Behörden entschieden ist und keine Meldung mehr offen ist.
  • Abgeschlossene Vorfälle sind unveränderlich und erscheinen in der nächsten Managementbewertung.

Häufige Fragen

Kann ich eine Meldung löschen?

Nur solange sie nicht beurteilt ist, zum Beispiel bei einer versehentlichen oder doppelten Meldung. Beurteilte Vorfälle bleiben immer als Nachweis erhalten.

Sehen Meldende alle Details des Vorfalls?

Nein. Meldende sehen ihre Meldung und den Stand. Protokoll, Sofortmassnahmen und Meldungen an Behörden sehen nur das Vorfall-Team und die verantwortliche Person.

Gibt es interne Fristen für die Bearbeitung?

Nein, interne Fristen führt Varmo nicht. Termine setzt Varmo nur für die gesetzlichen Meldungen an Behörden (BACS, FINMA, DORA, NIS2). Für Meldungen nach Datenschutzrecht gelten ebenfalls gesetzliche Fristen, die Varmo nicht als Termin führt (siehe „Fristen im Datenschutz“ oben).