CCN-CERT: was es ist und wie man ENS-Vorfälle meldet.

Kurz zusammengefasst: Das CCN-CERT ist das Reaktionsteam für Sicherheitsvorfälle des spanischen öffentlichen Sektors und untersteht dem Centro Criptológico Nacional (Nationales Kryptologiezentrum, CCN). Ist Ihre Einrichtung im Anwendungsbereich des ENS (spanisches nationales Sicherheitssystem) tätig, besteht eine gesetzliche Pflicht (Artikel 33 und 34 des Königlichen Dekrets 311/2022): Vorfälle mit erheblichen Auswirkungen zu melden. Gefährdung und Auswirkung werden gemäß dem Leitfaden CCN-STIC 817 in fünf Stufen klassifiziert, und die Meldung erfolgt über das Tool LUCIA. Private Unternehmen außerhalb des ENS wenden sich an das INCIBE-CERT, Systeme der nationalen Verteidigung an das ESPDEF-CERT. Den internen Ablauf des Vorfallmanagements behandle ich gesondert: Hier konzentriere ich mich auf die zuständige Stelle und die verpflichtende externe Meldung.

Das CCN-CERT ist das staatliche CERT Spaniens: die Fähigkeit zur Reaktion auf Sicherheitsvorfälle des Centro Criptológico Nacional (CCN), das dem CNI unterstellt ist. Es ist die Stelle, der Einrichtungen im Anwendungsbereich des ENS Cybervorfälle mit erheblichen Auswirkungen melden müssen, über das Tool LUCIA und gemäß dem Königlichen Dekret 311/2022.

Wenn ich eine Einrichtung oder ein Dienstleistungsunternehmen des öffentlichen Sektors bei der Anpassung an das ENS begleite, ist der Bereich der Vorfälle derjenige, der die meisten Fragen aufwirft. Man verwechselt das CERT, das zu benachrichtigen ist, weiß nicht, wann die Meldung wirklich verpflichtend ist, und vermischt die interne Erfassung des Vorfalls mit der offiziellen Meldung an den Staat. Hier kläre ich, was das CCN-CERT ist, welche Rolle es innerhalb des ENS spielt und vor allem, wann und wie ein Cybervorfall zu melden ist.

Was ist das CCN-CERT? Kurzantwort.

Das CCN-CERT ist die Fähigkeit zur Reaktion auf Vorfälle der Informationssicherheit des Centro Criptológico Nacional. Kurz gesagt: Es ist das nationale staatliche CERT, das öffentliche Team, das der Verwaltung hilft, Cyberangriffe zu verhindern, zu erkennen und darauf zu reagieren. Drei Punkte, um es einzuordnen:

• Es ist ein Team, kein Gesetz. „CERT“ steht für Computer Emergency Response Team: ein technisches Team zur Reaktion auf IT-Notfälle. Das CCN-CERT ist das des spanischen Staates für den öffentlichen Sektor.
• Es untersteht dem CCN, das wiederum dem CNI unterstellt ist. Es ist in das Centro Criptológico Nacional eingegliedert, das dem Centro Nacional de Inteligencia (CNI, spanischer Nachrichtendienst) unterstellt ist. Deshalb ist sein natürlicher Zuständigkeitsbereich die Verwaltung und ihre Systeme.
• Es hat eine konkrete normative Funktion im ENS. Das Königliche Dekret 311/2022 bestimmt es als die Stelle, der Einrichtungen im Anwendungsbereich des ENS Vorfälle mit erheblichen Auswirkungen melden.

CCN, CNI und CCN-CERT: wer ist wer.

Die Namen ähneln sich und werden leicht verwechselt, daher lohnt es sich, sie auseinanderzuhalten:

• CNI — Centro Nacional de Inteligencia (Nationales Nachrichtendienstzentrum). Der Nachrichtendienst des spanischen Staates.
• CCN — Centro Criptológico Nacional (Nationales Kryptologiezentrum). Dem CNI unterstellt, ist es die Stelle, die für die Sicherheit der Informationstechnologien in der Verwaltung zuständig ist. Es erstellt die CCN-STIC-Leitfäden und den Rahmen des ENS.
• CCN-CERT — die Fähigkeit des CCN zur Reaktion auf Vorfälle. Es ist der operative Arm, der Warnungen verwaltet, die Reaktion koordiniert und die Vorfallmeldungen des öffentlichen Sektors entgegennimmt.

In der Praxis übersetzt: Das CCN legt die Regeln fest (das ENS, die Leitfäden); das CCN-CERT ist die Stelle, die Sie anrufen, wenn etwas passiert. Die Details dazu, was jede Norm konkret verlangt, erläutere ich in meiner Zusammenfassung des Königlichen Dekrets 311/2022.

CCN-CERT oder INCIBE-CERT: an wen Sie sich je nach Profil wenden.

Spanien hat kein einziges CERT, sondern mehrere Referenzteams je nach Art der Einrichtung. Die falsche Anlaufstelle zu wählen, verzögert die Reaktion. Die folgende Zuordnung legt das Königliche Dekret 311/2022 selbst fest:

Die Grundregel ist einfach: öffentlicher Sektor → CCN-CERT; privater Sektor → INCIBE-CERT; Verteidigung → ESPDEF-CERT. Die wichtige Nuance steckt in Zeile zwei: Wenn Sie ein privates Unternehmen sind, das im ENS zertifiziert ist, weil Sie Dienstleistungen für die Verwaltung erbringen, erfolgt die Meldung über das INCIBE-CERT, das sich mit dem CCN-CERT abstimmt. Die drei Teams tauschen Informationen untereinander aus, sodass Sie nicht „doppelt“ melden müssen: Sie wählen die für Sie zuständige Anlaufstelle, und diese eskaliert bei Bedarf weiter.

Wann ist die Meldung eines Vorfalls nach dem ENS verpflichtend.

Nicht jeder Vorfall wird dem Staat gemeldet. Die Pflicht entsteht, wenn der Vorfall erhebliche Auswirkungen auf die Sicherheit der betroffenen Systeme hat. Das regeln die beiden einschlägigen Artikel des Königlichen Dekrets 311/2022:

• Artikel 33 (Fähigkeit zur Reaktion auf Sicherheitsvorfälle). Das CCN organisiert die Reaktion über das CCN-CERT und legt fest, dass öffentliche Einrichtungen ihm Vorfälle mit erheblichen Auswirkungen melden – in Abstimmung mit dem ESPDEF-CERT im Verteidigungsbereich und mit dem INCIBE-CERT für private Unternehmen, die öffentliche Dienstleistungen erbringen.
• Artikel 34 (Erbringung von Vorfallreaktionsdiensten für Einrichtungen des öffentlichen Sektors). Legt fest, welche Dienste das CCN-CERT erbringt: Unterstützung und Koordination bei Schwachstellen und Vorfällen, Untersuchung, Verbreitung bewährter Verfahren, Schulung und Bedrohungsinformationen.

Die entscheidende Frage lautet also nicht „Hatte ich einen Vorfall?“, sondern „Welche Auswirkungen hat er?“. Um das zu beantworten, muss der Vorfall klassifiziert werden – und genau das standardisiert der maßgebliche technische Leitfaden.

Wie die Gefährdung eines Cybervorfalls klassifiziert wird.

Die Referenz ist der Leitfaden CCN-STIC 817 („Esquema Nacional de Seguridad. Gestión de Ciberincidentes“ – Nationales Sicherheitssystem, Management von Cybervorfällen), der die Klassifizierung in zwei unabhängige Achsen mit jeweils fünf Stufen ordnet (KRITISCH, SEHR HOCH, HOCH, MITTEL und NIEDRIG):

• Gefährdung. Der technische Schweregrad der Bedrohung selbst (zum Beispiel ein aktiver Ransomware-Angriff im Vergleich zu einer isolierten Phishing-E-Mail). Der Leitfaden verwendet eine Taxonomie mit neun Vorfallklassen und 36 Subtypen.
• Auswirkung. Die tatsächlichen Folgen für Ihre Organisation (kompromittierte Informationen, betroffene Dienste, Ausmaß). Diese Achse ist es, die die Meldepflicht auslöst.

Die folgende Tabelle fasst orientierend zusammen, wann die Meldung an das CCN je nach Auswirkungsstufe ausgelöst wird:

Die genauen Schwellenwerte und Fristen legt die jeweils geltende, regelmäßig aktualisierte Fassung der CCN-STIC 817 fest: Prüfen Sie sie vor der Anwendung stets in der aktuellen Fassung und in den übrigen technischen Sicherheitsanweisungen und CCN-STIC-Leitfäden. Der Grundgedanke bleibt gleich: Je größer die Auswirkung, desto früher muss gemeldet werden.

LUCIA und das Meldeverfahren Schritt für Schritt.

Die Meldung ist keine lose E-Mail: Sie erfolgt über LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas, „Einheitliches Verzeichnis zur Koordinierung von Vorfällen und Bedrohungen“), das Tool des CCN-CERT zur Verwaltung und Koordination der Cybervorfälle des öffentlichen Sektors. LUCIA bietet eine gemeinsame Sprache für Gefährdung und Klassifizierung, gewährleistet die Rückverfolgbarkeit des Vorfalls und erfüllt die Anforderungen des ENS und des Leitfadens 817. In der Praxis läuft der Ablauf so:

1. Erkennen und intern erfassen Sie den Vorfall. Dieser Teil wird durch Ihr ENS-Vorfallmanagementprotokoll mit Erkennung, Eindämmung und Beseitigung geregelt; darauf gehe ich hier nicht weiter ein.
2. Klassifizieren Sie Gefährdung und Auswirkung gemäß der CCN-STIC 817. Von dieser Klassifizierung hängt ab, ob eine Meldepflicht besteht und mit welcher Dringlichkeit.
3. Melden Sie dem CCN-CERT, indem Sie den Fall in LUCIA eröffnen, sobald die Auswirkung den Schwellenwert erreicht, mit folgendem Mindestinhalt: was passiert ist, welche Systeme und Dienste betroffen sind und welche Maßnahmen bereits ergriffen wurden.
4. Dämmen Sie den Vorfall parallel ein und beseitigen Sie ihn, wobei Sie den Status im Tool aktualisieren, während die Reaktion voranschreitet.
5. Stimmen Sie die Analyse und, falls erforderlich, spezialisierte Unterstützung mit dem CCN-CERT ab. Das Tool ist genau für diese gemeinsame Arbeit ausgelegt.
6. Schließen Sie den Vorfall in LUCIA ab, sobald die Bedrohung beseitigt ist, und dokumentieren Sie die gewonnenen Erkenntnisse.

Wenn Sie die Details des internen Reaktionszyklus – die Schritte vor der Meldung – vertiefen möchten, finden Sie sie in meinem Leitfaden zur Reaktion auf Vorfälle im ENS. Dieser Artikel deckt die andere Hälfte ab: die verpflichtende externe Meldung.

Welche Dienste das CCN-CERT über das Vorfallmanagement hinaus bietet.

Das CCN-CERT auf „die Meldestelle für Vorfälle“ zu reduzieren, greift zu kurz. Gemäß Artikel 34 des Königlichen Dekrets 311/2022 bietet es einen Katalog von Diensten, die es sich lohnt zu nutzen, bevor ein Problem auftritt:

• Warnungen und Hinweise zu Schwachstellen und aufkommenden Bedrohungen.
• Berichte zu Cyberbedrohungen und bewährten Verfahren, mit nützlichen Erkenntnissen zur Vorbeugung.
• Unterstützende Werkzeuge, wie LUCIA selbst, um Einrichtungen mit Kapazitäten auszustatten, die sie sonst nicht hätten.
• Spezialisierte Schulungen (Kurse und Fachveranstaltungen) für die Sicherheitsteams des öffentlichen Sektors.
• CCN-STIC-Leitfäden, die dem ENS gewidmete 800er-Serie, die das „Wie“ jeder Maßnahme festlegen.

Für einen Sicherheitsverantwortlichen ist das CCN-CERT sowohl eine präventive Ressource als auch ein Ansprechpartner in der Krise. Je früher Sie es in Ihre Abläufe integrieren, desto weniger müssen Sie am Tag des Vorfalls improvisieren.

Vorfallmeldung und NIS2: was kommt.

Bisher war die verpflichtende Vorfallmeldung fast eine Besonderheit des öffentlichen Sektors. Das ändert sich mit der NIS2-Richtlinie, die die Meldepflicht auf wesentliche und wichtige Einrichtungen in deutlich mehr Sektoren ausweitet – Energie, Gesundheit, Verkehr, Bankwesen, digitale Infrastrukturen – mit eigenen, strengen Fristen: eine Frühwarnung innerhalb der ersten 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein späterer Abschlussbericht, jeweils beim zuständigen CSIRT.

Die Folge ist, dass viele Organisationen künftig unter zwei Rahmenwerken zugleich stehen: dem ENS, wenn sie im öffentlichen Bereich tätig sind, und NIS2, wenn sie zu einem erfassten Sektor gehören. Beide sind nicht unvereinbar – sie teilen die Logik von Klassifizieren, Melden und Koordinieren –, verlangen aber Klarheit darüber, welchem Team welcher Vorfall mit welcher Frist gemeldet wird. Das Verfahren einmalig unter Berücksichtigung beider Rahmenwerke zu gestalten, vermeidet doppelte Arbeit und die falsche Anlaufstelle.

Fazit: Die Meldung ist Teil der Konformität, sie bestraft sie nicht.

Das CCN-CERT ist kein Gegner, vor dem man Probleme verbergen muss: Es ist das staatliche Team, das genau deshalb existiert, um Ihnen bei einem Vorfall zu helfen. Rechtzeitig zu melden, Gefährdung und Auswirkung korrekt zu klassifizieren und LUCIA vorschriftsgemäß zu nutzen, mindert Ihre ENS-Konformität nicht – es stärkt sie, weil es zeigt, dass Ihr Managementsystem funktioniert. Was die Konformität gefährdet, ist das Gegenteil: einen bedeutsamen Vorfall zu verschweigen.

Wenn Sie eine Einrichtung oder ein Dienstleistungsunternehmen an das ENS anpassen und nicht genau wissen, wann und wie zu melden ist, oder wie all das mit dem Leitfaden zur ENS-Konformität zusammenpasst, schildern Sie mir Ihren Fall und wir prüfen ihn gemeinsam.

Häufig gestellte Fragen zum CCN-CERT und zur ENS-Vorfallmeldung

Was ist das CCN-CERT?

Es ist die Fähigkeit zur Reaktion auf Sicherheitsvorfälle des Centro Criptológico Nacional (CCN), das dem CNI unterstellt ist: das staatliche CERT Spaniens. Es unterstützt den öffentlichen Sektor bei der Prävention, Erkennung und Reaktion auf Cyberangriffe und koordiniert die Meldung von Vorfällen im Rahmen des Esquema Nacional de Seguridad (ENS).

Wer ist verpflichtet, Vorfälle beim CCN-CERT zu melden?

Die Einrichtungen im Anwendungsbereich des ENS – der öffentliche Sektor – wenn sie Vorfälle mit erheblichen Auswirkungen erleiden, gemäß Artikel 33 des Königlichen Dekrets 311/2022. Private Unternehmen, die Dienstleistungen für den öffentlichen Sektor erbringen, melden über das INCIBE-CERT in Abstimmung mit dem CCN-CERT, und Unternehmen außerhalb des ENS-Anwendungsbereichs wenden sich in der Regel an das INCIBE-CERT.

Was ist LUCIA?

LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas, „Einheitliches Verzeichnis zur Koordinierung von Vorfällen und Bedrohungen“) ist das Tool des CCN-CERT zur Verwaltung und Meldung von Cybervorfällen im öffentlichen Sektor. Es standardisiert den Lebenszyklus des Vorfalls, bietet eine gemeinsame Sprache für Gefährdungsgrad und Klassifizierung und gewährleistet Rückverfolgbarkeit sowie die Abstimmung mit dem CCN-CERT.

Welche Frist gilt für die Meldung eines Vorfalls?

Das hängt von den Auswirkungen des Vorfalls gemäß dem Leitfaden CCN-STIC 817 ab: Vorfälle mit hohen, sehr hohen oder kritischen Auswirkungen werden unverzüglich gemeldet (als Richtwert innerhalb von maximal 24 Stunden), Vorfälle mit mittleren Auswirkungen innerhalb von rund 72 Stunden, und Vorfälle mit geringen Auswirkungen werden mit weniger Dringlichkeit erfasst. Prüfen Sie die genauen Schwellenwerte und Fristen stets in der aktuell geltenden Fassung des Leitfadens.

Wirkt sich die Meldung eines Vorfalls negativ auf die ENS-Zertifizierung aus?

Nein: Was die Konformität gefährdet, ist das Unterlassen der Meldung. Die Erkennung, Handhabung und Meldung von Vorfällen sind Maßnahmen, die der ENS selbst vorschreibt, und werden im Rahmen des Konformitätsaudits überprüft. Eine rechtzeitige Meldung zeigt, dass Ihr Managementsystem funktioniert.

Ist die Meldung an das CCN-CERT dasselbe wie die Meldung einer Datenschutzverletzung an die AEPD?

Nein. Es handelt sich um unterschiedliche Pflichten, die bei ein und demselben Vorfall zusammenfallen können. Die Meldung an das CCN-CERT betrifft den ENS und die Sicherheit der Systeme des öffentlichen Sektors; die Meldung an die spanische Datenschutzbehörde (Agencia Española de Protección de Datos, AEPD) betrifft die DSGVO und ist nur erforderlich, wenn personenbezogene Daten betroffen sind, mit einer eigenen Frist von 72 Stunden. Ein Cyberangriff mit Datendiebstahl kann beide Meldungen erforderlich machen.

Quellen

• Königliches Dekret 311/2022 (ENS), Art. 33 und 34 · BOE — spanisches Amtsblatt.
• CCN-CERT · Centro Criptológico Nacional.
• LUCIA · Cybervorfallmanagement des CCN-CERT.
• Leitfaden CCN-STIC 817 und ENS-Vorschriften · CCN.
• INCIBE-CERT · Instituto Nacional de Ciberseguridad (Nationales Institut für Cybersicherheit).
• Richtlinie (EU) 2022/2555 (NIS2) · EUR-Lex.

Inhalt erstellt von Ángel Ortega Castro für angelortegacastro.com. Informativer Charakter; für rechtliche Verbindlichkeit prüfen Sie stets den aktuellen Wortlaut des Königlichen Dekrets 311/2022 im BOE sowie die geltende Fassung des Leitfadens CCN-STIC 817.