NIS2 Vorfallreaktion-Paket

Beschreibung

Vorfallmeldung ist die häufigste Sanktionsgrundlage unter NIS2 — und die Frist läuft ab dem Moment der Entdeckung, nicht ab dem Moment der Vorbereitung. Das Vorfallreaktion-Paket liefert die Dokumente, die §32 NIS2UmsuCG und Art. 23 NIS2-Richtlinie verlangen: Incident-Handling-Richtlinie, Verfahren für kleinere Vorfälle, Vorfallprotokoll und alle drei BSI-Meldeformulare — editierbar, auf Deutsch, sofort einsatzbereit.

Vorfallmeldung an das BSI ist zeitkritisch — wer die Formulare erst nach dem Vorfall sucht, verpasst die 24-Stunden-Frist

§32 NIS2UmsuCG setzt Art. 23 der NIS2-Richtlinie ins deutsche Recht um und legt drei verbindliche Meldefristen gegenüber dem BSI fest: eine Erstmeldung innerhalb von 24 Stunden nach Entdeckung eines erheblichen Sicherheitsvorfalls, eine Folgemeldung innerhalb von 72 Stunden mit einer ersten Lageeinschätzung sowie einen Abschlussbericht spätestens einen Monat nach dem Vorfall. Für wesentliche Einrichtungen gelten diese Fristen absolut — technische Schwierigkeiten oder fehlende interne Prozesse akzeptiert das BSI nicht als Entschuldigung.

Ihr eigentlicher Gegner ist nicht der Vorfall selbst, sondern die Uhr, die in dem Moment zu laufen beginnt, in dem der Vorfall als erheblich eingestuft wird — nicht in dem Moment, in dem Ihre Unterlagen fertig sind. In der Praxis scheitert die Fristeneinhaltung selten an fehlenden Informationen, sondern an fehlenden Prozessen: Ohne eine vorab definierte Richtlinie weiß Ihr Team nicht, was als “erheblicher Vorfall” gilt. Ohne ein dokumentiertes Verfahren weiß niemand, wer die Meldung abgibt und welche Angaben nötig sind. Ohne vorgefertigte Formulare verbringt Ihr Team unter Druck wertvolle Stunden damit, Struktur zu schaffen, statt zu melden.

Ein verpasster 24-Stunden-Meldetermin kann gemäß §65–67 NIS2UmsuCG als eigenständiger Verstoß geahndet werden — unabhängig davon, ob der ursprüngliche Sicherheitsvorfall behoben wurde. Sie sollten unter Zeitdruck kein Meldeverfahren erfinden müssen, das längst hätte feststehen sollen. Dieses Paket sorgt dafür, dass Ihr Team die Fristen einhält, weil die Werkzeuge bereits bereitliegen, wenn der Ernstfall eintritt.

So sind Sie in drei Schritten startklar

1. Herunterladen: Direkt nach dem Kauf laden Sie das Paket herunter — 5 Kern-Vorlagen plus 4 System-Anleitungen, sofort einsatzbereit.
2. Anpassen: Sie tragen die Angaben Ihres Unternehmens, Ihre Eskalationswege und Ansprechpartner in die vorgesehenen Felder ein.
3. Reagieren: Im Ernstfall klassifizieren, protokollieren und melden Sie innerhalb der Art.-23-Fristen — mit Formularen, die bereits fertig sind.

Das Vorfallreaktion-Paket: die 5 Dokumente, die Sie im Ernstfall brauchen

Die fünf Kern-Vorlagen decken den vollständigen Vorfalllebenszyklus ab — von der Klassifizierung über die Bearbeitung und Meldung bis zur Nachverfolgung von Korrekturmaßnahmen. Jedes Dokument folgt derselben Struktur mit vorbereiteten Verantwortlichkeiten und rot markierten Platzhaltern für Ihre Angaben.

Durchlaufen Sie den vollständigen Ablauf: klassifizieren → nach Richtlinie bearbeiten → protokollieren → innerhalb der vorgeschriebenen Fristen melden → Korrekturmaßnahmen bis zum Abschluss verfolgen — und jeder Schritt hinterlässt einen datierten, strukturierten Nachweis. Ihr Download enthält zusätzlich 4 System-Anleitungen (Master-Map, Schnellstart-Karte für den NIS2-Verantwortlichen, Vorfallreaktions-Flussdiagramm, Abhängigkeits-Map) — 9 Dateien insgesamt, darunter 2 Excel-Arbeitsmappen.

Wir wissen, wie sich das anfühlt: Der Vorfall ist erkannt, die Uhr läuft, und niemand im Team ist sich sicher, wer das BSI-Formular ausfüllt oder was genau hineingehört. Deshalb ist das Vorfallreaktion-Paket kein weiteres allgemeines Muster, sondern die konkrete Struktur, die Sie vor dem nächsten Vorfall in der Hand haben sollten.

Für wen sich das Vorfallreaktion-Paket lohnt

Als IT-Sicherheitsbeauftragter oder SOC-Verantwortlicher erhalten Sie einen dokumentierten Vorfallbearbeitungsprozess, dem Ihr gesamtes Team unter Zeitdruck ohne Rückfragen folgen kann — und die BSI-Meldeformulare liegen bereits ausgefüllt bereit.

Als Compliance- oder Datenschutzbeauftragter stellen Sie sicher, dass Vorfallmeldungen nach §32 NIS2UmsuCG und, falls parallel einschlägig, nach Art. 33 DSGVO über koordinierte Prozesse laufen — mit einer lückenlosen Protokolldokumentation für Ihre Auditoren.

Als Geschäftsführer einer wesentlichen oder wichtigen Einrichtung weisen Sie nach §38 NIS2UmsuCG nach, dass ein wirksames Vorfallmanagement-System eingerichtet und dokumentiert ist — bevor ein Vorfall eintritt, nicht danach.

Welche Vorschriften diese Dokumente abdecken

Häufige Fragen zum Vorfallreaktion-Paket

Was gilt als “erheblicher Sicherheitsvorfall” im Sinne des §32 NIS2UmsuCG?

§32 NIS2UmsuCG definiert einen Vorfall als erheblich, wenn er erhebliche Betriebsstörungen der Dienste oder erhebliche finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen erheblich beeinträchtigt hat. Dok. 48 (Vorfallbehandlungsrichtlinie) enthält eine Klassifizierungsmatrix, die Ihrem Team eine einheitliche Beurteilung ermöglicht.

Können wir die 24-Stunden-Frist verlängern, wenn technische Untersuchungen noch laufen?

Nein. Die 24-Stunden-Frist gilt für die Erstmeldung, nicht für einen vollständigen Abschlussbericht. Die Erstmeldung darf vorläufig sein und bekannte Informationen widerspiegeln. Genau deshalb ist Dok. 51 in drei separate Formulare aufgeteilt: Die 24h-Meldung ist bewusst kürzer gehalten als der 1-Monatsbericht.

Was passiert, wenn wir einen Vorfall dem BSI melden, der sich später als nicht erheblich herausstellt?

Eine übervorsichtige Meldung wird vom BSI in der Regel nicht sanktioniert. Das Risiko liegt auf der anderen Seite: Wenn ein erheblicher Vorfall nicht oder zu spät gemeldet wird, kann das BSI Bußgelder nach §65–67 NIS2UmsuCG verhängen. Im Zweifel empfiehlt das BSI die übervorsichtige Meldung.

Deckt Dok. 51 auch die DSGVO-Meldepflicht an die Datenschutzbehörde ab?

Dok. 51 ist spezifisch auf die BSI-Meldepflicht nach §32 NIS2UmsuCG ausgerichtet. Wenn ein Vorfall auch personenbezogene Daten betrifft, läuft die DSGVO-Meldepflicht nach Art. 33 DSGVO parallel. Die Formulare können als Informationsgrundlage für die DSGVO-Meldung genutzt werden, ersetzen diese aber nicht.

Wie wird Dok. 52 (Korrekturmaßnahmen-Register) bei einer BSI-Prüfung verwendet?

Das Korrekturmaßnahmen-Register ist ein Nachweis dafür, dass Ihre Einrichtung aus Vorfällen lernt und systematisch Verbesserungen umsetzt. BSI-Prüfer fordern dieses Dokument regelmäßig an, um zu beurteilen, ob Maßnahmen nach Vorfällen tatsächlich umgesetzt wurden oder nur protokolliert.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles.

Stellen Sie sicher, dass Ihr Team die 24-Stunden-Frist einhält — noch bevor der nächste Vorfall eintritt

Vorfallmeldung ist zeitkritisch und prozessabhängig. Wer Formulare und Verfahren erst nach dem Vorfall erstellt, hat die Frist bereits verpasst. Mit den 9 editierbaren Dateien in diesem Paket ist Ihr Team vorbereitet: Die Richtlinie definiert, was gilt; das Verfahren leitet Ihr Team; das Protokoll dokumentiert den Pfad; die Formulare liefern alle drei BSI-Meldungen; das Register belegt die Nachverfolgung. Vom Team, das nach einem Vorfall improvisiert, zum Team, das die Frist ruhig und ohne Überraschungen einhält.