Bei erheblichen Sicherheitsvorfällen gilt eine strikte Meldepflicht — mit kurzen Fristen. Die Uhr läuft ab dem Moment, in dem Ihr Unternehmen von dem Vorfall Kenntnis erlangt.
Wann ist ein Vorfall „erheblich“?
Ein Vorfall gilt als erheblich, wenn er den Betrieb Ihrer Dienste erheblich stört oder stören könnte, oder andere Einrichtungen bzw. Personen erheblich beeinträchtigt.
Die drei Meldestufen
| Frist | Bezeichnung | Inhalt |
|---|---|---|
| 24 Stunden | Frühwarnung | Art des Vorfalls; ob Cyberangriff vermutet; erste Einschätzung |
| 72 Stunden | Erster Bericht | Detailliertere Einschätzung; betroffene Systeme |
| 1 Monat | Abschlussbericht | Vollständige Analyse; Ursache; ergriffene Maßnahmen |
Wo melden?
In Deutschland: CERT-Bund beim BSI über das BSI-Meldeportal. Sektorspezifisch: BNetzA (Energie/TK), BaFin (Finanzsektor).
Vorbereitung ist entscheidend
- Wer meldet? (Verantwortliche Person benennen)
- Wie erreiche ich die BSI-Meldestelle? (Kontaktdaten parat haben)
- Vorlage für die 24h-Meldung? (Template bereithalten)