NIS2-Vorfallmeldung: Fristen, Anforderungen und meldepflichtige Ereignisse

Zuletzt geprüft: Oktober 2026. In Deutschland sind die Meldepflichten bei erheblichen Sicherheitsvorfällen in § 32 BSIG geregelt, der Artikel 23 der NIS2-Richtlinie umsetzt (NIS2UmsuCG, in Kraft seit 6. Dezember 2025). Für bestimmte digitale Anbieter präzisiert die Durchführungsverordnung (EU) 2024/2690 der Kommission, wann ein Vorfall erheblich ist. Für Telekommunikation, Energie und Finanzunternehmen gelten Sonderregeln.

Unter NIS1 war die Meldung von Sicherheitsvorfällen weit gefasst und wurde in den Mitgliedstaaten uneinheitlich angewendet. NIS2 ändert beides. Artikel 23 der Richtlinie (EU) 2022/2555 führt eine vierphasige, fristgebundene Meldepflichtstruktur ein, die in Deutschland durch § 32 BSIG umgesetzt ist – beginnend mit einer frühen Erstmeldung (Frühwarnung), die unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall abzugeben ist.

Wird eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgegeben, ist das nach § 65 Abs. 2 Nr. 4 BSIG eine eigene Ordnungswidrigkeit – unabhängig vom zugrunde liegenden Vorfall. Der Bußgeldrahmen entspricht dem bei fehlenden Risikomanagementmaßnahmen nach § 30 BSIG: bis zu 10 Millionen € für besonders wichtige Einrichtungen und bis zu 7 Millionen € für wichtige Einrichtungen. Nur bei Einrichtungen mit einem weltweiten Gesamtumsatz von mehr als 500 Millionen € kann der Rahmen stattdessen bis zu 2 % bzw. 1,4 % des Gesamtumsatzes betragen (§ 65 Abs. 5 bis 7 BSIG).

Dieser Leitfaden erläutert, was als erheblicher Vorfall gilt, wie die vierphasige Zeitleiste funktioniert, an wen gemeldet werden muss und wie ein Meldeprozess aufgebaut wird, der auch unter realem Vorfallsdruck funktioniert. Wenn Sie die Vorfallsmeldung erstmals einrichten, beginnen Sie mit dem schrittweisen Workflow in Abschnitt 4. Einen Überblick über alle NIS2-Pflichten finden Sie im NIS2-Anforderungsleitfaden.

1. Was ist ein „erheblicher Vorfall“ im Sinne von NIS2?

Nicht jedes Sicherheitsereignis löst eine NIS2-Meldepflicht aus. Nur erhebliche Sicherheitsvorfälle unterliegen der vierphasigen Meldefrist. § 2 Nr. 11 BSIG definiert – inhaltlich gleichlautend mit Artikel 23 Abs. 3 der Richtlinie – einen erheblichen Sicherheitsvorfall als einen Sicherheitsvorfall, der:

• schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Die Formulierung verursachen kann hat erhebliche praktische Bedeutung: Es bedarf keines bereits eingetretenen Schadens. Maßgeblich ist, ob ein tatsächlich eingetretener Sicherheitsvorfall solche Folgen haben kann. Davon zu unterscheiden ist der Beinahevorfall (§ 2 Nr. 1 BSIG) – ein Ereignis, das Daten oder Dienste beeinträchtigt haben könnte, „dessen Eintritt jedoch erfolgreich verhindert worden ist oder aus anderen Gründen nicht erfolgt ist“. Beinahevorfälle fallen nicht unter die Pflichtmeldung nach § 32 BSIG, können dem BSI aber freiwillig gemeldet werden (siehe Abschnitt 6). Diese Abgrenzung gehört zu den in der Praxis am häufigsten missverstandenen Aspekten der NIS2-Vorfallsmeldung.

Konkrete Schwellenwerte gemäß CIR 2024/2690

Die Durchführungsverordnung (EU) 2024/2690 der Kommission enthält konkrete Kriterien zur Bestimmung der Erheblichkeit – allerdings nur für bestimmte Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter (Art. 1). Für diese Einrichtungen ist ein Vorfall nach Artikel 3 Abs. 1 erheblich, wenn mindestens eines der folgenden Kriterien erfüllt ist:

• Direkter finanzieller Verlust von mehr als 500.000 € oder 5 % des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr (je nachdem, welcher Wert niedriger ist) – eingetreten oder möglich
• Abfluss von Geschäftsgeheimnissen der Einrichtung – eingetreten oder möglich
• Tod einer natürlichen Person oder schwere Schädigung ihrer Gesundheit – eingetreten oder möglich
• Ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen
• Wiederholte Vorfälle: mindestens zweimal innerhalb von sechs Monaten, mit derselben offensichtlichen Ursache und zusammen über der Verlustschwelle (Art. 4)
• Eines der dienstspezifischen Kriterien der Artikel 5 bis 14

Die dienstspezifischen Schwellen sind eng gefasst. Bei Cloud-Diensten, Inhaltszustellnetzen sowie verwalteten (Sicherheits-)Diensten genügt etwa eine vollständige Nichtverfügbarkeit von mehr als 30 Minuten oder eine eingeschränkte Verfügbarkeit für mehr als 5 % der Nutzer in der Union bzw. mehr als 1 Mio. Nutzer (der niedrigere Wert) über mehr als eine Stunde; bei Vertrauensdiensten bereits eine vollständige Nichtverfügbarkeit von mehr als 20 Minuten (Art. 7, 9, 10 und 14). Planmäßige Betriebsunterbrechungen und Wartungsarbeiten gelten nicht als erhebliche Vorfälle (Art. 3 Abs. 2).

Für Einrichtungen anderer Sektoren gilt die Verordnung nicht unmittelbar. Das BSI weist jedoch darauf hin, dass auch dort von einem erheblichen Sicherheitsvorfall ausgegangen werden kann, wenn mindestens eines der Kriterien aus Artikel 3 Abs. 1 der Verordnung erfüllt ist – und dass bei Ausfall oder Beeinträchtigung kritischer Dienstleistungen immer von einem erheblichen Sicherheitsvorfall auszugehen ist.

Checkliste zur Erheblichkeitsbewertung

Wenden Sie diese Checkliste an, sobald Ihr Sicherheitsteam einen potenziellen Vorfall identifiziert. Ein einzelnes „Ja“ spricht dafür, den Vorfall als erheblich einzustufen und die Meldefristen zu beachten; für die in der Durchführungsverordnung genannten Anbieter sind deren Kriterien verbindlich, ergänzt um die dienstspezifischen Schwellen der Artikel 5 bis 14.

Kriterium	Schwellenwert	Bewertung
Betriebsstörung der Dienste (tatsächlich oder möglich)	Schwerwiegende Betriebsstörung (§ 2 Nr. 11 lit. a BSIG)	Falls ja → Erheblich
Schäden bei Dritten (tatsächlich oder möglich)	Erhebliche materielle oder immaterielle Schäden bei anderen Personen (§ 2 Nr. 11 lit. b BSIG)	Falls ja → Erheblich
Finanzieller Verlust (tatsächlich oder möglich)	Mehr als 500.000 € oder 5 % des Jahresumsatzes (der niedrigere Wert; Art. 3 Abs. 1 lit. a CIR)	Falls ja → Erheblich (CIR-Anbieter) bzw. in der Regel erheblich
Geschäftsgeheimnisse	Abfluss eingetreten oder möglich (Art. 3 Abs. 1 lit. b CIR)	Falls ja → Erheblich (CIR-Anbieter) bzw. in der Regel erheblich
Auswirkungen auf Leben und Gesundheit	Tod oder schwere Gesundheitsschädigung einer Person, eingetreten oder möglich (Art. 3 Abs. 1 lit. c, d CIR)	Falls ja → Erheblich
Unbefugter Zugriff	Erfolgreicher, mutmaßlich böswilliger Zugriff, geeignet für schwerwiegende Betriebsstörungen (Art. 3 Abs. 1 lit. e CIR)	Falls ja → Erheblich (CIR-Anbieter) bzw. in der Regel erheblich
Kritische Dienstleistung (Betreiber kritischer Anlagen)	Erbringung ausgefallen oder beeinträchtigt	Laut BSI immer erheblich; zusätzliche Angaben nach § 32 Abs. 3 BSIG
Böswilliger Ursprung oder grenzüberschreitende Auswirkungen vermutet	Hinweise oder begründeter Verdacht	In der frühen Erstmeldung angeben (§ 32 Abs. 1 Nr. 1 BSIG)

Im Zweifelsfall melden. Das BSI betont, dass eine frühzeitige Meldung ausdrücklich erwünscht ist, auch wenn zum Zeitpunkt der Abgabe noch Unsicherheiten bestehen; es gilt „Schnelligkeit vor Vollständigkeit“. Angaben lassen sich per Folgemeldung korrigieren oder ergänzen – zurückziehen lässt sich eine abgegebene Meldung allerdings nicht. Eine versäumte Pflichtmeldung kann dagegen, wenn sich der Vorfall nachträglich als erheblich herausstellt, nach § 65 BSIG mit einem Bußgeld geahndet werden.

Sonderfall CEO-Fraud: Bei einer gefälschten Chef-Mail ohne Systemzugriff ist schon fraglich, ob überhaupt ein Sicherheitsvorfall nach § 2 Nr. 40 BSIG vorliegt, denn die deutsche Definition nennt die Authentizität nicht. Wie Sie das prüfen und ab welchem Schaden der Vorfall erheblich wird, zeigt unser Leitfaden CEO-Fraud nach NIS2: Wann die gefälschte Chef-Mail ans BSI muss.

2. Der NIS2-Meldezeitplan

Artikel 23 Abs. 4 der Richtlinie legt die Meldephasen fest; in Deutschland übernimmt § 32 Abs. 1 BSIG sie nahezu wortgleich. Die Pflichtinhalte ergeben sich aus dem Gesetz, die Einzelheiten des Meldeverfahrens legt das BSI fest (§ 32 Abs. 4 BSIG). Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK, die über das BSI-Portal erreichbar ist. Dies ist der vollständige Rahmen:

Praxisbeispiel Ransomware: Wie diese vier Phasen bei einem konkreten Verschlüsselungsvorfall ablaufen — und welche Entscheidungen der ersten Stunde darüber bestimmen, ob die 72-Stunden-Meldung überhaupt Inhalt hat — zeigt unser Leitfaden Ransomware-Angriff: Die 24-Stunden-Frist ans BSI.

Phase	Frist	Erforderlicher Inhalt	Rechtsgrundlage
Phase 1 Frühe Erstmeldung (Frühwarnung)	Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall	• Eintreten des Vorfalls und kurze Erstangaben • Ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist • Ob grenzüberschreitende Auswirkungen möglich sind	§ 32 Abs. 1 Nr. 1 BSIG; Art. 23 Abs. 4 lit. a NIS2
Phase 2 Meldung (Folgemeldung)	Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall	• Bestätigung oder Aktualisierung der Angaben aus der Erstmeldung • Erste Bewertung von Schweregrad und Auswirkungen • Kompromittierungsindikatoren (IoCs), sofern verfügbar • Nähere Angaben zur Ursache (nach dem BSI-Meldeformular)	§ 32 Abs. 1 Nr. 2 BSIG; Art. 23 Abs. 4 lit. b NIS2
Phase 3 Zwischenmeldung	Auf Ersuchen des BSI	• Relevante Statusaktualisierungen zum Vorfall	§ 32 Abs. 1 Nr. 3 BSIG; Art. 23 Abs. 4 lit. c NIS2
Phase 4 Abschlussmeldung	Spätestens 1 Monat nach Übermittlung der Meldung aus Phase 2	• Ausführliche Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen • Art der Bedrohung oder zugrunde liegende Ursache, die den Vorfall wahrscheinlich ausgelöst hat • Getroffene und laufende Abhilfemaßnahmen • Gegebenenfalls grenzüberschreitende Auswirkungen	§ 32 Abs. 1 Nr. 4 BSIG; Art. 23 Abs. 4 lit. d NIS2

Sonderregelungen für andauernde Vorfälle

Dauert ein Vorfall zum Zeitpunkt der Abschlussmeldung noch an, gilt § 32 Abs. 2 BSIG (Art. 23 Abs. 4 lit. e NIS2):

• Einreichen einer Fortschrittsmeldung zum Einmonatszeitpunkt anstelle einer Abschlussmeldung
• Einreichen der Abschlussmeldung nach abschließender Bearbeitung des Vorfalls – § 32 Abs. 2 BSIG nennt dafür keine eigene Frist; die Richtlinie sieht einen Monat nach Behandlung des Vorfalls vor, woran sich Einrichtungen orientieren können

Diese Regelung ist relevant für langwierige Ransomware-Ereignisse, Lieferkettenkompromittierungen oder ausgedehnte Datenexfiltrationsfälle, bei denen die Ursachenanalyse und die vollständige Behebung mehrere Monate in Anspruch nehmen. Die Meldepflicht entfällt nicht, weil der Vorfall andauert — sie wechselt zu einem Fortschrittsmeldungsmodell.

Beginn der Frist

Sowohl die 24-Stunden- als auch die 72-Stunden-Frist beginnen mit der Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Nach den Hinweisen des BSI ist damit der Zeitpunkt gemeint, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis über einen erheblichen Sicherheitsvorfall erlangt – nicht erst der Zeitpunkt, an dem die Geschäftsleitung informiert wird. Die Fristen sind Maximalzeiten: Gemeldet werden muss unverzüglich. Erlangt Ihr Incident-Response-Team am Montag um 14:00 Uhr Kenntnis davon, dass das Ereignis die Erheblichkeitskriterien erfüllt, muss die frühe Erstmeldung spätestens am Dienstag um 14:00 Uhr eingehen.

Interne Prüfprozesse, das Warten auf Managementgenehmigung oder Unsicherheit über den Umfang des Vorfalls unterbrechen die Frist nicht. Dokumentieren Sie den Zeitpunkt der Kenntniserlangung und die Erheblichkeitsfeststellung jeweils mit einem genauen Zeitstempel.

3. An wen wird gemeldet

Ihr nationales CSIRT oder die zuständige Behörde

Nach Artikel 23 Abs. 1 der Richtlinie richten sich Pflichtmeldungen an das CSIRT oder gegebenenfalls an die zuständige Behörde. In Deutschland ist das BSI zuständige Behörde, CSIRT und zentrale Anlaufstelle im Sinne der NIS2-Richtlinie (vgl. § 5 Abs. 3 Nr. 5 BSIG). Gemeldet wird an die von BSI und BBK eingerichtete gemeinsame Meldestelle (§ 32 Abs. 1 BSIG); als Meldeweg dient das BSI-Portal. Einrichtungen, die vor ihrer Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden laut BSI über ein Online-Formular; Betreiber kritischer Anlagen und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege. Das BSI stellt eingegangene Meldungen den zuständigen Aufsichtsbehörden des Bundes zur Verfügung (§ 32 Abs. 5 BSIG).

Für einige Bereiche gelten abweichende oder zusätzliche Meldewege:

• Telekommunikation: Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gilt § 32 BSIG grundsätzlich nicht (§ 28 Abs. 5 BSIG). Sie melden nach § 168 TKG an die Bundesnetzagentur und an das BSI – mit denselben Stufen (24 Stunden, 72 Stunden, ein Monat).
• Energie: Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten, die den §§ 5c bis 5e EnWG unterliegen, gilt § 32 BSIG ebenfalls grundsätzlich nicht (§ 28 Abs. 5 BSIG); sie melden nach § 5d Abs. 3 EnWG an die Meldestelle nach § 32 BSIG.
• Finanzunternehmen: Für Finanzunternehmen im Sinne von DORA (Verordnung (EU) 2022/2554) gilt § 32 BSIG nicht (§ 28 Abs. 6 Nr. 1 BSIG). Sie melden schwerwiegende IKT-bezogene Vorfälle nach Art. 19 DORA an die jeweils zuständige Behörde, in Deutschland in der Regel die BaFin.

Richten Sie den Meldeweg ein, bevor ein Vorfall eintritt: Für meldeberechtigte Personen muss der Zugang zur Meldestelle eingerichtet werden; Einrichtungen können laut BSI auch Dienstleister zur stellvertretenden Meldungsabgabe ermächtigen, die Verantwortung für die Meldung bleibt aber bei der Einrichtung. Überprüfen Sie Zugänge und Vertretungsregelungen regelmäßig.

Die Rolle der ENISA

Betrifft ein erheblicher Sicherheitsvorfall zwei oder mehr Mitgliedstaaten, unterrichtet das CSIRT, die zuständige Behörde oder die zentrale Anlaufstelle des Mitgliedstaats, in dem gemeldet wurde, unverzüglich die anderen betroffenen Mitgliedstaaten und die ENISA (Art. 23 Abs. 6 NIS2). Einzelne Einrichtungen melden an ihre eigene nationale Stelle — ENISA ist kein Meldeziel für Organisationen.

Betrieb in mehreren Ländern

Wenn Ihre Organisation in mehreren EU-Mitgliedstaaten tätig ist, können Meldepflichten gegenüber mehr als einer nationalen Behörde bestehen. Nach Artikel 26 NIS2 unterliegen Einrichtungen grundsätzlich der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen sind – bei Niederlassungen in mehreren Staaten also gegebenenfalls mehreren. Die Hauptniederlassungsregel gilt nur für bestimmte digitale Anbieter (u. a. DNS-Diensteanbieter, TLD-Namenregister, Cloud- und Rechenzentrumsdienste, Inhaltszustellnetze, verwaltete (Sicherheits-)Dienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke); Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste unterliegen dem Mitgliedstaat, in dem sie ihre Dienste erbringen. Legen Sie Ihre Meldekette nach Zuständigkeitsbereich fest, bevor ein Vorfall die Frage erzwingt.

Benachrichtigung betroffener Dienstleistungsempfänger

Artikel 23 Abs. 1 NIS2 sieht vor, dass Einrichtungen gegebenenfalls die Empfänger ihrer Dienste — Kunden oder Endnutzer — unverzüglich über erhebliche Sicherheitsvorfälle unterrichten, die die Erbringung des Dienstes beeinträchtigen könnten. In Deutschland ist dies in § 35 BSIG geregelt: Das BSI kann besonders wichtigen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich zu unterrichten; die Unterrichtung kann auch über die Internetseite der Einrichtung erfolgen (§ 35 Abs. 1). Einrichtungen aus den Sektoren Finanzwesen, Sozialversicherung/Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste müssen potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern zudem Abhilfemaßnahmen mitteilen, sofern die Interessen der Empfänger überwiegen (§ 35 Abs. 2). Ihr Incident-Response-Plan sollte deshalb eine Kundenkommunikationsstrecke mit vorab abgestimmten Vorlagen enthalten, die bei Bedarf kurzfristig aktiviert werden kann.

Parallele Meldung nach DSGVO

Sind personenbezogene Daten betroffen, besteht neben der BSI-Meldung häufig eine eigenständige Pflicht nach Art. 33 DSGVO: Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Datenschutzaufsichtsbehörde – es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine verspätete Meldung ist zu begründen. Die NIS2-Meldepflichten lassen die DSGVO ausdrücklich unberührt; die BSI-Meldung ersetzt die Datenschutzmeldung also nicht. Prüfen Sie beide Pflichten parallel.

4. Schrittweiser NIS2-Vorfallsmeldungs-Workflow

Der folgende neunstufige Prozess ist dafür konzipiert, als Standardverfahren in Ihren Incident-Response-Plan integriert zu werden. Jeder Schritt ist den Meldestufen des § 32 BSIG zugeordnet; „T“ bezeichnet den Zeitpunkt der Kenntniserlangung von einem erheblichen Sicherheitsvorfall.

#	Maßnahme	Frist	Ergebnis
1	Vorfall erkennen; Erheblichkeitscheckliste anwenden; prüfen, ob zusätzlich personenbezogene Daten betroffen sind (Art. 33 DSGVO)	Unmittelbar bei Erkennung	Erheblichkeitsentscheidung mit Zeitstempel
2	Incident-Response-Team aktivieren; Meldeverantwortlichen mit dauerhafter Einreichungsbefugnis benennen	Innerhalb von 1–2 Stunden nach der Erheblichkeitsfeststellung	IRT aktiviert; Meldeverantwortlicher benannt
3	Frühe Erstmeldung aus Phase 1 anhand einer vorbereiteten Vorlage ausfüllen und über das BSI-Portal einreichen	Unverzüglich, spätestens T + 24 Stunden	Erstmeldung eingereicht; Eingangsbestätigung gesichert
4	Vorfall untersuchen und eindämmen; Kompromittierungsindikatoren erfassen	Fortlaufend	Eindämmungsmaßnahmen dokumentiert; IoC-Liste geführt
5	Meldung aus Phase 2 mit Schweregradbeurteilung und verfügbaren IoCs ausfüllen und einreichen	Unverzüglich, spätestens T + 72 Stunden	Meldung eingereicht; Angaben der Erstmeldung bestätigt oder aktualisiert
6	Ersuchen des BSI um Zwischenmeldungen beantworten; Unterstützungsangebote des BSI bei Bedarf annehmen	Auf Ersuchen	Zwischenmeldungen übermittelt
7	Behebung und Wiederherstellung durchführen; forensische Beweise sichern	Fortlaufend	Systeme wiederhergestellt; Grundursache identifiziert; Beweise gesichert
8	Abschlussmeldung aus Phase 4 mit Grundursache, Zeitplan und Abhilfemaßnahmen ausfüllen und einreichen (bei andauerndem Vorfall: Fortschrittsmeldung)	Spätestens 1 Monat nach Einreichung der Phase-2-Meldung	Abschlussmeldung eingereicht; Meldevorgang beendet, sobald der Vorfall beseitigt ist
9	Nachbesprechung nach dem Vorfall durchführen; Incident-Response-Plan und Erheblichkeitscheckliste aktualisieren	Innerhalb von 2–4 Wochen nach Vorfallsabschluss	Aktualisierter IRP; überarbeitete Verfahren; Lessons-Learned-Dokument

Die Schritte 3, 5 und 8 sollten jeweils eine vorbereitete Vorlage verwenden, die vom Meldeverantwortlichen ausgefüllt wird — und nicht unter Vorfallsdruck von Grund auf neu verfasst werden. Vorbereitete Vorlagen helfen, dass nichts, was § 32 BSIG und das BSI-Meldeformular verlangen, ausgelassen wird, während Ihr Team einen aktiven Vorfall bearbeitet.

5. Häufige Fehler bei der NIS2-Vorfallsmeldung

Dies sind sechs typische Meldungsfehler, auf die Organisationen in der Praxis stoßen. Jeder führt entweder zu einer verspäteten Meldung, einer unvollständigen Meldung oder beidem.

Fehler 1: Versäumnis der 24-Stunden-Frist aufgrund unklarer Eskalationswege

Frühwarnungen erfordern häufig die Freigabe durch eine leitende Führungskraft, die an einem Wochenende oder bei einem Vorfall außerhalb der Geschäftszeiten möglicherweise nicht erreichbar ist. Die gesetzliche Frist wird durch interne Prozesse nicht unterbrochen. Nach den Hinweisen des BSI kann grundsätzlich jeder Mitarbeitende einer Einrichtung melden, sofern ihm der Zugang zur Meldestelle eingerichtet ist. Die Lösung ist ein vorab genehmigter Eskalationsweg: Der Meldeverantwortliche für Vorfälle sollte eine schriftliche Dauerbefugnis besitzen, um Erstmeldungen ohne Ad-hoc-Genehmigung von oben einzureichen. Verankern Sie dies in Ihrer Incident-Response-Richtlinie, bevor es benötigt wird.

Fehler 2: Verwechslung des Auslösezeitpunkts der Kenntnis

Der rechtliche Auslöser ist die Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Das BSI stellt dabei auf den Zeitpunkt ab, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) davon Kenntnis erlangt – nicht darauf, wann eine leitende Führungskraft informiert wird oder eine interne Bewertung formal abgeschlossen ist. Wer die Erheblichkeitsbewertung verschleppt, verschiebt den Fristbeginn daher nicht zwingend. Dokumentieren Sie Erkennung, Bewertung und Erheblichkeitsfeststellung jeweils mit genauem Zeitstempel und bewahren Sie diese als Teil Ihrer Vorfallsdokumentation auf.

Fehler 3: Mit der Meldung warten, bis alle Angaben vorliegen

§ 32 Abs. 1 BSIG legt fest, was jede Phase enthalten muss; das Meldeformular des BSI konkretisiert dies. Das bedeutet aber nicht, dass schon die Erstmeldung vollständig sein muss: Das BSI empfiehlt ausdrücklich „Schnelligkeit vor Vollständigkeit“ und weist darauf hin, dass Angaben jederzeit durch Folgemeldungen ergänzt und korrigiert werden können. Teams, die Informationen sammeln, um jedes Feld auszufüllen, riskieren dagegen die 24-Stunden-Frist. Phasenspezifische Vorlagen, die auf die gesetzlichen Pflichtangaben abgestimmt sind, helfen, schnell und trotzdem strukturiert zu melden.

Fehler 4: Eingedämmte Vorfälle mit Beinahevorfällen verwechseln

Die Formulierung verursachen kann in § 2 Nr. 11 BSIG bedeutet, dass ein tatsächlich eingetretener, aber rasch eingedämmter Vorfall dennoch erheblich und damit meldepflichtig sein kann – etwa wenn Angreifer bereits Zugriff erlangt oder erste Systeme verschlüsselt hatten. Für die in der Durchführungsverordnung genannten Anbieter ist ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff, der schwerwiegende Betriebsstörungen verursachen kann, bereits für sich genommen erheblich (Art. 3 Abs. 1 lit. e CIR). Ein Angriff, der am Perimeter abgewehrt wurde, ohne dass es zu einer Beeinträchtigung kam, ist dagegen ein Beinahevorfall (§ 2 Nr. 1 BSIG) – nicht nach § 32 BSIG meldepflichtig, aber freiwillig meldbar. Die Abgrenzung sollte in Ihrer Erheblichkeitscheckliste geregelt sein und nicht dem Ad-hoc-Urteil überlassen werden.

Fehler 5: Meldungen bei einem aktiven Vorfall ohne Vorlagen verfassen

Eine behördliche Meldung aus einem leeren Dokument zu erstellen, während gleichzeitig ein aktiver Vorfall bewältigt wird, ist ein zuverlässiger Weg zu verspäteten, ungenauen oder unvollständigen Meldungen. Vorbereitete Vorlagen — mit Feldern, die auf die Pflichtangaben des § 32 BSIG ausgerichtet sind — ermöglichen es einem Meldeverantwortlichen, die Meldung innerhalb von Stunden auszufüllen und einzureichen. Dies ist besonders wichtig für die frühe Erstmeldung aus Phase 1, bei der verfügbare Informationen begrenzt sind und jede Vorbereitungsminute zählt.

Fehler 6: Meldung an die falsche Behörde bei grenzüberschreitendem Betrieb

Organisationen, die in mehreren EU-Mitgliedstaaten tätig sind, wenden manchmal die Hauptniederlassungsregel an, obwohl sie nur für bestimmte digitale Anbieter gilt (Art. 26 Abs. 1 lit. b NIS2). Für die meisten Einrichtungen gilt die Zuständigkeit jedes Mitgliedstaats, in dem sie niedergelassen sind; Telekommunikationsanbieter unterliegen dem Staat, in dem sie ihre Dienste erbringen. Andere versuchen, alle betroffenen Länderbehörden gleichzeitig zu benachrichtigen, ohne den Koordinierungsmechanismus zu kennen – die Unterrichtung anderer betroffener Staaten übernimmt die Stelle, bei der gemeldet wurde (Art. 23 Abs. 6 NIS2). Hinzu kommen sektorspezifische Meldewege wie TKG, EnWG oder DORA. Legen Sie Ihre Meldekette nach Zuständigkeitsbereich als Teil der Vorfallsvorbereitung fest — nicht als eine Übung, die während eines aktiven Vorfalls durchgeführt wird.

6. Freiwillige Meldung gemäß Artikel 30

Die NIS2-Meldung ist nicht auf erhebliche Vorfälle beschränkt. Artikel 30 der Richtlinie sieht vor, dass besonders wichtige und wichtige Einrichtungen zusätzlich freiwillig melden können. In Deutschland nimmt das BSI nach § 5 Abs. 2 BSIG Informationen zu Schwachstellen, Schadprogrammen, Angriffen, Sicherheitsvorfällen, Cyberbedrohungen und Beinahevorfällen entgegen; Meldungen können auch anonym erfolgen. Freiwillig gemeldet werden können insbesondere:

• Sicherheitsvorfälle, die die Erheblichkeitsschwelle nicht erreichen
• Beinahevorfälle, deren Eintritt verhindert wurde
• Cyberbedrohungen und Schwachstellen

Freiwillige Meldungen dürfen nach Art. 30 Abs. 2 NIS2 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die ohne die Meldung nicht für sie gegolten hätten. Auch Unternehmen, die nicht unter NIS2 fallen, können dem BSI Sicherheitsvorfälle anonym melden.

Den konkreten Ablauf im BSI-Portal – frühe Erstmeldung (24h), Meldung (72h) und Abschlussmeldung (1 Monat) – beschreibt unser Detailleitfaden NIS2-Vorfallmeldung ans BSI: Der 24/72-Stunden-Ablauf im Detail.

Quellen

• BSI-Gesetz (BSIG), insbesondere §§ 2, 5, 28, 32, 35 und 65
• BSI: NIS-2-Meldepflicht
• Richtlinie (EU) 2022/2555 (NIS2), Art. 23, 26 und 30
• Durchführungsverordnung (EU) 2024/2690, Art. 1 und 3 bis 14
• § 168 TKG und § 5d EnWG
• Verordnung (EU) 2016/679 (DSGVO), Art. 33