FedRAMP im laufenden Betrieb: meldepflichtige Vorfälle und Klassenwechsel

Problem in der Praxis

Deutsche Incident-Response-Prozesse sind auf europäische Meldewege ausgerichtet. FedRAMP bringt einen eigenen Adressatenkreis (FedRAMP und betroffene Behörden), eigene Begriffe (Reportable Incident, PAIN-Stufe) und einen eigenen Ablauf mit Initial-, Ongoing- und Final-Incident-Report. Wer die PAIN-Stufe nicht zügig schätzt, fällt automatisch in die Fristen der höchsten Stufe. Zudem verlangen die Regeln ein FedRAMP Security Inbox (AFC-CSO-INB, unter anderem unter den Pflichtregeln für Klasse A); FedRAMP testet solche Postfächer, wie die Public Notices zu den Quartalstests zeigen.

CISO-Einordnung

Begriffe (FedRAMP Definitions):

• Incident: im Sinne von 44 U.S.C. 3552(b)(2) ein Ereignis, das tatsächlich oder unmittelbar drohend ohne rechtmäßige Befugnis Integrität, Vertraulichkeit oder Verfügbarkeit von Informationen oder Informationssystemen gefährdet, oder ein Verstoß oder drohender Verstoß gegen Recht, Sicherheitsrichtlinien, Sicherheitsverfahren oder Nutzungsrichtlinien.
• FedRAMP Reportable Incident: Vorfall, der Vertraulichkeit oder Integrität von Bundeskundendaten beeinträchtigt oder wahrscheinlich beeinträchtigt.
• FedRAMP Security Inbox: E-Mail-Adresse nach den Regeln für das Security Inbox.

Ablauf nach IEC:

• Bewertung (IEC-CSO-EFR): umgehend prüfen, ob ein Reportable Incident vorliegt.
• PAIN-Stufe: entweder schätzen (IEC-CSO-EFI) oder die Vorgabe PAIN 5 anwenden (IEC-CSO-DPR); damit beginnt die Berichtsfrist.
• Berichte: Initial Incident Report (IEC-CSO-IIR), Ongoing Incident Reports (IEC-CSO-OIR) und Final Incident Report nach der Wiederherstellung (IEC-CSO-FIR) an alle betroffenen Parteien. Für Klasse A ist der erste Bericht als "SHOULD" formuliert, für die Klassen B, C und D als "MUST"; den Final Incident Report müssen alle Klassen einschließlich A liefern ("MUST"). Die Fristen sind je Klasse in einer Tabelle nach PAIN-Stufe gestaffelt; die Tabelle wird hier nicht wiedergegeben.

Klassenwechsel (FRC-CCL): Für eine Hochstufung ist ein neuer Antrag nötig, und alle anwendbaren Anforderungen müssen vorher erfüllt sein; auch eine Herabstufung erfordert einen neuen Antrag. Anbieter sollen alle Betroffenen mindestens 120 Tage vor einer beabsichtigten Herabstufung oder Beendigung der Zertifizierung informieren.

Weitere laufende Pflichten: Die Consolidated Rules enthalten weitere Regelsätze für den Betrieb, unter anderem zur Kommunikation mit FedRAMP, zum kollaborativen kontinuierlichen Monitoring, zur Erkennung und Behandlung von Schwachstellen, zu wesentlichen Änderungen und zur Nutzung kryptografischer Module; sie werden hier nicht im Einzelnen behandelt. FedRAMP veröffentlicht außerdem Public Notices, etwa zu Reaktionen auf Weisungen der US-Cybersicherheitsbehörde CISA.

Umsetzungsperspektive

• Incident-Response-Plan um die FedRAMP-Bewertung ergänzen: Reportable Incident ja oder nein, PAIN-Schätzung, Berichtskette.
• PAIN-Schätzung vorbereiten, damit nicht automatisch die Fristen der Stufe 5 gelten.
• Security Inbox nach AFC-CSO-INB betreiben und auf Tests vorbereiten.
• Berichtsvorlagen intern aufbauen, die die geforderten Angaben der Initial-, Ongoing- und Final-Reports abdecken (nach den aktuellen Regeln, ohne Kopie der Regeltexte).
• Klassenwechsel und Beendigungen mit 120 Tagen Vorlauf planen.

Typische Fehler

1. Vorfälle werden nur nach europäischen Kriterien bewertet, die FedRAMP-Bewertung fehlt.
2. Die PAIN-Stufe wird nicht geschätzt, und die Fristen der Stufe 5 werden übersehen.
3. Das Security Inbox ist nicht besetzt oder reagiert nicht auf Tests.
4. Ein Final Incident Report nach der Wiederherstellung unterbleibt.
5. Eine Herabstufung wird ohne Vorlauf angekündigt.

Risiken und Trade-offs

Eine schnelle PAIN-Schätzung erfordert Wissen über die Nutzung des Dienstes durch Behörden, das nicht immer vorliegt; die Vorgabe PAIN 5 ist sicher, aber mit den kürzesten Fristen verbunden. Parallele Meldewege nach FedRAMP und europäischem Recht erhöhen den Aufwand, lassen sich aber in einem gemeinsamen Incident-Prozess bündeln.

Entscheidungspunkte

• Wer bewertet Vorfälle auf FedRAMP-Reportabilität und schätzt die PAIN-Stufe?
• Wie werden die Fristen der jeweiligen Klasse im Prozess abgebildet?
• Wer betreut das Security Inbox?
• Wie werden Klassenwechsel geplant und angekündigt?

Praktische Empfehlungen

1. Ergänzen Sie den Incident-Response-Plan um die FedRAMP-Bewertung und die PAIN-Schätzung.
2. Bilden Sie die Fristen Ihrer Klasse nach der aktuellen IEC-Tabelle im Prozess ab.
3. Betreiben und testen Sie das FedRAMP Security Inbox.
4. Planen Sie Initial-, Ongoing- und Final-Reports als feste Prozessschritte.
5. Kündigen Sie Herabstufungen oder Beendigungen mindestens 120 Tage vorher an.

Relevante Normreferenzen

• FedRAMP Consolidated Rules for 2026: Incident Evaluation and Communication (IEC-CSO-EFR, -EFI, -DPR, -IIR, -OIR, -FIR), FedRAMP Certification (FRC-CCL), FedRAMP Definitions, Public Notices (Abruf 10.10.2026).
• 44 U.S.C. 3552(b)(2) (Begriff Incident, über die FedRAMP Definitions).