Bei erheblichen Sicherheitsvorfällen gilt eine strikte Meldepflicht — mit kurzen Fristen. Die Uhr läuft ab dem Moment, in dem Ihr Unternehmen von dem Vorfall Kenntnis erlangt.
Wann ist ein Vorfall „erheblich“?
Ein Vorfall gilt als erheblich, wenn er den Betrieb Ihrer Dienste erheblich stört oder stören könnte, oder andere Einrichtungen bzw. Personen erheblich beeinträchtigt.
Die drei Meldestufen
| Frist | Bezeichnung | Inhalt |
|---|---|---|
| 24 Stunden | Frühwarnung | Art des Vorfalls; ob Cyberangriff vermutet; erste Einschätzung |
| 72 Stunden | Erster Bericht | Detailliertere Einschätzung; betroffene Systeme |
| 1 Monat | Abschlussbericht | Vollständige Analyse; Ursache; ergriffene Maßnahmen |
Praxisbeispiel Ransomware: Wie diese drei Meldestufen bei einem konkreten Verschlüsselungsvorfall ablaufen — und welche Entscheidungen der ersten Stunde darüber bestimmen, ob die 72-Stunden-Meldung überhaupt Inhalt hat — zeigt unser Leitfaden Ransomware-Angriff: Die 24-Stunden-Frist ans BSI.
Wo melden?
In Deutschland: CERT-Bund beim BSI über das BSI-Meldeportal. Sektorspezifisch: BNetzA (Energie/TK), BaFin (Finanzsektor).
Vorbereitung ist entscheidend
- Wer meldet? (Verantwortliche Person benennen)
- Wie erreiche ich die BSI-Meldestelle? (Kontaktdaten parat haben)
- Vorlage für die 24h-Meldung? (Template bereithalten)