Symptom
Alert-Backlog wächst schneller als Triage-Kapazität
- Ursache
- Detection-Content beim Roll-out justiert, nie aktualisiert
- Risiko
- Dwell-Time > 30 Tage, NIS2-Risiko
Managed SOC · NIS2-konform
Managed SOC, ausgerichtet auf NIS2
24/7 Detection und Response — gebaut auf den Kontrollen und Berichtsrhythmen, die die NIS2-Richtlinie tatsächlich verlangt.
- ISO 27001
- NIS2
- BSI-Grundschutz
- DSGVO
Überblick
Technische Übersicht
Viele deutsche Mittelstands-Estates besitzen ein SIEM, aber keine operative Kapazität dahinter: Alerts stauen sich nachts, Telemetrieabdeckung ist lückenhaft, Incident-Timelines halten dem 24-h-Meldefenster nicht stand.
Diagnose
Typische SOC-Fehlerbilder
Was wir bei der Übernahme von Vorgänger-SOCs und internen Teams regelmäßig vorfinden.
Symptom
Endpoint- und Identitäts-Telemetrie nicht korreliert
- Ursache
- EDR- und IdP-Logs in separaten Tools ohne gemeinsame Use-Cases
- Risiko
- Laterale Bewegung unerkannt
Symptom
Incident-Timelines nicht rekonstruierbar
- Ursache
- Keine unveränderliche Audit-Trail, Logaufbewahrung < 180 Tage
- Risiko
- NIS2-24-h-Meldung scheitert
Symptom
Tabletop-Übungen werden vertagt
- Ursache
- Kein Owner im Fachbereich, nur in der IT
- Risiko
- Ungeprüfte Response-Playbooks
Detektion
Ein SOC misst sich an der Mean Time to Contain — nicht am Ticketvolumen.
Hohes Alarmvolumen signalisiert oft unreifen Detection-Content, nicht starke Abdeckung. Unser SOC arbeitet gegen Detection-Engineering-KPIs (MTTD, MTTC, False-Positive-Quote) und publiziert sie monatlich.
Detection-Content ist versioniert, peer-reviewed und auf MITRE ATT&CK ausgerichtet.
Definition
Managed SOC
Ein Managed Security Operations Centre ist eine extern betriebene 24/7-Kapazität, die Sicherheitstelemetrie aufnimmt, verdächtige Aktivitäten via engineerten Detection-Content erkennt, Alerts triagiert und Incident-Response stellvertretend für den Kunden koordiniert.
Liefermodell
Wie wir den 24/7-SOC betreiben
Ein wiederholbares Fünf-Schritte-Vorgehen für jede SOC-Übernahme oder Neuaufbau.
- 1
Telemetrie- & Use-Case-Audit
Mapping aktueller Logquellen auf MITRE ATT&CK; Blindstellen in Identity, Endpoint, Netzwerk und SaaS identifizieren.
- 2
Detection Engineering
Sigma-basierter Content, peer-reviewed, versioniert und via CI in Ihr SIEM ausgerollt.
- 3
24/7 Triage & Response
L1–L3-Analysten in Follow-the-Sun-Rotation aus Stuttgart, Kairo und Kyiv; dokumentierte Playbooks je Use-Case.
- 4
NIS2-Reporting
Vorformatierte Incident-Reports für die BSI-24-h-/72-h-Meldefenster; monatliches Executive-Review.
- 5
Kontinuierliches Tuning
Quartalsweise Purple-Team-Übungen, Content-Retirement und False-Positive-Reduktionsschleife.
Compliance
Compliance-Zuordnung — Managed SOC
Wie unser Liefermodell die vier Referenzrahmen abdeckt, an denen deutsche Unternehmen geprüft werden.
| Kontrolle | ISO 27001 | NIS2 | BSI-Grundschutz | DSGVO |
|---|---|---|---|---|
| Logging & Monitoring | A.8.15 / A.8.16 | Art. 21(2)(b) | OPS.1.1.5 | Art. 32 |
| Incident Response | A.5.24–A.5.27 | Art. 21(2)(b) / Art. 23 | DER.2.1 | Art. 33–34 |
| Detection Engineering | A.8.16 | Art. 21(2)(b) | DER.1 | Art. 32(1)(b) |
| Threat Intelligence | A.5.7 | Art. 21(2)(c) | DER.1.A.5 | — |
| Tabletop-Übungen | A.5.30 | Art. 21(2)(g) | DER.4 | — |
Fragen & Antworten
Fragen, die Entscheider stellen
Definitionen, Lieferdetails und kommerzielle Antworten an einer Stelle — zitierfähig für Such- und KI-Antwortmaschinen und verständlich für Ihr Team.
Wie es funktioniert
NIS2 verpflichtet wesentliche und wichtige Einrichtungen, signifikante Vorfälle innerhalb von 24 Stunden nach Kenntnis zu detektieren, einzudämmen und zu melden — mit Vollbericht nach 72 Stunden. Ein SOC muss daher kontinuierlich arbeiten und behördentaugliche Timelines liefern.
Zusammenarbeit mit Evolvice
Sprechen Sie mit dem Evolvice-Team.
Wir starten mit einer 30-minütigen Diagnose Ihrer aktuellen Lieferung — kostenfrei und ohne Vertrieb. Sie erhalten in jedem Fall eine schriftliche Zusammenfassung der Befunde.