NIS2-Meldepflicht: Fristen 24 h, 72 h, 1 Monat und Meldeweg

Erhebliche Sicherheitsvorfälle müssen nach § 32 BSIG unverzüglich gemeldet werden: eine frühe Erstmeldung spätestens binnen 24 Stunden und eine Meldung binnen 72 Stunden ab Kenntnis. Die Abschlussmeldung ist spätestens einen Monat nach Übermittlung der Meldung fällig. Das sind Höchstfristen, keine Wartezeiten. Die übrigen NIS2-Pflichten erklärt der NIS2-Leitfaden für KMU.

Wer melden muss

Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Ob Sie dazugehören, klärt der NIS2-Betroffenheits-Check. Einige Sektoren haben ein eigenes Regime: Für Anbieter öffentlicher Telekommunikation, Energiebetreiber nach dem EnWG und Finanzunternehmen unter DORA gilt § 32 BSIG nicht (§ 28 Abs. 5 und 6 BSIG); sie melden nach ihren eigenen Regeln. Verstöße gegen die Meldepflicht können mit bis zu 10 Mio. € bei besonders wichtigen und 7 Mio. € bei wichtigen Einrichtungen geahndet werden (§ 65 BSIG).

Was ein erheblicher Sicherheitsvorfall ist

Meldepflichtig sind nur erhebliche Vorfälle. Nach § 2 BSIG ist ein Sicherheitsvorfall erheblich, wenn er

• schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Achten Sie auf das Wort „kann“: Auch ein Vorfall, der noch keinen Schaden angerichtet hat, kann erheblich sein. Laut BSI heißt das, dass die Auswirkungen realistischerweise eintreten könnten oder konkret mit ihnen zu rechnen ist. Für bestimmte digitale Anbieter, darunter Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content Delivery Networks, Managed Services und Managed Security Services Provider sowie DNS-Diensteanbieter, legt die EU-Durchführungsverordnung 2024/2690 konkrete Kriterien fest.

Für alle anderen bleibt die Bewertung eine Einschätzung. Diese Fragen helfen, sie schnell und einheitlich zu treffen:

• Ist eine Leistung, die Sie für Kunden erbringen, ausgefallen oder spürbar eingeschränkt? Wie lange, für wie viele Kunden?
• Sind Daten abgeflossen, verändert oder verschlüsselt worden?
• Hat ein Angreifer Zugriff auf Systeme mit administrativen Rechten erlangt?
• Können Kunden, Patienten oder Partner dadurch einen Schaden erleiden?
• Ist der finanzielle Schaden im Verhältnis zur Unternehmensgröße bedeutend?

Lautet die Antwort auf eine dieser Fragen „ja“, behandeln Sie den Vorfall als möglicherweise erheblich und bereiten die Erstmeldung vor. Halten Sie die bekannten Fakten, Ihre Bewertung und den Zeitpunkt der Kenntnis fest. Diese Fragen unterstützen die Bewertung; sie sind keine gesetzlichen Schwellenwerte.

Die Fristen und was in jede Meldung gehört

§ 32 Abs. 1 BSIG legt eine Meldefolge fest. Die Fristen laufen ab Kenntnis des erheblichen Vorfalls, nicht ab seinem Beginn:

Dauert der Vorfall zum Zeitpunkt der Abschlussmeldung noch an, reichen Sie stattdessen eine Fortschrittsmeldung ein (§ 32 Abs. 2 BSIG); die Abschlussmeldung folgt, wenn der Vorfall abgearbeitet ist.

Die Fristen zählen in Stunden und pausieren weder am Wochenende noch an Feiertagen. Beispiel: Ihre Einrichtung erlangt am Freitag, 6. November 2026, um 16 Uhr Kenntnis von einem erheblichen Vorfall. Dann ist die Erstmeldung spätestens Samstag um 16 Uhr fällig, die Meldung spätestens Montag, 9. November, um 16 Uhr. Übermitteln Sie die Meldung am 9. November, ist die Abschlussmeldung spätestens am 9. Dezember fällig.

Das BSI folgt dem Grundsatz „Schnelligkeit vor Vollständigkeit“: Die Erstmeldung braucht nur das Wesentliche. Planen Sie die Bewertung („ist das erheblich?“) für die ersten Stunden ein, damit nach der Bestätigung genug Zeit für die Erstmeldung bleibt.

So läuft die Meldung ab

Gemeldet wird über das BSI-Portal (portal.bsi.bund.de), über das auch die Registrierung nach § 33 BSIG läuft. Betreiber kritischer Anlagen und Bundesbehörden können übergangsweise weiter das Melde- und Informationsportal (MIP) des BSI nutzen; eine zusätzliche Meldung im BSI-Portal ist dann nicht nötig. Vor dem ersten Vorfall müssen drei Dinge geklärt sein:

• Wer entscheidet, dass ein Vorfall erheblich ist. Meist der Informationssicherheitsbeauftragte gemeinsam mit der Geschäftsleitung.
• Wer meldet. Mindestens zwei Personen mit Portalzugang, damit Urlaub, Krankheit und Wochenende abgedeckt sind.
• Was gemeldet wird. Eine vorbereitete Vorlage mit den Angaben für Erstmeldung und Meldung spart im Ernstfall am meisten Zeit.

NIS2-Meldung und DSGVO-Meldung sind getrennt

Sind personenbezogene Daten betroffen, verlangt Art. 33 DSGVO zusätzlich eine Meldung an die zuständige Datenschutzaufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Beide Meldungen gehen an verschiedene Behörden, haben verschiedene Kriterien und ersetzen einander nicht. Ihr Vorfallprozess sollte beides prüfen.

Checkliste zur Vorbereitung

1. Kriterien für „erheblich“ schriftlich festlegen (die Fragen oben sind ein Ausgangspunkt).
2. Entscheider, meldende Personen und Vertretungen benennen.
3. Portalzugang für mindestens zwei Personen prüfen.
4. Vorlagen für Erstmeldung und Meldung vorbereiten.
5. Mit IT-Dienstleistern vertraglich vereinbaren, wie schnell sie Sie informieren, auch am Wochenende: Die Frist beginnt mit Ihrer Kenntnis.
6. Die DSGVO-Prüfung in denselben Ablauf aufnehmen.
7. Einmal im Jahr ein Szenario durchspielen und das Ergebnis festhalten.

Vorfälle in Valiido dokumentieren

In Valiido hält ein Vorfall Beschreibung, betroffene Systeme, Maßnahmen und Erkenntnisse fest. Tragen Sie Datum und Uhrzeit der Kenntnis ein, zeigt Valiido die Fristen für Erstmeldung und Meldung; die Monatsfrist der Abschlussmeldung beginnt mit dem eingetragenen Versand der Meldung. Jede Stufe hat einen Status: offen, erledigt oder überfällig. Die Meldungen selbst geben Sie im BSI-Portal ab. Mehr zu Valiido für NIS2.

Die Bewältigung von Sicherheitsvorfällen ist einer der zehn Maßnahmenbereiche nach § 30 Abs. 2 BSIG, siehe die zehn NIS2-Maßnahmen; die Rolle der Geschäftsleitung behandelt die NIS2-Schulung der Geschäftsleitung.

Häufig gestellte Fragen

Wann genau beginnt die 24-Stunden-Frist?

Laut BSI, sobald eine Mitarbeiterin oder ein Mitarbeiter Ihrer Einrichtung innerhalb der Arbeitszeit Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Nicht mit dem Beginn des Vorfalls und nicht mit jedem Alarm, der noch geprüft wird.

Brauchen wir vor der Erstmeldung eine vollständige Forensik?

Nein. Melden Sie, was bekannt ist, und kennzeichnen Sie, was noch unklar ist; ergänzen Sie es in der Meldung. Im Zweifel geht laut BSI die Eindämmung der akuten Folgen vor der Meldung.

Welche Zusatzangaben müssen Betreiber kritischer Anlagen melden?

Hat oder könnte der Vorfall Auswirkungen auf eine kritische Anlage haben, sind nach § 32 Abs. 3 BSIG auch deren Art, die kritische Dienstleistung und die Auswirkungen auf diese Dienstleistung anzugeben.