NIS2 Vorfallreaktion-Paket

Beschreibung

Die Meldepflicht für erhebliche Sicherheitsvorfälle ist bußgeldbewehrt — und die 24-Stunden-Frist läuft ab Kenntniserlangung vom Vorfall, nicht ab dem Moment, in dem Ihre Unterlagen fertig sind. Das Vorfallreaktion-Paket liefert die Dokumente, mit denen Sie die Vorfallbewältigung nach § 30 BSIG und die Meldepflichten nach § 32 BSIG (Umsetzung von Art. 23 NIS2-Richtlinie) vorbereiten: Richtlinie zur Vorfallbehandlung, Verfahren für kleinere Sicherheitsvorfälle, Vorfallprotokoll und vorstrukturierte Formulare für alle drei Meldestufen — editierbar, auf Deutsch, sofort einsatzbereit.

Vorfallmeldung an das BSI ist zeitkritisch — wer die Formulare erst nach dem Vorfall sucht, riskiert die 24-Stunden-Frist

§ 32 BSIG — eingeführt durch das NIS2UmsuCG — setzt Art. 23 der NIS2-Richtlinie ins deutsche Recht um und legt für besonders wichtige und wichtige Einrichtungen gleichermaßen gestaffelte Meldepflichten gegenüber der gemeinsamen Meldestelle von BSI und BBK fest: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall eine frühe Erstmeldung; unverzüglich, spätestens 72 Stunden nach Kenntniserlangung eine Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen; und spätestens einen Monat nach Übermittlung dieser 72-Stunden-Meldung eine Abschlussmeldung. Dauert der Vorfall dann noch an, ist zu diesem Zeitpunkt eine Fortschrittsmeldung fällig und die Abschlussmeldung folgt nach abschließender Bearbeitung. Gemeldet wird über das BSI-Portal.

Ihr eigentlicher Gegner ist nicht der Vorfall selbst, sondern die Uhr, die mit der Kenntniserlangung vom erheblichen Sicherheitsvorfall zu laufen beginnt — nicht in dem Moment, in dem Ihre Unterlagen fertig sind. In der Praxis scheitert die Fristeneinhaltung selten an fehlenden Informationen, sondern an fehlenden Prozessen: Ohne eine vorab definierte Richtlinie weiß Ihr Team nicht, was als “erheblicher Sicherheitsvorfall” gilt. Ohne ein dokumentiertes Verfahren weiß niemand, wer die Meldung abgibt und welche Angaben nötig sind. Ohne vorgefertigte Formulare verbringt Ihr Team unter Druck wertvolle Stunden damit, Struktur zu schaffen, statt zu melden.

Eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemachte Meldung ist nach § 65 Abs. 2 Nr. 4 BSIG eine eigenständige Ordnungswidrigkeit — mit Geldbußen bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen (§ 65 Abs. 5 Nr. 1 BSIG), unabhängig davon, ob der ursprüngliche Sicherheitsvorfall behoben wurde. Sie sollten unter Zeitdruck kein Meldeverfahren erfinden müssen, das längst hätte feststehen sollen. Dieses Paket unterstützt Ihr Team dabei, die Fristen einzuhalten, weil die Werkzeuge bereits bereitliegen, wenn der Ernstfall eintritt.

So sind Sie in drei Schritten startklar

1. Herunterladen: Direkt nach dem Kauf laden Sie das Paket herunter — 5 Kern-Vorlagen plus 4 System-Anleitungen, sofort einsatzbereit.
2. Anpassen: Sie tragen die Angaben Ihres Unternehmens, Ihre Eskalationswege und Ansprechpartner in die vorgesehenen Felder ein.
3. Reagieren: Im Ernstfall klassifizieren, protokollieren und melden Sie innerhalb der Fristen nach § 32 BSIG — mit Formularen, die bereits vorstrukturiert sind.

Das Vorfallreaktion-Paket: die 5 Dokumente, die Sie im Ernstfall brauchen

Die fünf Kern-Vorlagen decken den Vorfalllebenszyklus ab — von der Klassifizierung über die Bearbeitung und Meldung bis zur Nachverfolgung von Korrekturmaßnahmen. Die Word-Vorlagen enthalten vorbereitete Verantwortlichkeiten und rot markierte Platzhalter für Ihre Angaben; die Excel-Arbeitsmappen arbeiten mit Dropdown-Listen.

Durchlaufen Sie den vollständigen Ablauf: klassifizieren → nach Richtlinie bearbeiten → protokollieren → innerhalb der vorgeschriebenen Fristen melden → Korrekturmaßnahmen bis zum Abschluss verfolgen — und jeder Schritt hinterlässt einen datierten, strukturierten Nachweis. Ihr Download enthält zusätzlich 4 System-Anleitungen (NIS2-Implementierungs-Masterplan, Schnellstartkarte für den NIS2-Beauftragten, Vorfallreaktion-Flussdiagramm, Dokument-Abhängigkeitskarte) — 9 Dateien insgesamt, darunter 2 Excel-Arbeitsmappen.

Wir wissen, wie sich das anfühlt: Der Vorfall ist erkannt, die Uhr läuft, und niemand im Team ist sich sicher, wer die Meldung abgibt oder was genau hineingehört. Deshalb ist das Vorfallreaktion-Paket kein weiteres allgemeines Muster, sondern die konkrete Struktur, die Sie vor dem nächsten Vorfall in der Hand haben sollten.

Für wen sich das Vorfallreaktion-Paket lohnt

Als IT-Sicherheitsbeauftragter oder SOC-Verantwortlicher erhalten Sie einen dokumentierten Vorfallbearbeitungsprozess, dem Ihr gesamtes Team unter Zeitdruck ohne Rückfragen folgen kann — und die Meldeformulare liegen vorstrukturiert bereit.

Als Compliance- oder Datenschutzbeauftragter stellen Sie sicher, dass Vorfallmeldungen nach § 32 BSIG und, falls parallel einschlägig, nach Art. 33 DSGVO über koordinierte Prozesse laufen — mit einer lückenlosen Protokolldokumentation für Ihre Auditoren.

Als Geschäftsführer einer besonders wichtigen oder wichtigen Einrichtung tragen Sie Verantwortung: Nach § 38 Abs. 1 BSIG hat die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 BSIG — darunter die Bewältigung von Sicherheitsvorfällen — umzusetzen und ihre Umsetzung zu überwachen. Das Paket gibt Ihnen dafür ein dokumentiertes Vorfallmanagement an die Hand — bevor ein Vorfall eintritt, nicht danach.

Welche Vorschriften diese Dokumente adressieren

Häufige Fragen zum Vorfallreaktion-Paket

Was gilt als “erheblicher Sicherheitsvorfall” im Sinne des BSIG?

Die Definition steht in § 2 Nr. 11 BSIG: Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für die in der Durchführungsverordnung (EU) 2024/2690 genannten Einrichtungsarten gelten deren konkretere Schwellenwerte. Dok. 48 (Richtlinie zur Vorfallbehandlung) enthält ein Klassifizierungsschema, das Ihrem Team eine einheitliche Beurteilung ermöglicht.

Können wir die 24-Stunden-Frist verlängern, wenn technische Untersuchungen noch laufen?

Nein. Die 24-Stunden-Frist gilt für die frühe Erstmeldung, nicht für einen vollständigen Bericht. Die frühe Erstmeldung darf vorläufig sein und den bekannten Stand widerspiegeln; Angaben werden mit den Folgemeldungen ergänzt und korrigiert. Dauert der Vorfall einen Monat nach der 72-Stunden-Meldung noch an, reichen Sie zunächst eine Fortschrittsmeldung ein (§ 32 Abs. 2 BSIG). Genau deshalb ist Dok. 51 in drei separate Formulare aufgeteilt: Die 24h-Meldung ist bewusst kürzer gehalten als die Abschlussmeldung.

Was passiert, wenn wir einen Vorfall dem BSI melden, der sich später als nicht erheblich herausstellt?

Laut BSI kann eine abgegebene Meldung nicht storniert, aber durch eine Folgemeldung korrigiert oder ergänzt werden; gerade bei frühen Erstmeldungen ist eine frühzeitige Meldung ausdrücklich erwünscht, auch wenn noch Unsicherheiten bestehen. Das Risiko liegt auf der anderen Seite: Wird ein erheblicher Vorfall nicht oder zu spät gemeldet, kann das BSI ein Bußgeld nach § 65 Abs. 2 Nr. 4 BSIG verhängen.

Deckt Dok. 51 auch die DSGVO-Meldepflicht an die Datenschutzbehörde ab?

Dok. 51 ist spezifisch auf die Meldepflicht nach § 32 BSIG ausgerichtet. Wenn ein Vorfall auch personenbezogene Daten betrifft, läuft die DSGVO-Meldepflicht nach Art. 33 DSGVO parallel. Die Formulare können als Informationsgrundlage für die DSGVO-Meldung genutzt werden, ersetzen diese aber nicht.

Wofür wird Dok. 52 (Register für Korrekturmaßnahmen) gegenüber dem BSI genutzt?

Das Register für Korrekturmaßnahmen dokumentiert, dass Ihre Einrichtung aus Vorfällen lernt und Verbesserungen systematisch umsetzt — inklusive Wirksamkeitsnachweis. Fordert das BSI im Rahmen seiner Aufsicht Nachweise an oder müssen Betreiber kritischer Anlagen die Erfüllung der Anforderungen nach § 39 BSIG nachweisen, können Sie damit belegen, dass Maßnahmen nach Vorfällen tatsächlich umgesetzt und nicht nur protokolliert wurden.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Stellen Sie sicher, dass Ihr Team die 24-Stunden-Frist einhält — noch bevor der nächste Vorfall eintritt

Vorfallmeldung ist zeitkritisch und prozessabhängig. Wer Formulare und Verfahren erst nach dem Vorfall erstellt, verliert genau die Stunden, die für die Meldung gebraucht werden. Mit den 9 editierbaren Dateien in diesem Paket ist Ihr Team vorbereitet: Die Richtlinie definiert, was gilt; das Verfahren leitet Ihr Team bei kleineren Vorfällen; das Protokoll dokumentiert den Pfad; die Formulare strukturieren alle drei Meldestufen; das Register belegt die Nachverfolgung. Vom Team, das nach einem Vorfall improvisiert, zum Team, das die Frist ruhig und ohne Überraschungen einhält.