NIS-2-Meldepflichten: Die 24h/72h-Fristen konkret

Im Ernstfall ist keine Zeit, Zuständigkeiten zu googeln: NIS-2 verlangt bei erheblichen Sicherheitsvorfällen eine gestaffelte Meldung an das BSI — und die erste Frist ist knapp. Wer die Kette einmal durchdacht und geübt hat, meldet souverän; wer unvorbereitet ist, verliert die ersten Stunden mit Formfragen, während er sie für die Eindämmung bräuchte.

Wann ist ein Vorfall „erheblich”?

Erheblich ist ein Vorfall insbesondere, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere (natürliche oder juristische) Personen durch erheblichen Schaden betreffen kann. Im Zweifel gilt: lieber melden — die Meldung ist kein Schuldeingeständnis, und Behörden werten Kooperation positiv.

Die Meldekette im Überblick

Stufe 1 — Frühwarnung innerhalb von 24 Stunden. Unverzüglich, spätestens 24 Stunden nach Kenntnis: eine erste Warnung. Inhalt: dass es einen erheblichen Vorfall gibt, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind. Mehr nicht — Vollständigkeit ist hier ausdrücklich nicht gefordert.

Stufe 2 — Meldung innerhalb von 72 Stunden. Die aktualisierte Bewertung: Schweregrad, Auswirkungen und — soweit vorhanden — Kompromittierungsindikatoren (IoCs). Diese Meldung baut auf der Frühwarnung auf und präzisiert sie.

Stufe 3 — Abschlussbericht nach spätestens einem Monat. Ausführliche Beschreibung des Vorfalls, Art der Bedrohung, Ursachen, ergriffene und laufende Gegenmaßnahmen, ggf. grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, gibt es zunächst einen Fortschrittsbericht.

Auf Verlangen des BSI können zudem Zwischenberichte fällig werden. Und: Die Meldepflicht ersetzt nicht die DSGVO — sind personenbezogene Daten betroffen, läuft die 72-Stunden-Meldung an die Datenschutzaufsicht parallel.

Meldefähig werden: vier Vorbereitungen

1. Kanal und Zugänge klären. Die Meldung läuft elektronisch über das BSI-Portal. Zugänge müssen eingerichtet, bekannt und auch dann erreichbar sein, wenn Ihre IT kompromittiert ist (Stichwort: Out-of-band-Zugriff).
2. Rollen festlegen. Wer erklärt den Vorfall technisch, wer meldet, wer informiert die Geschäftsleitung? Eine Person pro Rolle plus Vertretung.
3. Vorlagen vorbereiten. Eine ausgefüllte Muster-Frühwarnung (Platzhalter statt Details) spart im Ernstfall die wertvollsten Minuten.
4. Einmal üben. Eine Tabletop-Übung von 90 Minuten deckt mehr Lücken auf als jedes Konzeptpapier — und erfüllt nebenbei die Anforderung, die Wirksamkeit der Maßnahmen zu prüfen.

Das Zusammenspiel mit der Registrierung

Melden kann nur, wer registriert ist: Die BSI-Registrierung ist die Voraussetzung der Meldekette. Wer beides zusammen aufsetzt — Registrierung, Zugänge, Rollen, Vorlagen — hat die organisatorische Seite der NIS-2-Meldepflichten weitgehend erledigt.

Ob die Meldepflichten für Ihr Unternehmen gelten, sagt Ihnen unser kostenloser Betroffenheits-Check in zwei Minuten.

Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.