Incident Response bezeichnet das geordnete Vorgehen bei einem Sicherheitsvorfall, von der Erkennung über die Eindämmung bis zur Wiederherstellung und Nachbereitung. Üblich ist eine Gliederung in sechs Phasen: Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Auswertung der gewonnenen Erkenntnisse. Der weitaus wichtigste Teil ist die Vorbereitung, denn im Ernstfall ist keine Zeit, Zuständigkeiten zu klären, Kontaktdaten zu suchen und zu entscheiden, wer die Geschäftsführung informiert.
Wesentlich ist die richtige Reihenfolge beim Eindämmen: Betroffene Systeme werden vom Netz getrennt, aber nicht vorschnell gelöscht oder neu aufgesetzt, weil Beweismittel sonst verloren gehen und die Einstiegslücke ungeklärt bleibt.
Rechtlich läuft parallel eine kurze Uhr, denn eine Verletzung des Schutzes personenbezogener Daten ist der Datenschutzbehörde binnen 72 Stunden ab Kenntnis zu melden, sofern ein Risiko für Betroffene besteht (Art. 33 DSGVO), bei hohem Risiko sind zusätzlich die Betroffenen zu verständigen (Art. 34 DSGVO). Für Unternehmen in NIS-Sektoren treten Meldepflichten mit noch kürzeren Fristen hinzu. Ein knapper Notfallplan mit Rufnummern von IT-Dienstleister, Rechtsberatung und Versicherung, ausgedruckt und außerhalb der eigenen Systeme verfügbar, ist die billigste wirksame Vorbereitung.