升级与沟通
升级矩阵
| 严重程度 | 首次通知 | 向管理层升级 | BSI报告 | 客户通知 |
|---|---|---|---|---|
| 关键 | ISB + 管理层立即 | 立即 | 4小时内审查 | 受影响时立即通知 |
| 高 | 1小时内通知ISB | 4小时内 | 24小时内审查 | 服务受影响时通知 |
| 中 | 24小时内通知ISB | 下次常规报告 | 否（标准情况） | 仅有直接影响时 |
| 低 | IT团队 | 否 | 否 | 否 |
沟通计划
内部沟通
| 接收方 | 渠道 | 内容 | 时间 |
|---|---|---|---|
| 事件响应团队 | 加密即时通讯 / 电话会议 | 技术详情、措施 | 发现后立即 |
| 管理层 | 面谈或加密电子邮件 | 态势概述、影响、措施 | 按升级矩阵 |
| 受影响业务部门 | 电子邮件 + 会议 | 对其领域的影响、预计持续时间 | 初步评估后 |
| 全体员工 | 仅在必要时（如钓鱼攻击潮） | 警告 + 行动指导 | 管理层批准后 |
外部沟通
| 接收方 | 渠道 | 内容 | 时间 |
|---|---|---|---|
| BSI | 报告平台 | 按§32报告模型 | 24小时 / 72小时 / 72小时报告后1个月 |
| 受影响客户 | 直接通知（电子邮件 + 电话） | 类型、范围、措施、建议 | 确认受影响后立即 |
| 作为控制者的客户（DSGVO） | 直接通知 | BAUER GROUP代表客户处理的个人数据发生保护被侵犯事件，并提供客户自行报告所需的信息（DSGVO第33条第2款） | 知悉后无不当延误；具体期限依数据处理协议 |
| 数据保护监管机构 | 报告门户 | 涉及个人数据时依据DSGVO第33条报告；如存在高风险，另须通知数据主体（DSGVO第34条） | 监管机构：无不当延误，尽可能在72小时内（第33条）；数据主体：无不当延误（第34条） |
| 执法机构 | 报案 | 疑似犯罪行为时 | 管理层决策后 |
事件中的客户通知
当安全事件影响客户数据或服务时，通知包括：
- 事件类型和范围
- 受影响的数据或服务
- 已采取的应对措施
- 对客户的建议措施
- 查询联系人
- 预计限制持续时间
受NIS2监管的客户
自身受NIS2监管的客户必须在24小时内向BSI报告重大安全事件。BAUER GROUP的快速和完整信息通报使这些客户能够履行自己的报告义务。
紧急联系人
以下联系人随时可达（包括工作时间以外）：
| 角色 | 可达性 |
|---|---|
| ISB | 7x24小时手机 |
| IT值班 | 7x24小时待命 |
| 管理层 | 手机可达 |
| BSI报告平台 | 在线门户（7x24小时） |