NIS-2-Meldepflichten
NIS2-Meldepflichten nach § 32 BSIG: wann ein Vorfall erheblich ist, welche Fristen gelten, was jede Meldung enthält und wie Sie den Meldeprozess vorbereiten.
Die NIS2-Meldepflichten verlangen, dass betroffene Unternehmen erhebliche Sicherheitsvorfälle schnell an das BSI melden. Das Gesetz sieht dafür feste Fristen vor: eine erste Meldung innerhalb von 24 Stunden, nachdem Sie von dem Vorfall erfahren haben, eine ausführlichere Meldung nach spätestens 72 Stunden und einen Abschlussbericht nach einem Monat.
Was als erheblich gilt
Melden müssen Sie nicht jede Störung, sondern Vorfälle, die schwere Betriebsstörungen oder finanzielle Verluste verursachen oder verursachen können, oder die anderen Personen erheblichen Schaden zufügen können. Ein Verschlüsselungsangriff, der die Produktion stoppt, gehört typischerweise dazu, ein einzelner abgewehrter Phishing-Versuch in der Regel nicht. Im Zweifel hilft das Infopaket des BSI bei der Einordnung.
Schnelligkeit vor Vollständigkeit
Das BSI betont: Lieber früh mit unvollständigen Angaben melden als spät mit perfekten. Fehlende Informationen reichen Sie in den Folgemeldungen nach. Gemeldet wird über das BSI-Portal; dafür muss Ihr Unternehmen registriert sein.
Der nächste Schritt
Im Ernstfall ist keine Zeit, Zuständigkeiten zu klären. Legen Sie jetzt fest, wer einen Vorfall bewertet, wer meldet, wer vertritt und wie diese Personen auch am Wochenende erreichbar sind. Ein kurzer schriftlicher Ablauf mit Telefonliste und eine Übung im Jahr reichen für den Anfang.
Rechtsgrundlage der NIS2-Meldepflichten
§ 32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, dem BSI erhebliche Sicherheitsvorfälle zu melden. Grundlage ist Artikel 23 der NIS-2-Richtlinie. Betreiber kritischer Anlagen sind als besonders wichtige Einrichtungen ebenfalls erfasst. Für Finanzunternehmen im Anwendungsbereich von DORA gelten stattdessen die DORA-Meldepflichten gegenüber der BaFin.
Wann ein Sicherheitsvorfall erheblich ist
Nach der Begriffsbestimmung in § 2 BSIG ist ein Sicherheitsvorfall erheblich, wenn er
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Für bestimmte digitale Einrichtungsarten (unter anderem Cloud- und Rechenzentrumsdienste, Managed Service Provider, Online-Marktplätze) legt die Durchführungsverordnung (EU) 2024/2690 konkrete Kriterien fest. Für alle anderen gilt die allgemeine Definition; Hilfen zur Einordnung veröffentlicht das BSI in seinem Infopaket zur Meldepflicht.
Die Fristen im Überblick
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntnis | Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des BSI | relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung | ausführliche Beschreibung, wahrscheinliche Ursache bzw. Bedrohungsart, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
Dauert der Vorfall zum Zeitpunkt der Abschlussmeldung noch an, ist nach § 32 Abs. 2 BSIG stattdessen eine Fortschrittsmeldung abzugeben; die Abschlussmeldung folgt nach Abschluss der Bearbeitung.
Der Meldeweg
Registrierte Einrichtungen melden über das BSI-Portal. Wer noch nicht registriert ist, kann laut BSI das Online-Formular im Melde- und Informationsportal (MIP) nutzen. KRITIS-Betreiber melden übergangsweise weiter über das MIP. Eine abgegebene Meldung lässt sich nicht zurückziehen; Fehler werden in einer Folgemeldung korrigiert.
Melden darf jede beauftragte Person, auch ein Dienstleister im Auftrag. Die Verantwortung für Vorfall und Meldung bleibt bei der Einrichtung. Das BSI bestätigt den Eingang in der Regel sofort, spätestens innerhalb von 24 Stunden.
Den Meldeprozess vorbereiten
Erkennen und bewerten
Die 24-Stunden-Frist beginnt mit der Kenntnis. Sie brauchen also einen Weg, auf dem Auffälligkeiten schnell bei jemandem ankommen, der entscheiden kann, ob ein erheblicher Vorfall vorliegt. Hilfreich ist eine kurze Entscheidungshilfe mit Beispielen aus Ihrem Betrieb: Ausfall welcher Systeme wie lange, Abfluss welcher Daten, Schaden für Kunden.
Rollen festlegen
- Wer bewertet den Vorfall (mit Vertretung)?
- Wer gibt die Meldung frei und wer setzt sie ab?
- Wer informiert Geschäftsleitung, Dienstleister, Versicherung und gegebenenfalls Kunden?
Erreichbarkeit
Vorfälle halten sich nicht an Bürozeiten. Hinterlegen Sie Telefonnummern und Vertretungen, und prüfen Sie, ob Ihr IT-Dienstleister vertraglich verpflichtet ist, Sie unverzüglich über Vorfälle zu informieren.
Vorlagen
Eine vorbereitete Vorlage mit den Pflichtinhalten je Stufe spart im Ernstfall Zeit. Dokumentieren Sie parallel Zeitpunkte, Beobachtungen und Maßnahmen; das erleichtert Folge- und Abschlussmeldung und hilft bei der Beweissicherung.
Beispiel einer Zeitachse
Ein vereinfachtes Beispiel zeigt, wie eng die Fristen sind:
- Freitag, 18 Uhr: Ein Mitarbeiter meldet, dass Dateien auf dem Fileserver nicht mehr lesbar sind. Die IT stellt eine Verschlüsselung fest. Ab der Kenntnis eines möglicherweise erheblichen Vorfalls läuft die Frist.
- Freitag, 21 Uhr: Die zuständige Person bewertet den Vorfall als erheblich, weil Auftragsbearbeitung und Versand stillstehen.
- Samstag, vormittags: Frühe Erstmeldung über das BSI-Portal mit dem Hinweis auf einen vermuteten Angriff. Spätester Zeitpunkt wäre Samstag, 18 Uhr.
- Montag, 18 Uhr: Spätester Zeitpunkt für die Meldung mit erster Bewertung von Schweregrad, Auswirkungen und bekannten Kompromittierungsindikatoren.
- Einen Monat danach: Abschlussmeldung oder, wenn der Vorfall noch andauert, Fortschrittsmeldung.
Das Beispiel zeigt, warum Bewertung und Meldung auch am Wochenende möglich sein müssen.
Andere Meldepflichten im Blick behalten
Die NIS-2-Meldung ersetzt keine anderen Pflichten. Sind personenbezogene Daten betroffen, ist zusätzlich die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO zu prüfen, grundsätzlich binnen 72 Stunden. Auch Versicherungsbedingungen und Verträge können eigene Fristen enthalten. Eine Meldung an das BSI ersetzt außerdem keine Meldepflichten in anderen EU-Staaten.
Freiwillige Meldungen
Vorfälle unterhalb der Erheblichkeitsschwelle, Cyberbedrohungen und Beinahe-Vorfälle können nach § 5 Abs. 2 BSIG freiwillig gemeldet werden. Das hilft dem BSI beim Lagebild und kann anderen Unternehmen frühzeitige Warnungen ermöglichen.
Häufige Fragen
Wie schnell muss ich einen Vorfall nach NIS-2 melden?
Die frühe Erstmeldung muss unverzüglich, spätestens 24 Stunden nach Kenntnis erfolgen, die Meldung nach spätestens 72 Stunden und die Abschlussmeldung spätestens einen Monat danach.
Welche Vorfälle sind nach NIS-2 meldepflichtig?
Erhebliche Sicherheitsvorfälle, also solche, die schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen oder verursachen können oder Dritten erheblichen Schaden zufügen können.
Wo melde ich einen NIS-2-Vorfall?
Registrierte Einrichtungen melden über das BSI-Portal. Noch nicht registrierte Einrichtungen und KRITIS-Betreiber nutzen derzeit das Melde- und Informationsportal (MIP) des BSI.