NIS2-Meldepflichten: Fristen, Prozess, Verantwortliche

Ein Ransomware-Angriff am Samstagabend, die Produktion steht, der IT-Dienstleister ist nicht erreichbar — und die Uhr läuft: Binnen 24 Stunden muss die Frühwarnung beim BSI eingehen. Die NIS2-Meldepflichten sind die Vorschriften mit dem größten Zeitdruck im ganzen Gesetz. Wer den Meldeprozess erst im Ernstfall improvisiert, verletzt fast zwangsläufig Fristen.

Dieser Artikel erklärt das dreistufige Meldeverfahren nach § 32 BSIG im Detail: was als erheblicher Sicherheitsvorfall gilt, welche Inhalte in welcher Stufe gefordert sind, wie Sie die Meldekette intern organisieren — und wie die NIS2-Meldung mit der Datenschutz-Meldepflicht nach DSGVO zusammenspielt. Mit einer Checkliste, die Sie vor dem ersten Vorfall abarbeiten sollten.

Was ist ein erheblicher Sicherheitsvorfall?

Meldepflichtig ist nicht jede Störung, sondern der erhebliche Sicherheitsvorfall. Das Gesetz versteht darunter einen Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursachen kann — oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Entscheidend: Schon die Möglichkeit solcher Folgen genügt, der Schaden muss noch nicht eingetreten sein.

Für die Praxis hilft eine Einordnung nach Fallgruppen:

• Praktisch immer meldepflichtig: erfolgreiche Ransomware-Angriffe, Ausfall zentraler Systeme mit Auswirkung auf die Leistungserbringung, nachgewiesener Abfluss sensibler Daten, kompromittierte Administratorkonten.
• Einzelfallbewertung nötig: erfolgreiche Phishing-Angriffe auf einzelne Konten, Malware-Funde auf Einzelrechnern, längere Ausfälle einzelner Dienste ohne Außenwirkung.
• In der Regel nicht meldepflichtig: abgewehrte Angriffe ohne Kompromittierung, übliche Spam- und Scan-Aktivität, kurze Störungen ohne Sicherheitsbezug.

Da die Bewertung unter Zeitdruck erfolgen muss, sollten Sie Bewertungskriterien vorab schriftlich festlegen: Ab welcher Ausfalldauer, ab welchem Datenumfang, bei welchen Systemen gilt ein Vorfall als erheblich? Im Zweifel ist die Meldung der sicherere Weg — eine Meldung, die sich später als unnötig erweist, ist kein Verstoß.

Das dreistufige Meldeverfahren im Überblick

§ 32 BSIG staffelt die Meldung in drei Stufen, damit Unternehmen im Ernstfall zuerst reagieren und dann berichten können:

Dauert der Vorfall beim Fälligkeitstermin des Abschlussberichts noch an, tritt an dessen Stelle zunächst ein Fortschrittsbericht; der Abschlussbericht folgt nach Bewältigung. Zusätzlich kann das BSI während des laufenden Vorfalls Zwischenberichte anfordern. Alle Meldungen laufen über das Melde- und Registrierungsportal des BSI, das seit Januar 2026 in Betrieb ist.

Stufe 1: Die Frühwarnung binnen 24 Stunden

Die Frühwarnung ist bewusst niedrigschwellig gehalten. Sie soll dem BSI ein Lagebild ermöglichen — nicht das Unternehmen zu forensischer Präzision zwingen, während der Vorfall noch läuft. Gefordert sind im Kern drei Angaben:

• die Information, dass ein erheblicher Sicherheitsvorfall vorliegt oder vermutet wird,
• eine erste Einschätzung, ob eine rechtswidrige Handlung (etwa ein Angriff) als Ursache in Betracht kommt,
• eine Einschätzung, ob grenzüberschreitende Auswirkungen möglich sind.

Die Frist beginnt mit der Kenntnis vom Vorfall — also sobald eine verantwortliche Stelle im Unternehmen erkennt oder erkennen muss, dass ein erheblicher Vorfall vorliegt. Zwei praktische Konsequenzen: Erstens zählt das Wochenende mit; die Meldefähigkeit muss auch samstagnachts funktionieren. Zweitens sollten Sie den Zeitpunkt der Kenntnisnahme intern dokumentieren — er ist der Anker für alle Fristen.

Ein verbreiteter Irrtum: Die Frühwarnung schade dem Unternehmen, weil man „sich selbst anzeigt“. Tatsächlich ist die Meldung eine gesetzliche Pflicht, deren Verletzung bußgeldbewehrt ist — während die Meldung selbst keine Schuldanerkenntnis darstellt. Das BSI versteht sich in dieser Rolle als Unterstützer und kann auf Ersuchen auch technische Hilfe leisten.

Stufe 2 und 3: Meldung und Abschlussbericht

Binnen 72 Stunden folgt die eigentliche Meldung. Sie aktualisiert die Frühwarnung und ergänzt eine erste fundierte Bewertung: Wie schwer ist der Vorfall, welche Systeme und Dienste sind betroffen, welche Auswirkungen bestehen, welche Kompromittierungsindikatoren (etwa Schadsoftware-Signaturen oder auffällige IP-Adressen) liegen vor? Zu diesem Zeitpunkt läuft die Bewältigung häufig noch — das Gesetz erwartet den aktuellen Erkenntnisstand, keine abgeschlossene Forensik.

Spätestens einen Monat nach der Meldung ist der Abschlussbericht fällig. Er beschreibt den Vorfall vollständig: Ursache und Hergang, Schweregrad und Auswirkungen, ergriffene und noch laufende Abhilfemaßnahmen. Der Abschlussbericht ist mehr als eine Formalie — er zwingt zur sauberen Ursachenanalyse und ist zugleich das Dokument, an dem die Aufsicht ablesen kann, ob das Unternehmen aus dem Vorfall gelernt hat.

Für die interne Organisation heißt das: Die Person, die den Vorfall technisch bewältigt, sollte nicht zugleich die einzige sein, die Meldungen schreibt. Bewährt hat sich ein Tandem aus technischer Vorfallsleitung und einer koordinierenden Rolle, die Fristen, Meldungen und Kommunikation steuert.

Die Meldekette organisieren: Wer macht was?

Fristen hält nur, wer Zuständigkeiten vor dem Ernstfall klärt. Eine funktionierende Meldeorganisation beantwortet fünf Fragen:

1. Wer erkennt? Alle Mitarbeitenden kennen die interne Meldestelle für Auffälligkeiten; Monitoring und Dienstleister melden dorthin.
2. Wer bewertet? Eine benannte Rolle (IT-Leitung, Informationssicherheitsbeauftragter oder externer Partner) entscheidet anhand vorab definierter Kriterien, ob ein erheblicher Vorfall vorliegt — mit benannter Vertretung für Urlaub und Wochenende.
3. Wer meldet? Mindestens zwei Personen haben Zugang zum BSI-Portal, kennen das Formular und haben den Ablauf einmal geübt.
4. Wer entscheidet? Die Geschäftsleitung ist ab Stufe 1 informiert und entscheidet über weitergehende Schritte wie Anzeige, Kundeninformation und Einbindung externer Forensik.
5. Wer dokumentiert? Zeitpunkte, Entscheidungen und Maßnahmen werden ab Kenntnis fortlaufend protokolliert — das trägt die spätere Meldung und den Abschlussbericht.

Hinterlegen Sie die Meldekette schriftlich als Teil des Incident-Response-Plans, inklusive Erreichbarkeiten außerhalb der Geschäftszeiten, und testen Sie sie einmal jährlich in einer Übung. Bedenken Sie dabei den Fall, dass E-Mail und Telefonanlage selbst kompromittiert sind — definieren Sie einen alternativen Kommunikationskanal.

NIS2, DSGVO und Kundeninformation: Mehrere Meldepflichten parallel

Ein schwerer Sicherheitsvorfall löst häufig mehrere Meldepflichten gleichzeitig aus — an unterschiedliche Stellen mit unterschiedlichen Fristen:

• BSI nach § 32 BSIG: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat.
• Datenschutzaufsicht nach Art. 33 DSGVO: Sind personenbezogene Daten betroffen, ist die zuständige Landesdatenschutzbehörde binnen 72 Stunden zu benachrichtigen — zusätzlich, nicht alternativ. Bei hohem Risiko für Betroffene kommt die Benachrichtigung der betroffenen Personen hinzu (Art. 34 DSGVO).
• Empfänger der Dienste: Das BSIG sieht vor, dass betroffene Einrichtungen die Empfänger ihrer Dienste über erhebliche Vorfälle unterrichten, die deren Leistungserbringung beeinträchtigen können; bei erheblichen Cyberbedrohungen auch über mögliche Gegenmaßnahmen.
• Vertragliche Pflichten: Verträge mit Kunden — gerade mit selbst NIS2-regulierten — enthalten zunehmend eigene Informationspflichten mit kurzen Fristen.

Wer die Meldewege in einem gemeinsamen Prozess bündelt, meldet einmal koordiniert statt dreimal hektisch. Ein ISMS nach ISO 27001 liefert dafür den Rahmen: Incident Management, Rollen und Dokumentation sind dort ohnehin gefordert — die gesetzlichen Fristen und Portale müssen Sie allerdings gesondert hinterlegen, denn die Norm kennt keine 24-Stunden-Frist.

Checkliste: Meldefähigkeit vor dem ersten Ernstfall

Diese Punkte sollten Sie abgearbeitet haben, bevor der erste Vorfall eintritt — jede Position kostet wenig, solange kein Zeitdruck herrscht:

1. Registrierung und Portalzugang: Unternehmen im BSI-Portal registriert, Zugangsdaten für mindestens zwei Personen hinterlegt und getestet.
2. Bewertungskriterien schriftlich: Definiert, ab wann ein Vorfall als erheblich gilt — mit Beispielen für Ihr Unternehmen.
3. Meldekette dokumentiert: Rollen, Vertretungen und Erreichbarkeiten außerhalb der Geschäftszeiten festgelegt, inklusive alternativem Kommunikationskanal.
4. Meldeformular gesichtet: Die abgefragten Inhalte einmal durchgespielt, damit im Ernstfall keine Informationen mühsam gesucht werden müssen.
5. Dienstleister eingebunden: IT-Dienstleister vertraglich verpflichtet, Vorfälle unverzüglich zu melden — deren Kenntnis kann Ihre Frist auslösen.
6. Parallelmeldungen geklärt: Zuständigkeit für die DSGVO-Meldung und für Kundeninformationen benannt.
7. Übung terminiert: Einmal jährlich ein Planspiel mit Zeitmessung — vom fiktiven Alarm bis zur fertigen Frühwarnung.

Wer diese sieben Punkte erledigt hat, verwandelt die strengste NIS2-Pflicht in einen beherrschbaren Routineprozess.

Häufige Fragen

Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT

Begriffe in diesem Artikel

Verwandte Beiträge