NIS2-Vorfallmeldung ans BSI: Der 24/72-Stunden-Ablauf im Detail

Ein erheblicher Sicherheitsvorfall wird bekannt – und von diesem Moment an läuft die Uhr. § 32 BSIG in der Fassung des NIS2UmsuCG verpflichtet besonders wichtige und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle in mehreren Stufen an die gemeinsame Meldestelle von BSI und BBK zu melden: unverzüglich, spätestens innerhalb von 24 Stunden, spätestens innerhalb von 72 Stunden und abschließend spätestens einen Monat nach der 72-Stunden-Meldung. Wer eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgibt, handelt nach § 65 Abs. 2 Nr. 4 BSIG ordnungswidrig. Die Geldbuße kann bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro betragen; bei einem Gesamtumsatz von mehr als 500 Millionen Euro sind bis zu 2 Prozent bzw. 1,4 Prozent des weltweiten Gesamtumsatzes möglich.

Dieser Artikel erklärt den Ablauf im BSI-Portal Schritt für Schritt: Welche Vorfälle meldepflichtig sind, was inhaltlich in jede der Meldestufen gehört, wie die Einreichung praktisch funktioniert – und welche Fehler Unternehmen beim Meldeprozess häufig machen. Den übergeordneten rechtlichen Rahmen der NIS2-Vorfallmeldung – Fristen, Anforderungen und meldepflichtige Ereignisse erklärt unser ausführlicher Grundlagenleitfaden.

Was gilt als erheblicher Sicherheitsvorfall nach NIS2?

Die zentrale Frage jedes Meldeprozesses lautet: Liegt überhaupt ein meldepflichtiger Vorfall vor? Nach § 2 Nr. 11 BSIG, der Artikel 23 Abs. 3 der NIS-2-Richtlinie (EU) 2022/2555 umsetzt, ist ein Sicherheitsvorfall erheblich, wenn er mindestens eines der folgenden Kriterien erfüllt:

• Schwerwiegende Betriebsstörung: Der Vorfall hat schwerwiegende Betriebsstörungen der Dienste der Einrichtung verursacht oder kann sie verursachen.
• Finanzielle Verluste: Der Vorfall hat finanzielle Verluste für die betreffende Einrichtung verursacht oder kann sie verursachen.
• Erhebliche Auswirkungen auf andere Personen: Der Vorfall hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen.

Konkrete Schwellenwerte enthält die Durchführungsverordnung (EU) 2024/2690 der Kommission. Sie gilt unmittelbar nur für bestimmte Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter (Sicherheits-)Dienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter. Nach Artikel 3 Abs. 1 der Verordnung ist ein Vorfall unter anderem erheblich, wenn er einen direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 Prozent des Jahresumsatzes (der niedrigere Wert ist maßgeblich) verursacht oder verursachen kann, zum Abfluss von Geschäftsgeheimnissen führt oder wenn ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme vorliegt, der schwerwiegende Betriebsstörungen verursachen kann. Für Einrichtungen anderer Sektoren geht das BSI davon aus, dass ein erheblicher Sicherheitsvorfall vorliegt, wenn mindestens eines dieser Kriterien aus Artikel 3 Abs. 1 erfüllt ist – und immer dann, wenn die Erbringung kritischer Dienstleistungen ausgefallen oder beeinträchtigt ist.

Praktische Daumenregel: Im Zweifelsfall frühzeitig melden. Das BSI betont ausdrücklich, dass eine frühzeitige Meldung erwünscht ist, auch wenn zum Zeitpunkt der Abgabe noch Unsicherheiten bestehen – es gilt „Schnelligkeit vor Vollständigkeit“. Die frühe Erstmeldung ist als vorläufige Einschätzung konzipiert; eine abgeschlossene Untersuchung ist keine Voraussetzung für die Meldung.

Ereignis	Meldepflichtig?	Begründung
Ransomware legt Produktionssysteme für 8 Stunden lahm	In der Regel ja	Schwerwiegende Betriebsstörung (§ 2 Nr. 11 Buchst. a BSIG)
Phishing-Angriff ohne Datenzugriff, intern gestoppt	In der Regel nein (prüfen)	Kein erheblicher Schaden – freiwillige Meldung als Sicherheits- oder Beinahevorfall im BSI-Portal möglich
Unbefugter Zugriff auf personenbezogene Daten von >500 Kunden	In der Regel ja (prüfen)	Möglicher erheblicher immaterieller Schaden bei Dritten (§ 2 Nr. 11 Buchst. b BSIG); zusätzlich DSGVO prüfen
DDoS-Angriff, der Webdienst für 4 Stunden ausfallen lässt	Ggf. ja	Abhängig von Bedeutung des Dienstes und Ausmaß der Störung; für Anbieter nach der Durchführungsverordnung gelten deren Schwellenwerte
Kompromittierung eines Dienstleister-Accounts ohne Datenzugriff	Prüfen	Potenzielle Lieferkettenauswirkung ist relevanter Faktor

Hinweis zu Datenpannen: Wenn ein Sicherheitsvorfall personenbezogene Daten betrifft, gilt parallel zur BSI-Meldung nach § 32 BSIG in der Regel auch die DSGVO-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsichtsbehörde. Beide Meldewege sind unabhängig voneinander zu bedienen.

Stufe 1 – Frühe Erstmeldung: Was innerhalb von 24 Stunden ans BSI muss

Die 24-Stunden-Frist beginnt nicht mit dem Eintreten des Vorfalls, sondern mit der Kenntniserlangung durch die betroffene Einrichtung (§ 32 Abs. 1 Satz 1 Nr. 1 BSIG). Das BSI versteht darunter den Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis über einen erheblichen Sicherheitsvorfall erlangt. Wenn ein Sicherheitsteam einen Vorfall um 14:00 Uhr identifiziert, läuft die Frist ab diesem Zeitpunkt – nicht ab dem Zeitpunkt, zu dem der Angriff begann. Wichtig: Das Gesetz verlangt eine Meldung „unverzüglich, spätestens jedoch“ innerhalb von 24 Stunden. Das BSI bezeichnet die Fristen als Maximalzeiten, die nicht ausgereizt werden sollten.

Die frühe Erstmeldung (in der NIS-2-Richtlinie „Frühwarnung“) ist kein abgeschlossener Bericht. Gesetzlich muss sie angeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. Das Meldeformular im BSI-Portal fragt darüber hinaus vorläufige Angaben ab, unter anderem:

• Einstufung und Lageeinschätzung: erheblicher Sicherheitsvorfall, Sicherheitsvorfall oder Beinahevorfall, Meldegrund sowie eine Lageeinschätzung (Rot, Orange, Gelb, Grau)
• Beschreibung: Störung, Auswirkung, (erwartete) Dauer und vermutete oder tatsächliche Ursache
• Zeitpunkte: Eintritt des Vorfalls, Kenntniserlangung und letzter Sachstand
• Verdacht auf böswillige Handlung und mögliche grenzüberschreitende Auswirkungen einschließlich der geografischen Ausbreitung
• Ergriffene Maßnahmen, ob der Vorfall unter Kontrolle ist, sowie Kontaktdaten der meldenden Person

Was in der frühen Erstmeldung noch nicht enthalten sein muss: eine vollständige Ursachenanalyse, Kompromittierungsindikatoren (IoC) oder eine abschließende Schätzung des Gesamtschadens. Diese Informationen gehören in die späteren Meldestufen.

Praktischer Ablauf: Nach Angaben des BSI kann grundsätzlich jeder Mitarbeitende einer Einrichtung melden; für die meldeberechtigten Personen muss jedoch der Zugang zur Meldestelle eingerichtet sein. Viele Einrichtungen legen intern fest, dass ein Bereitschaftsdienst die Erstmeldung auch außerhalb der Geschäftszeiten abgeben darf. Diese Zuständigkeit sollte vorab in einem Incident-Response-Plan geregelt sein.

Kritische Stolperfalle: Eine abgegebene Meldung kann laut BSI nicht storniert oder zurückgezogen werden. Stellt sich der Sachverhalt später als unzutreffend oder unvollständig heraus, wird er durch eine Folgemeldung korrigiert oder ergänzt – etwa mit der Erläuterung, dass der Vorfall nach vertiefter Prüfung die Erheblichkeitsschwelle nicht erreicht. Eine vorsorgliche frühe Erstmeldung ist deutlich besser als eine verspätete.

Stufe 2 – Meldung: Der vollständige Bericht nach 72 Stunden

Unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung, ist die eigentliche Meldung abzugeben (im BSI-Portal „Folgemeldung“). Nach § 32 Abs. 1 Satz 1 Nr. 2 BSIG bestätigt oder aktualisiert sie die Angaben der Erstmeldung und enthält eine erste Bewertung des Vorfalls einschließlich seines Schweregrads und seiner Auswirkungen sowie gegebenenfalls die Kompromittierungsindikatoren. Das Formular für Folge- und Abschlussmeldungen im BSI-Portal fragt unter anderem ab:

• Aktualisierte Lageeinschätzung: aktueller Stand, ob die Störung andauert, Datum und Uhrzeit des letzten Sachstands
• Verletzte Schutzziele: Vertraulichkeit, Integrität und/oder Verfügbarkeit
• Detaillierte Ursache: etwa ob ein Angriff wahrscheinlich gerichtet oder ungerichtet war; bei ausgenutzten Schwachstellen Angaben zu betroffenen Produkten, Systemen und Herstellern
• Auswirkungen: betroffene IT-Assets, ob Nutzer betroffen sind und deren (geschätzte) Anzahl, finanzieller Schaden
• Kompromittierungsindikatoren (IoC): Sofern bereits identifiziert – IP-Adressen, Hash-Werte, Malware-Signaturen, verdächtige Domainnamen
• Strafverfolgung: ob eine Weiterleitung an das Bundeskriminalamt gewünscht ist oder bereits Strafanzeige gestellt wurde
• Getroffene und geplante Maßnahmen zur Eindämmung und Behebung

Nicht erwartet wird innerhalb von 72 Stunden eine abgeschlossene forensische Analyse. Die Meldung ist eine Momentaufnahme des Wissensstands zum Zeitpunkt der Einreichung – sie kann durch weitere Folgemeldungen ergänzt und korrigiert werden. Betreiber kritischer Anlagen müssen nach § 32 Abs. 3 BSIG zusätzlich Angaben zur Art der betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen auf diese Dienstleistung machen.

Wichtig: Wenn sich zwischen Erstmeldung und 72-Stunden-Meldung herausstellt, dass der Vorfall die Erheblichkeitsschwelle doch nicht erreicht, sollte dies in der Folgemeldung erläutert werden. Zurückziehen lässt sich die Erstmeldung nicht; der Sachverhalt wird über die Folgemeldung richtiggestellt.

Stufe 3 – Abschlussbericht: Die Dokumentation nach einem Monat

Spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung ist eine Abschlussmeldung einzureichen (§ 32 Abs. 1 Satz 1 Nr. 4 BSIG). Dauert der Sicherheitsvorfall zu diesem Zeitpunkt noch an, legt die Einrichtung stattdessen eine Fortschrittsmeldung vor; die Abschlussmeldung folgt dann nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 2 BSIG). Unabhängig davon kann das BSI jederzeit eine Zwischenmeldung über relevante Statusaktualisierungen verlangen (§ 32 Abs. 1 Satz 1 Nr. 3 BSIG).

Der Abschlussbericht ist das umfangreichste Dokument im Meldeprozess. Gesetzlich muss er enthalten:

• Ausführliche Beschreibung des Vorfalls: einschließlich Schweregrad und Auswirkungen – sinnvollerweise mit chronologischem Ablauf, Zeitpunkt der ersten Kompromittierung (falls feststellbar), der Entdeckung und der Eindämmung
• Art der Bedrohung bzw. zugrunde liegende Ursache: die wahrscheinlich den Vorfall ausgelöst hat, etwa Angriffsmethode, verwendete Malware oder ausgenutzte Schwachstelle
• Getroffene und laufende Abhilfemaßnahmen: Was wurde zur Eindämmung getan? Welche Maßnahmen sind noch in der Umsetzung?
• Gegebenenfalls grenzüberschreitende Auswirkungen des Vorfalls

Darüber hinaus empfehlenswert, wenn auch nicht ausdrücklich im Gesetz genannt: Lessons Learned (das Portalformular fragt nach geplanten Maßnahmen, um ähnliche Vorfälle künftig zu verhindern) und eine aktualisierte Liste bekannter Kompromittierungsindikatoren. Das BSI empfiehlt, die Abschlussmeldung erst abzugeben, wenn sich die Lageeinschätzung normalisiert hat und alle Analysen des Vorfalls abgeschlossen sind.

Das BSI kann im Fall eines erheblichen Sicherheitsvorfalls im Rahmen seiner Lageprodukte Dritte unterrichten, wenn der Sachverhalt andere Einrichtungen betreffen kann. Nach Angaben des BSI werden diese Inhalte so bereinigt, dass kein Rückschluss auf die meldende Einrichtung möglich ist.

Das BSI-Meldeportal: So läuft die Einreichung praktisch ab

Alle Meldestufen werden über das BSI-Portal unter portal.bsi.bund.de eingereicht. Das Portal ist die zentrale Plattform für NIS2-Meldungen in Deutschland – dasselbe Portal, über das auch die verpflichtende BSI-Registrierung betroffener Einrichtungen erfolgt.

Voraussetzung: Die Registrierung ist nach § 33 BSIG verpflichtend und war bis zum 6. März 2026 abzuschließen; noch nicht registrierte Einrichtungen müssen dies unverzüglich nachholen. Im BSI-Portal selbst setzt eine Meldung die vorherige Registrierung voraus. Einrichtungen, die vor ihrer Registrierung einen erheblichen Sicherheitsvorfall erleiden, melden ihn laut BSI über ein Online-Formular im Melde- und Informationsportal (MIP); KRITIS-Betreiber und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege. Für die Anmeldung im BSI-Portal ist bei jedem Login ein ELSTER-Organisationszertifikat erforderlich, das über „Mein Unternehmenskonto“ (MUK) beantragt wird und eine deutsche Steuernummer voraussetzt. Da der Aktivierungscode per Post kommt (laut BSI in der Regel mindestens fünf Werktage), sollte dies nicht erst im Ernstfall erledigt werden. Informationen zum deutschen Rechtsrahmen und den BSI-Aufsichtsbefugnissen finden Sie in unserem Leitfaden zur NIS2-Umsetzung in Deutschland.

Wer darf melden? Jede Person benötigt ein eigenes ELSTER-Organisationszertifikat und eine persönliche Portal-ID. Wer die Einrichtung registriert, erhält die Rolle „Owner“ und kann in der Nutzerverwaltung weitere Personen aus dem eigenen Unternehmen („Owner (intern)“) oder Externe („Owner (extern)“) hinzufügen. Die Einrichtung sollte mindestens zwei Personen für den Portalzugang autorisieren, um Ausfälle (Krankheit, Urlaub) abzudecken – gerade dann, wenn ein Vorfall außerhalb der Geschäftszeiten eintritt.

Format: Die frühe Erstmeldung wird über die Schaltfläche „Sicherheitsvorfall melden“ als strukturiertes Online-Formular abgegeben. Folge- und Abschlussmeldungen erfolgen über „Meine Sicherheitsvorfälle“, indem die bestehende Meldung aktualisiert wird; die Abschlussmeldung wird dort per Kontrollkästchen gekennzeichnet. Für Fragen zur Portalnutzung bietet das BSI Support per E-Mail an (portal-support@bsi.bund.de); einen telefonischen Portal-Support gibt es nach Angaben des BSI nicht.

Eingangsbestätigung: Nach § 36 Abs. 1 BSIG übermittelt das BSI unverzüglich und nach Möglichkeit innerhalb von 24 Stunden eine Bestätigung über den Eingang der Meldung und auf Ersuchen Orientierungshilfen oder operative Beratung. Bleibt die Bestätigung aus, kann sich die Einrichtung laut BSI dort erkundigen.

Häufige Fehler bei der NIS2-Meldung ans BSI – und wie Sie sie vermeiden

In der Praxis zeigen sich beim Meldeprozess wiederkehrende Muster, die Unternehmen in Schwierigkeiten bringen. Die folgenden Fehler sind typisch:

Fehler 1: Die 24-Stunden-Frist falsch berechnen

Manche Einrichtungen glauben, die Erstmeldung sei noch fristgerecht, wenn sie „am nächsten Tag“ eingereicht wird. Die Frist beginnt jedoch mit der Kenntniserlangung des Vorfalls – also dem Moment, in dem eine Mitarbeiterin oder ein Mitarbeiter, etwa durch eine automatische Warnung oder einen externen Hinweis, Kenntnis vom Vorfall erlangt. Wird ein Vorfall um 22:00 Uhr festgestellt, endet die 24-Stunden-Frist spätestens um 22:00 Uhr des Folgetages; vorrangig gilt ohnehin das Gebot, unverzüglich zu melden. Eine Bereitschaftsregelung für Meldungen außerhalb der Geschäftszeiten ist daher dringend zu empfehlen.

Fehler 2: Interne Abstimmung vor der Erstmeldung

Es ist verständlich, dass Unternehmen vor einer BSI-Meldung interne Freigabeprozesse durchlaufen möchten. In der Praxis führt dies jedoch häufig zur Überschreitung der 24-Stunden-Frist: Technik wartet auf Rechtsabteilung, Rechtsabteilung wartet auf Geschäftsführung, Geschäftsführung ist nicht erreichbar. Die Lösung ist ein Incident-Response-Plan, der die Meldezuständigkeit und den internen Eskalationsweg klar regelt – und der autorisierten Personen erlaubt, eine Erstmeldung auch ohne vollständige interne Freigabe einzureichen.

Fehler 3: Unvollständige 72-Stunden-Meldung

Die 72-Stunden-Meldung ist keine Erweiterung der Erstmeldung um einen Satz. Sie muss eine erste Bewertung des Vorfalls mit Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren enthalten. Fehlende Angaben zur Ursache oder zur Anzahl betroffener Nutzer können Rückfragen des BSI auslösen – was Zeit kostet und den Druck erhöht.

Fehler 4: Den Abschlussbericht zu früh oder zu oberflächlich einreichen

Einige Einrichtungen reichen den Abschlussbericht unmittelbar nach dem Einleiten erster Abhilfemaßnahmen ein – bevor die Ursachenanalyse abgeschlossen ist. Ein Abschlussbericht, der lediglich die 72-Stunden-Meldung wiederholt, erfüllt die gesetzlichen Inhaltsanforderungen regelmäßig nicht. Dauert der Vorfall nach einem Monat noch an, ist statt der Abschlussmeldung eine Fortschrittsmeldung vorgesehen.

Fehler 5: Keine parallele DSGVO-Meldung bei Datenpannen

Wenn ein Sicherheitsvorfall personenbezogene Daten betrifft, laufen die BSI-Meldepflicht (§ 32 BSIG) und die DSGVO-Meldepflicht (Art. 33 DSGVO) parallel. Die DSGVO verlangt eine Meldung unverzüglich und möglichst binnen 72 Stunden an die Datenschutzaufsichtsbehörde, das BSIG bereits eine Erstmeldung binnen 24 Stunden an das BSI – die Adressaten sind unterschiedlich. Wer nur eine Meldung einreicht, verletzt die andere Meldepflicht. § 65 Abs. 11 BSIG schließt eine zusätzliche BSIG-Geldbuße allerdings aus, soweit dasselbe Verhalten bereits von einer Datenschutzaufsichtsbehörde nach der DSGVO geahndet wurde. Unter Umständen sind auch betroffene Personen selbst zu informieren (Art. 34 DSGVO). Informationen zu den möglichen Bußgeldern bei Pflichtverletzungen finden Sie in unserem Leitfaden zu NIS2-Bußgeldern und Sanktionen.

Fehler 6: Nicht melden aus Unsicherheit über die Erheblichkeit

Ein besonders folgenreicher Fehler: Unternehmen entscheiden intern, dass ein Vorfall „wohl nicht erheblich“ ist – und verzichten auf eine Meldung. Erfährt das BSI später auf anderem Weg von dem Vorfall und liegt keine Meldung vor, ist die Rechtfertigungslage schwierig. Im Zweifel gilt: Nach Art. 23 Abs. 1 der NIS-2-Richtlinie wird mit der bloßen Meldung keine höhere Haftung der meldenden Einrichtung begründet. Das Unterlassen einer Pflichtmeldung kann dagegen nach § 65 Abs. 2 Nr. 4 BSIG eine Ordnungswidrigkeit sein.

Häufig gestellte Fragen zur BSI-Meldung nach NIS2

Gilt die 24-Stunden-Frist auch an Wochenenden und Feiertagen?
Das Gesetz sieht für Wochenenden und Feiertage keine Ausnahme vor. Nach der Lesart des BSI beginnt die Frist mit der Kenntniserlangung durch eine Mitarbeiterin oder einen Mitarbeiter innerhalb der Arbeitszeit; arbeitet etwa ein SOC oder Bereitschaftsdienst am Wochenende, kann die Kenntniserlangung auch dort liegen. Einrichtungen sollten daher sicherstellen, dass die zuständigen Personen auch außerhalb der regulären Geschäftszeiten Zugang zum Portal (einschließlich ELSTER-Zertifikat) haben und meldebereit sind.

Muss auch gemeldet werden, wenn der Angriff erfolgreich abgewehrt wurde?
Nicht automatisch. Entscheidend ist, ob der Vorfall erhebliche Auswirkungen hatte oder haben konnte. Ein Angriffsversuch ohne tatsächliche Kompromittierung und ohne Betriebsstörung erfüllt in der Regel nicht die Erheblichkeitsschwelle. Bestand jedoch die reale Möglichkeit erheblicher Auswirkungen – etwa ein erfolgreicher unbefugter Zugriff, der erst knapp vor der Verschlüsselung gestoppt wurde – kann eine Meldung geboten sein. Das BSI-Portal ermöglicht zudem die freiwillige Meldung von Beinahevorfällen.

Was passiert, wenn ein Vorfall nach der Erstmeldung als nicht erheblich eingestuft wird?
Die Einrichtung stellt dies in einer Folgemeldung richtig. Eine Stornierung oder Rücknahme der Erstmeldung ist laut BSI nicht möglich, Korrekturen sind aber ausdrücklich vorgesehen. Eine in gutem Glauben abgegebene vorsorgliche Meldung wird vom BSI ausdrücklich gewünscht; mit der bloßen Meldung wird nach Art. 23 Abs. 1 NIS-2-Richtlinie keine höhere Haftung begründet.

Kann eine externe IT-Sicherheitsfirma die Meldung im Namen unserer Einrichtung einreichen?
Ja. Nach Angaben des BSI kann eine Einrichtung Unternehmen oder Dienstleister zur stellvertretenden Meldungsabgabe ermächtigen; im BSI-Portal werden Externe dazu mit eigenem ELSTER-Organisationszertifikat als „Owner (extern)“ eingetragen. Die Verantwortung für den Vorfall und den Inhalt der Meldung verbleibt jedoch bei der Einrichtung.

Gilt die Meldepflicht auch für laufende Sicherheitsübungen oder Penetrationstests?
In der Regel nein. Autorisierte Sicherheitstests, die im Einvernehmen mit der Einrichtung durchgeführt werden und planmäßig verlaufen, sind regelmäßig keine erheblichen Sicherheitsvorfälle im Sinne des § 32 BSIG. Verursacht ein Test jedoch unbeabsichtigt eine schwerwiegende Störung, ist die Erheblichkeit neu zu prüfen. Die Einrichtung sollte sicherstellen, dass alle Beteiligten über den Test informiert sind, damit keine irrtümliche interne Meldung ausgelöst wird.

Quellen

1. BSIG (BSI-Gesetz) in der Fassung des NIS2UmsuCG, §32 Meldepflichten – Bundesministerium der Justiz (ergänzend §2 und §65)
2. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Artikel 23 – EUR-Lex
3. Durchführungsverordnung (EU) 2024/2690, Artikel 3 – EUR-Lex (u. a. Kriterien für erhebliche Sicherheitsvorfälle)
4. #nis2know: NIS-2-Meldepflicht – BSI
5. Anleitung zur Meldung im BSI-Portal – Bundesamt für Sicherheit in der Informationstechnik
6. Verordnung (EU) 2016/679 (DSGVO), Artikel 33 und 34 – EUR-Lex