Das Wichtigste
Nach den CERT-In-Direktiven von 2022 müssen Organisationen mit Tätigkeit in Indien bestimmte Cybervorfälle binnen 6 Stunden nach Kenntnisnahme melden, Protokolle 180 Tage in Indien aufbewahren und ihre Uhren mit NIC-/NPL-NTP-Servern synchronisieren. Die Auditpolitik von 2025 ergänzt verpflichtende jährliche umfassende IKT-Audits.
Was die 6-Stunden-Regel verlangt
Die CERT-In-Direktiven nach Abschnitt 70B des IT Act, veröffentlicht am 28. April 2022, verlangen, bestimmte Cybervorfälle binnen 6 Stunden nach Erkennung im vorgeschriebenen Format an CERT-In zu melden.
Sechs Stunden sind operativ anspruchsvoll. Sie setzen voraus, dass Sie Vorfälle schnell erkennen und über einen abgestimmten Meldeprozess verfügen, was in der Praxis Überwachung rund um die Uhr und ein vorbereitetes Incident-Response-Playbook bedeutet.
Über die Meldung hinaus: Protokolle und Zeitsynchronisation
Die Direktiven ergänzen zwei weitere technische Pflichten, die Prüfer kontrollieren.
- IKT-Systemprotokolle 180 Tage sicher innerhalb der indischen Jurisdiktion aufbewahren
- Alle Systemuhren mit NIC- oder NPL-NTP-Servern synchronisieren
- Korrekte Kontaktdaten bei CERT-In hinterlegen
Die Auditpolitik von 2025
Die Comprehensive Cyber Security Audit Policy Guidelines von CERT-In, veröffentlicht am 25. Juli 2025, führen Indien von Checklisten-Audits hin zu Resilienz. Sie verlangen mindestens ein umfassendes IKT-Audit pro Jahr, unabhängige Prüfer, unterzeichnete Auditzertifikate und die Abdeckung von Cloud, KI, Blockchain und Drittparteirisiko.
Die Finanzaufsichten (RBI, SEBI, IRDAI) verlangen sämtlich CERT-In-zugelassene Prüfer, sodass ein zugelassenes Audit mehrere aufsichtsrechtliche Einreichungen bedienen kann.
Wie IntelligenceX unterstützt
Wir erstellen Ihr Playbook für die 6-Stunden-Meldung, validieren Protokollaufbewahrung und NTP-Konfiguration und liefern CERT-In-konforme umfassende IKT-Audits und VAPT mit einem Bericht im Stil zugelassener Prüfer und unabhängiger Durchsicht.
Häufig gestellte Fragen
Sie verpflichtet Organisationen mit Tätigkeit in Indien, bestimmte Cybervorfälle binnen 6 Stunden nach Kenntnisnahme an CERT-In zu melden. In der Praxis setzt das Erkennung rund um die Uhr und einen vorbereiteten Incident-Response-Prozess voraus.
Für Einreichungen bei RBI, SEBI und IRDAI ja, ein zugelassener Prüfer wird erwartet. Wird einer beauftragt, kann ein einziges Audit mehrere aufsichtsrechtliche Anforderungen abdecken.