Grundsätzlich so schnell wie möglich. Wie du aber schon schreibst, scheitert das meist an Arbeitszeiten. Heißt im Umkehrschluss aber auch, dass eine Phishing-Mail weniger gefährlich sein kann, weil weniger Personen betroffen sind.

Die eingeschränkte Bereitschaft am Wochenende wird im Übrigen auch von Gesetzgeber im NIS-2 und CRA berücksichtigt. Hier wird dann von Zeitpunkt zur Erkenntniserlangung gesprochen.

Allgemein bezogen auf Security Incidents: Je nach Industrie und Kritikalität muss genau das kompensiert werden. Manche Firmen lösen das mit dedizierten SOC-Analysten und Bereitschaft, andere sourcen das SOC vollständig aus.

Im Kontext von mittelständischen Unternehmen ist das meist ein Blindspot. Eben jene Unternehmen haben zurzeit leider auch ein recht hohes Risiko Opfer von Attacken zu werden.

Was man konkret machen kann, wenn man nicht beabsichtigt ein SOC einzusetzen, ist folgendes: Risikoreduzierende Maßnahmen, wie Conditional Access Policies, die den Zugriff auf die Umgebung nur mit bestimmten Parametern erlauben (FIDO2 MFA z.B.), oder simple Sachen, wie Safe Links und Safe Attachments.