Incident Response Plan: Die Vorlage, die 24-Stunden-, 72-Stunden- und Monatsfrist übersteht

Das BSI-Gesetz kennt kein Wort für den Plan, den es verlangt. Ein Absenztest über den Volltext der geltenden Fassung ergibt: „Incident“ — null Treffer. „Response“ — null. „Reaktionsplan“, „Notfallplan“, „Playbook“, „Triage“, „Forensik“ — jeweils null. Die gesamte Pflicht steht in vier Wörtern, die genau einmal vorkommen: „Bewältigung von Sicherheitsvorfällen“, § 30 Absatz 2 Nummer 2 BSIG [1].

Deshalb entstehen die meisten deutschen Incident-Response-Pläne entlang des NIST-Sechs-Phasen-Modells — und deshalb scheitern sie an der falschen Stelle. Bebußt wird nicht der Plan. Bebußt wird die Meldung, die aus ihm herausfallen muss, und § 65 Absatz 2 Nummer 4 BSIG kennt dafür vier Wege [3]. Dieser Leitfaden baut die Vorlage rückwärts von der Uhr.

Gilt das für mich? Drei Regelwerke, aber nur zwei binden Sie

Kurz gefasst: die Pflicht trifft jede besonders wichtige und jede wichtige Einrichtung in Deutschland. Die einzige amtliche Inhaltsliste dafür stammt aber aus einer EU-Verordnung, die unmittelbar nur elf digitale Einrichtungsarten bindet. Wer nicht dazugehört, muss sie nicht befolgen — findet aber nirgendwo sonst eine behördlich autorisierte Antwort auf die Frage, was in dem Dokument stehen soll.

Regelwerk	Wen es bindet	Was es liefert
§ 30 Abs. 2 Nr. 2 BSIG	alle besonders wichtigen und wichtigen Einrichtungen	die Pflicht selbst — vier Wörter, keine Inhaltsliste. Bußgeldbewehrt über § 65 Abs. 2 Nr. 2
DVO (EU) 2024/2690, Anhang Nr. 3	elf digitale Einrichtungsarten: DNS-Dienste, TLD-Registries, Cloud, Rechenzentren, CDN, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste	sechs benannte Abschnitte — die einzige namentliche Inhaltsliste im EU-Recht. Unmittelbar geltend und nach § 30 Abs. 3 BSIG mit Vorrang
NIST SP 800-61, ISO/IEC 27001	niemanden kraft Gesetzes	Methodik. Erwägungsgrund 3 der DVO nennt ISO/IEC 27001 als Normengrundlage — ein Erwägungsgrund begründet keine Pflicht

Die Bewältigung von Sicherheitsvorfällen ist dabei nur eine von zehn Maßnahmen, die § 30 Absatz 2 BSIG aufzählt — der Überblick über alle zehn steht in unserem Leitfaden zu den NIS2-Anforderungen nach Artikel 21.

Für alle anderen Einrichtungen — den Maschinenbauer, das Klinikum, den Energieversorger — ist Anhang Nr. 3 keine Pflicht, aber die belastbarste verfügbare Auslegungshilfe. Die Kommission hat darin ausbuchstabiert, was sie unter Artikel 21 Absatz 2 Buchstabe b der NIS-2-Richtlinie versteht [5]. Eine Aufsichtsbehörde, die § 30 Absatz 2 Nummer 2 konkretisieren muss, hat keine andere amtliche Liste zur Hand.

Die Meldepflicht selbst kennt diese Unterscheidung nicht: § 32 BSIG gilt für alle besonders wichtigen und wichtigen Einrichtungen gleichermaßen [2]. Ein Detail dazu wird selten zitiert — nach § 32 Absatz 1 Satz 2 gilt die Pflicht „frühestens ab Einrichtung des Meldewegs“. Diesen Weg gibt es: das BSI hat sein Portal am 6. Januar 2026 freigeschaltet und führt dort auch durch die Meldung [7][8]. Nach Angaben des Amtes gelten die neuen Pflichten für rund 29.500 Unternehmen in Deutschland und Institutionen der Bundesverwaltung. Als Argument gegen eine verspätete Meldung taugt Satz 2 damit in der Praxis nicht mehr.

Vier Wörter Pflicht — und vier Wege ins Bußgeld

Wer die Vorlage gegen die 24-Stunden-Frist optimiert, optimiert gegen ein Viertel des Risikos. § 65 Absatz 2 Nummer 4 BSIG stellt es unter Bußgeld, wenn eine Meldung nach § 32 Absatz 1 Satz 1 „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig“ gemacht wird [3]. Das sind vier gleichrangige Tatbestandsalternativen, nicht eine Frist mit drei Verzierungen.

Nummer 5 stellt die verspätete Abschlussmeldung nach § 32 Absatz 2 Satz 2 zusätzlich als eigenen Tatbestand daneben. Und § 65 Absatz 5 Nummer 1 wirft die Fälle der Nummern 2 bis 5 in denselben Rahmen: bis zu zehn Millionen Euro bei besonders wichtigen, bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Die Richtlinie setzt diese Beträge in Artikel 34 Absatz 4 und 5 als EU-weite Mindestobergrenzen [6].

Praktisch heißt das: pünktlich und falsch liegt im selben Bußgeldrahmen wie gar nicht gemeldet. Eine Meldung, die in Stunde 23 rausgeht und in der Ursachenzuordnung danebenliegt, ist kein geretteter Termin — sie ist ein anderer Tatbestand. Vollständigkeit und Richtigkeit lassen sich unter Zeitdruck aber nicht durch Disziplin herstellen, sondern nur durch Vorarbeit. Genau das ist die Aufgabe der Vorlage.

Die sechs Abschnitte aus Anhang Nr. 3 der DVO 2024/2690

Anhang Nr. 3 zerlegt die „Bewältigung von Sicherheitsvorfällen“ in sechs Unterabschnitte. Wer sie als Kapitelstruktur übernimmt, hat eine Gliederung, die sich gegenüber einem Prüfer aus dem Verordnungstext begründen lässt — statt aus einem amerikanischen Standard, den das deutsche Recht nirgends nennt.

Nr.	Überschrift der DVO	Was das Kapitel enthalten muss
3.1	Konzept für die Bewältigung von Sicherheitsvorfällen	Rollen, Verantwortlichkeiten und Verfahren für Erkennung, Analyse, Eindämmung oder Reaktion, Wiederherstellung sowie Dokumentation und Meldung. Dazu ausdrücklich: (a) ein Kategorisierungssystem, (b) Kommunikationspläne auch für Eskalation und Meldung, (c) Zuweisung der Rollen an kompetente Mitarbeitende, (d) Anleitungen, Eskalationsschemata, Kontaktlisten und Vorlagen
3.2	Überwachung und Protokollierung	zwölf namentlich genannte Protokollarten (Buchst. a bis l), Alarmschwellen, festgelegte Aufbewahrungsdauer, Zeitsynchronisation aller Systeme
3.3	Meldung von Ereignissen	ein „einfacher Mechanismus“, über den Mitarbeitende, Anbieter und Kunden verdächtige Ereignisse melden können
3.4	Bewertung und Klassifizierung von Ereignissen	vorab festgelegte Kriterien und eine Triage; vierteljährliche Prüfung auf wiederholte Vorfälle; Korrelations- und Analyseverfahren für Protokolle
3.5	Reaktion auf Sicherheitsvorfälle	drei Phasen — Eindämmung, Beseitigung, erforderlichenfalls Wiederherstellung; Kommunikationspläne mit CSIRT und Behörden; Protokollierung der Reaktionstätigkeiten und Sammlung von Nachweisen
3.6	Überprüfungen nach Sicherheitsvorfällen	Ursache ermitteln, Lehren dokumentieren, Rückfluss in Konzepte und Verfahren; zusätzlich die Prüfung, ob Reviews überhaupt stattgefunden haben

Zwei Punkte daraus werden regelmäßig übersehen. Erstens verlangt Nummer 3.1.2, dass dieses Konzept „mit dem Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs gemäß Nummer 4.1 im Einklang stehen“ muss. Das sind zwei Dokumente, nicht eines: die Vorfallbewältigung nach Nummer 3 und der IT-Notfallplan nach Anhang 4.1.2 haben unterschiedliche Inhaltslisten und unterschiedliche Rechtsgrundlagen — Artikel 21 Absatz 2 Buchstabe b gegenüber Buchstabe c. Wer beides in ein Handbuch presst, muss trotzdem beide Listen abbilden.

Zweitens die Testfrequenz. Nummer 3.1.3 verlangt Tests „in geplanten Zeitabständen“ sowie anlassbezogen bei erheblichen Vorfällen und wesentlichen Änderungen — die Formulierung „mindestens jährlich“ steht in Abschnitt 3 nirgends. Sie steht in Nummer 2.1.4, und dort für die Risikobewertung. Übernehmen Sie also keine Jahresfrequenz aus einer Vorlage, die sie erfunden hat; legen Sie ein Intervall fest und schreiben Sie die Begründung dazu. § 30 Absatz 1 Satz 3 BSIG verlangt die Dokumentation der Pflichteinhaltung, und ihr Fehlen ist nach § 65 Absatz 2 Nummer 3 ein eigener Bußgeldtatbestand [1][3]. Wo der Anhang eine Anforderung ausdrücklich nur „soweit angemessen, anwendbar oder durchführbar“ stellt und Sie sie nicht anwenden, verlangt Artikel 2 Absatz 2 der DVO zusätzlich, die Begründung „in verständlicher Weise“ zu dokumentieren [5].

Rückwärts vom Meldeformular gedacht

Die Gliederung aus Anhang Nr. 3 sagt, welche Kapitel es gibt. Was in ihnen stehen muss, entscheidet § 32 BSIG — denn dort steht, was Sie nach 24 Stunden, nach 72 Stunden und nach einem Monat aus dem Plan herausziehen können müssen.

Frist	Was § 32 BSIG verlangt	Welcher Planabschnitt es liefert
24 h — frühe Erstmeldung	zwei Angaben: Verdacht auf rechtswidrige oder böswillige Handlungen? Mögliche grenzüberschreitende Auswirkungen?	3.4 (Kriterien und Triage) und 3.1.2 Buchst. c (wer entscheidet)
72 h — Meldung	Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung einschließlich Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren	3.4 (Klassifizierungsstufen) und 3.2 (Protokolle, aus denen sich Indikatoren überhaupt gewinnen lassen)
Zwischenmeldung	nur auf Ersuchen des Bundesamtes — keine feste Frist	3.5.4 (laufende Protokollierung der Reaktionstätigkeiten)
1 Monat — Abschlussmeldung	ausführliche Beschreibung, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen	3.6 (Ursachenermittlung) und 3.5.4 (gesammelte Nachweise)

Der Gesetzestext ist an der 24-Stunden-Stelle bemerkenswert schmal — zwei Ja/Nein-Einschätzungen. Das BSI-Meldeformular ist es nicht. Die Anleitung des Amtes listet für die Erstmeldung unter anderem die Einstufung als erheblicher Sicherheitsvorfall, Sicherheitsvorfall oder Beinahevorfall, einen Lagebild-Farbcode von Rot bis Grau, Eintritts- und Entdeckungszeitpunkt, betroffene Sektoren und Branchen sowie die bereits ergriffenen Gegenmaßnahmen und die Art der Erkennung [8]. Wer diese Felder in Stunde 23 zum ersten Mal liest, füllt sie aus dem Bauch — und genau dort entsteht das „nicht richtig“ aus § 65.

Zwei Präzisionsfehler kursieren fast überall. Erstens: die Abschlussfrist ist kein 30-Tage-Zähler ab dem Vorfall. § 32 Absatz 1 Satz 1 Nummer 4 sagt „spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2″ — der Startpunkt ist die 72-Stunden-Meldung. Zweitens: der Monat ist keine harte Abschlussfrist. Dauert der Vorfall zu diesem Zeitpunkt noch an, tritt nach § 32 Absatz 2 eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; diese folgt erst „nach abschließender Bearbeitung des Sicherheitsvorfalls“. Ein Freibrief ist das nicht — § 65 Absatz 2 Nummer 5 macht gerade diese nachgelagerte Abschlussmeldung zum eigenen Bußgeldtatbestand. Die Details der drei Stufen sind in unserem Leitfaden zu den Meldepflichten und meldepflichtigen Ereignissen ausführlicher aufgeschlüsselt.

Wann die Uhr startet — und wann zwei kleine Vorfälle ein erheblicher werden

Die Frist läuft ab „Kenntniserlangung“, nicht ab dem Vorfall und nicht ab der Bestätigung durch die Forensik. Der Plan braucht deshalb zwei Festlegungen, die in kaum einer Vorlage stehen: wann Kenntnis als erlangt gilt, und wer den Zeitstempel setzt. Ohne beides ist der Fristbeginn im Nachhinein Auslegungssache — und zwar zulasten der Einrichtung, die ihn dokumentieren muss.

Wie sich dieser Fristbeginn bei einem konkreten Verschlüsselungsvorfall auswirkt — samt der Entscheidung zwischen schneller Wiederherstellung und Beweissicherung und der strafrechtlichen Seite einer Lösegeldzahlung — zeigt unser Leitfaden Ransomware-Angriff: Die 24-Stunden-Frist ans BSI.

Ob überhaupt gemeldet werden muss, entscheidet die Erheblichkeit. § 2 Nummer 11 BSIG definiert sie zweigliedrig: schwerwiegende Betriebsstörungen oder finanzielle Verluste, die der Vorfall „verursacht hat oder verursachen kann“, oder erhebliche materielle bzw. immaterielle Schäden bei Dritten [4]. Das Potenzial genügt. Ein abgewehrter Verschlüsselungsversuch mit Domänenadmin-Rechten kann erheblich sein, obwohl nichts ausgefallen ist. Zur Einordnung gehört die Einschränkung im Gesetzestext selbst: die Definition gilt, „sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt“ — sie kann also noch präzisiert werden.

Für die elf digitalen Einrichtungsarten liefert die DVO harte Zahlen statt Wertungen. Artikel 3 Absatz 1 nennt unter anderem einen direkten finanziellen Verlust über 500.000 Euro oder fünf Prozent des Vorjahresumsatzes — je nachdem, welcher Wert niedriger ist —, den Abfluss von Geschäftsgeheimnissen, den Tod oder die schwere Gesundheitsschädigung einer natürlichen Person sowie jeden erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff, „der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen“ [5]. Absatz 2 stellt klar, dass planmäßige Betriebsunterbrechungen und geplante Wartungsfolgen nie erheblich sind — ein Satz, der in den eigenen Kriterienkatalog gehört, damit niemand um drei Uhr nachts ein Wartungsfenster meldet.

Der am häufigsten fehlende Mechanismus ist Artikel 4: mindestens zwei für sich genommen unterschwellige Vorfälle innerhalb von sechs Monaten, mit derselben offensichtlichen Ursache, die zusammengenommen die Finanzschwelle reißen, gelten als ein erheblicher Sicherheitsvorfall. Anhang Nummer 3.4.2 Buchstabe b macht daraus eine wiederkehrende Pflicht: vierteljährlich prüfen, ob ein solcher Fall vorliegt. In der Praxis bedeutet das einen Kalendereintrag und eine Auswertung über das Vorfallregister — für die meisten Pläne ein neuer Prozess, nicht nur ein neues Kapitel [5].

Wer entscheidet — und was die Meldung Ihnen zurückgibt

Anhang Nummer 3.1.2 Buchstabe c verlangt die Zuweisung der Rollen an „kompetente Mitarbeitende“. Das klingt nach einer Formalie und ist der Punkt, an dem 24-Stunden-Fristen tatsächlich reißen — meistens nachts, meistens an einer Freigabeschleife ohne Vertretungsregel.

Rolle	Was der Plan ihr zuweisen muss	Woran es in der Praxis scheitert
CISO / IT-Sicherheit	Triage nach 3.4.2 Buchst. a, Eindämmung und Beseitigung nach 3.5.2, Beweissammlung nach 3.5.4	Beweissicherung wird als forensische Kür behandelt. Sie ist die Voraussetzung dafür, dass die Abschlussmeldung Ursache und Abhilfemaßnahmen belegen kann
Compliance / Recht	Erheblichkeitsentscheidung, Fristenlauf, Abgleich mit der Meldepflicht aus Artikel 33 DSGVO	Erheblichkeit wird im Einzelfall entschieden statt nach vorab festgelegten Kriterien — 3.4.2 Buchst. a verlangt das Gegenteil
Geschäftsleitung	Freigabe der Meldung, Ressourcenentscheidung, Überwachung der Umsetzung nach § 38 Absatz 1 BSIG [10]	eine Freigabe ohne benannte Vertretung blockiert die Erstmeldung außerhalb der Bürozeiten
Fachbereich, Einkauf, Kundenservice	Nutzung und Bekanntmachung des Meldemechanismus nach 3.3.1	der Mechanismus existiert nur intern, obwohl 3.3.1 ausdrücklich auch Anbieter und Kunden nennt

Die Meldung ist außerdem nicht nur eine Last. Artikel 23 Absatz 5 der NIS-2-Richtlinie verpflichtet das CSIRT oder die zuständige Behörde, der meldenden Einrichtung „unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung“ zu antworten — einschließlich einer ersten Rückmeldung und, auf Ersuchen, Orientierungshilfen oder operativer Beratung zu möglichen Abhilfemaßnahmen; bei vermutetem kriminellem Hintergrund kommt eine Orientierungshilfe zur Meldung an die Strafverfolgungsbehörden hinzu [6]. Im deutschen Recht liest sich das Gegenstück zurückhaltender: nach § 32 Absatz 6 BSIG „kann“ das Bundesamt Angebote zur Unterstützung machen [2]. Beide Texte stehen nebeneinander; wer Unterstützung will, sollte sie im Meldetext ausdrücklich erbitten, statt sie zu erwarten.

Ein Gestaltungshinweis kommt aus Erwägungsgrund 102 der Richtlinie — nicht bindend, aber aufschlussreich: die Meldepflicht soll nicht dazu führen, dass Ressourcen von der Bewältigung abgezogen werden, die „vorrangig behandelt werden“ soll [6]. Übersetzt in Aufbauorganisation heißt das: die Person, die meldet, sollte nicht die Person sein, die eindämmt. Wie die Meldung nach außen begleitet wird, behandelt unser Leitfaden zur Krisenkommunikation während eines Vorfalls.

Häufige Fragen

Wie lang muss ein Incident Response Plan sein?

Das Recht sagt dazu nichts. Weder BSIG noch DVO nennen einen Umfang; § 30 Absatz 1 Satz 2 BSIG stellt stattdessen auf Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere von Vorfällen ab. Als praktische Faustregel gilt: jedes der sechs Kapitel aus Anhang Nr. 3 muss eine überprüfbare Festlegung enthalten — ein Kapitel, das nur den Verordnungstext paraphrasiert, hilft weder im Ernstfall noch in der Prüfung.

Gilt Anhang Nr. 3, wenn wir kein Cloud-Anbieter sind?

Nein, nicht unmittelbar. Die DVO bindet die elf in Artikel 1 genannten digitalen Einrichtungsarten, und § 30 Absatz 3 BSIG räumt ihr nur für diese Vorrang ein. Für alle anderen bleibt § 30 Absatz 2 Nummer 2 BSIG die Rechtsgrundlage — Anhang Nr. 3 ist dann die am besten belegte Auslegung dessen, was diese vier Wörter meinen.

Reicht unser bestehender ISO-27001-Vorfallprozess?

Als Grundlage in vielen Fällen ja, als Nachweis für sich genommen nicht. Erwägungsgrund 3 der DVO nennt ISO/IEC 27001 und 27002 ausdrücklich als Normengrundlage, ein Erwägungsgrund begründet aber keine Pflicht — und umgekehrt ersetzt ein Zertifikat nicht die Dokumentation nach § 30 Absatz 1 Satz 3 BSIG, deren Fehlen § 65 Absatz 2 Nummer 3 als eigenen Bußgeldtatbestand führt. Prüfen Sie den bestehenden Prozess gegen die sechs Abschnitte und schließen Sie die Lücken, statt neu anzufangen.

Muss ich einen Beinahevorfall melden?

§ 32 Absatz 1 verpflichtet nur zur Meldung erheblicher Sicherheitsvorfälle. Der Beinahevorfall ist in § 2 Nummer 1 BSIG definiert, in der Meldepflicht selbst aber nicht adressiert. Das BSI-Meldeformular sieht „Beinahevorfall“ allerdings als wählbare Einstufung vor [8], was auf einen freiwilligen Meldeweg hindeutet. Achtung bei der Abgrenzung: ein erfolgreich abgewehrter Angriff kann nach § 2 Nummer 11 trotzdem erheblich sein, wenn er schwerwiegende Störungen „verursachen kann“.

Was passiert, wenn wir im Zweifel zu viel melden?

Eine Übermeldung ist in § 65 BSIG nicht als Ordnungswidrigkeit aufgeführt — die Tatbestände dort erfassen das Ausbleiben, die Unrichtigkeit, die Unvollständigkeit und die Verspätung. Folgenlos ist eine Meldung dennoch nicht: nach § 62 BSIG kann das Bundesamt bei wichtigen Einrichtungen die Einhaltung überprüfen, wenn „Tatsachen die Annahme“ rechtfertigen, dass Pflichten aus § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 oder § 38 Absatz 3 nicht richtig umgesetzt werden [9]. Eine saubere Meldung ist deshalb auch eine Visitenkarte.

Fazit

Der Plan, den § 30 Absatz 2 Nummer 2 BSIG verlangt, hat im deutschen Recht keinen Namen und keine Inhaltsliste. Beides liefert Anhang Nr. 3 der DVO (EU) 2024/2690 — sechs Abschnitte, die für elf digitale Einrichtungsarten bindend sind und für alle übrigen die einzige amtliche Auslegung darstellen. Der Prüfstein ist aber nicht die Gliederung, sondern die Uhr: § 32 BSIG legt fest, was nach 24 Stunden, nach 72 Stunden und einen Monat nach der zweiten Meldung abrufbar sein muss, und § 65 Absatz 2 Nummer 4 bestraft vier verschiedene Arten des Scheiterns im selben Rahmen.

Der nächste konkrete Schritt ist deshalb kein Textdokument, sondern ein Test: Nehmen Sie die Feldliste der BSI-Erstmeldung, gehen Sie sie mit dem vorhandenen Plan durch und markieren Sie jedes Feld, das um drei Uhr nachts niemand ohne Rückfrage beantworten könnte. Diese Markierungen sind Ihre Lückenliste — in genau der Reihenfolge, in der die Frist sie abfragt.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsordnung und Art der Einrichtung variieren. Für auf Ihre Situation zugeschnittene Beratung wenden Sie sich an eine qualifizierte Juristin, einen qualifizierten Juristen oder eine Compliance-Fachkraft.

Quellen

1. Bundesministerium der Justiz — § 30 BSIG: Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen.
2. Bundesministerium der Justiz — § 32 BSIG: Meldepflichten.
3. Bundesministerium der Justiz — § 65 BSIG: Bußgeldvorschriften.
4. Bundesministerium der Justiz — § 2 BSIG: Begriffsbestimmungen (Nr. 1 Beinahevorfall, Nr. 11 erheblicher Sicherheitsvorfall).
5. Europäische Kommission — Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024, Artikel 1 bis 4 und Anhang Nr. 3.
6. Europäisches Parlament und Rat — Richtlinie (EU) 2022/2555 (NIS-2), Artikel 23 und 34 sowie Erwägungsgrund 102.
7. BSI — Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet (06.01.2026).
8. BSI — Anleitung zur Meldung im BSI-Portal.
9. Bundesministerium der Justiz — § 62 BSIG: Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen.
10. Bundesministerium der Justiz — § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen.