NIS-2-Meldepflicht: Wer meldet was in 24 Stunden, 72 Stunden und einem Monat

Die NIS-2-Meldepflicht ist gestaffelt: 24 Stunden für die frühe Erstmeldung, 72 Stunden für die eigentliche Meldung, ein Monat für die Abschlussmeldung. Empfänger ist die gemeinsame Meldestelle von BSI und BBK, Rechtsgrundlage ist § 32 BSIG. Im Ernstfall ist keine Zeit, Zuständigkeiten zu googeln — wer die Kette einmal durchdacht und geübt hat, meldet souverän; wer unvorbereitet ist, verliert die ersten Stunden mit Formfragen, während er sie für die Eindämmung bräuchte.

Wer meldet: der Adressatenkreis

Zur Meldung verpflichtet sind besonders wichtige und wichtige Einrichtungen (§ 32 Abs. 1 BSIG). Ob Ihr Unternehmen dazugehört, entscheidet sich über Sektor und Größe — die Kriterien stehen in § 28 BSIG und sind in unserem Beitrag zu den NIS-2-Schwellenwerten aufgeschlüsselt. Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen auf diese Dienstleistung übermitteln (§ 32 Abs. 3 BSIG).

Ein Detail, das im Ernstfall Diskussionen erspart: Die Meldepflicht hängt nicht an der Registrierung. Wer betroffen ist, aber noch nicht registriert, muss trotzdem melden. Registrierung (§ 33 BSIG) und Meldung (§ 32 BSIG) sind zwei getrennte Pflichten mit je eigenem Bußgeldtatbestand.

Was gemeldet wird: der „erhebliche Sicherheitsvorfall”

Meldepflichtig ist nicht jede Störung, sondern der erhebliche Sicherheitsvorfall. § 2 Nr. 11 BSIG definiert ihn über zwei Alternativen. Erheblich ist ein Vorfall, der

schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder
andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Beachten Sie das „verursachen kann”: Der Schaden muss noch nicht eingetreten sein. Ein erfolgreicher, aber rechtzeitig gestoppter Verschlüsselungsangriff kann die Schwelle bereits reißen.

Für bestimmte digitale Einrichtungsarten — DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsdienste, Content Delivery Networks, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter — konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Schwelle mit harten Kriterien. Nach ihrem Art. 3 Abs. 1 gilt ein Vorfall unter anderem dann als erheblich, wenn er einen direkten finanziellen Verlust von mehr als 500.000 Euro oder mehr als 5 Prozent des Jahresumsatzes verursacht hat (der jeweils niedrigere Wert zählt), wenn Geschäftsgeheimnisse abgeflossen sind oder wenn er den Tod oder eine erhebliche Gesundheitsschädigung eines Menschen verursacht hat oder verursachen kann. Für alle übrigen Sektoren gelten diese Kriterien nicht unmittelbar — als Orientierungsraster für die eigene Bewertung sind sie trotzdem brauchbar, und das BSI verweist selbst darauf.

Im Zweifel gilt: lieber melden. Die Meldung ist kein Schuldeingeständnis, und § 30 Abs. 7 BSIG stellt ausdrücklich klar, dass freiwillige Meldungen nach § 5 BSIG keine zusätzlichen Pflichten auslösen dürfen.

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Stufe	Frist	Was hineingehört
Frühe Erstmeldung	unverzüglich, spätestens 24 h nach Kenntniserlangung	ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
Meldung	unverzüglich, spätestens 72 h nach Kenntniserlangung	Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung einschließlich Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren
Zwischenmeldung	auf Ersuchen des BSI	relevante Statusaktualisierungen
Abschlussmeldung	spätestens 1 Monat nach der 72-Stunden-Meldung	ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung bzw. zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen

Drei Feinheiten, die im Ernstfall zählen:

Die Monatsfrist läuft ab der 72-Stunden-Meldung, nicht ab Kenntniserlangung. § 32 Abs. 1 Nr. 4 BSIG knüpft ausdrücklich an die Übermittlung der Meldung nach Nummer 2 an.

Dauert der Vorfall noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; die Abschlussmeldung folgt nach abschließender Bearbeitung (§ 32 Abs. 2 BSIG). Auch diese verspätete Abschlussmeldung ist eigenständig bußgeldbewehrt (§ 65 Abs. 2 Nr. 5 BSIG).

Die 24-Stunden-Meldung ist bewusst dünn gehalten. Verlangt wird eine Frühwarnung, kein Lagebericht. Wer in den ersten 24 Stunden auf Vollständigkeit wartet, verletzt die Frist, ohne dass es jemandem nützt.

Der Meldeweg: das BSI-Portal

Gemeldet wird elektronisch an die gemeinsame Meldestelle von BSI und BBK. Das BSI stellt dafür seit dem 6. Januar 2026 das BSI-Portal bereit, das Registrierung und Meldung in einem Zugang bündelt. Der Login läuft über ein ELSTER-Organisationszertifikat, das über „Mein Unternehmenskonto” beantragt wird — Voraussetzung dafür ist eine deutsche Steuernummer. Einrichtungen, die noch nicht registriert sind, melden zunächst über das Online-Formular des BSI.

Der praktische Punkt daran: Das ELSTER-Zertifikat zu beschaffen dauert Tage bis Wochen. Wer es erst im Vorfall besorgt, hat die 24 Stunden bereits verloren. Und der Zugang muss auch dann funktionieren, wenn Ihre eigene IT kompromittiert ist — Zertifikat, Zugangsdaten und Kontaktliste gehören deshalb in eine Ablage, die unabhängig vom betroffenen Netz erreichbar bleibt.

§ 32 Abs. 1 Satz 2 BSIG enthält dazu eine Klarstellung, die man leicht überliest: Die Meldepflicht gilt „frühestens ab Einrichtung des Meldewegs”. Seit der Freischaltung des Portals ist dieser Punkt erreicht.

Verhältnis zur DSGVO-Meldung

Die NIS-2-Meldung ersetzt die Datenschutzmeldung nicht. Sind personenbezogene Daten betroffen, läuft die 72-Stunden-Meldung nach Art. 33 DSGVO an die Datenschutzaufsicht parallel — anderer Adressat, andere Rechtsgrundlage, anderer Inhalt. In der Praxis heißt das: zwei Meldestränge, ein Sachverhalt, und eine Person, die beide koordiniert.

Zwei gesetzliche Verzahnungen sind dabei erwähnenswert:

Stellt das BSI bei der Aufsicht fest, dass ein BSIG-Verstoß eine meldepflichtige Datenschutzverletzung zur Folge haben kann, unterrichtet es die Datenschutzaufsicht (§ 61 Abs. 11 BSIG). Die Behörden reden also miteinander.
Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, darf für den daraus folgenden BSIG-Verstoß kein weiteres Bußgeld verhängt werden (§ 65 Abs. 11 BSIG).

Hinzu kommen Unterrichtungspflichten gegenüber den eigenen Kunden: Das BSI kann anordnen, die Empfänger Ihrer Dienste über den Vorfall zu informieren — auch per Veröffentlichung auf Ihrer Website (§ 35 Abs. 1 BSIG). Einrichtungen aus den Sektoren Finanzwesen, Sozialversicherung, digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste müssen potenziell betroffene Empfänger bei erheblichen Cyberbedrohungen von sich aus informieren (§ 35 Abs. 2 BSIG).

Bußgelder: was eine versäumte Meldung kostet

Verstoß	Rahmen
Meldung nach § 32 Abs. 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig	bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtung)
Abschlussmeldung nach § 32 Abs. 2 Satz 2 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig	bis 10 Mio. € bzw. 7 Mio. €
bei Gesamtumsatz über 500 Mio. € alternativ	bis 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes
versäumte oder unrichtige Registrierung (§ 33)	bis 500.000 €

Rechtsgrundlage ist § 65 Abs. 2 Nr. 4 und 5 in Verbindung mit Abs. 5 bis 7 BSIG. Für den Umsatzbezug zählt die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG).

Neben dem Bußgeld steht die Aufsicht: Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).

Praxis-Checkliste: in fünf Schritten meldefähig

Zugang beschaffen und testen. ELSTER-Organisationszertifikat beantragen, im BSI-Portal anmelden, Berechtigungen auf mindestens zwei Personen verteilen. Einmal im Jahr prüfen, ob der Zugang noch funktioniert.
Rollen benennen. Wer entscheidet, ob ein Vorfall erheblich ist? Wer meldet? Wer informiert die Geschäftsleitung, wer die Datenschutzaufsicht, wer die Kunden? Je Rolle eine Person plus Vertretung, mit Telefonnummern auf Papier.
Erheblichkeitsschwelle vorab definieren. Legen Sie schriftlich fest, welche Szenarien in Ihrem Haus als erheblich gelten — angelehnt an § 2 Nr. 11 BSIG und, wo einschlägig, an die Kriterien der DVO (EU) 2024/2690. Diese Vorabfestlegung erspart die schlechteste aller Ernstfall-Diskussionen.
Vorlagen vorbereiten. Eine ausgefüllte Muster-Frühwarnung mit Platzhaltern statt Details spart die wertvollsten Minuten. Dazu eine Ereignis-Zeitleiste, in der ab Minute eins protokolliert wird — ohne sie ist die Abschlussmeldung nach einem Monat Rekonstruktionsarbeit.
Einmal üben. Eine Tabletop-Übung von 90 Minuten deckt mehr Lücken auf als jedes Konzeptpapier — und erfüllt nebenbei die Anforderung aus § 30 Abs. 2 Nr. 6 BSIG, die Wirksamkeit der Maßnahmen zu bewerten.

Muster-Ablauf: die ersten 72 Stunden

Stunde 0 — Kenntniserlangung. Auffälligkeit bestätigt. Zeitstempel notieren; ab hier läuft die Frist. Incident-Verantwortliche und Geschäftsleitung informieren.

Stunde 0 bis 4 — Erheblichkeitsprüfung. Gegen die vorab definierten Kriterien prüfen: Betriebsstörung, finanzieller Schaden, Beeinträchtigung Dritter, personenbezogene Daten betroffen? Ergebnis mit Begründung schriftlich festhalten — auch ein „nicht erheblich” will belegt sein.

Stunde 4 bis 24 — Frühe Erstmeldung. Über das BSI-Portal absetzen, mit den beiden Angaben, die § 32 Abs. 1 Nr. 1 BSIG verlangt: Verdacht auf rechtswidrige oder böswillige Handlungen, mögliche grenzüberschreitende Auswirkungen. Parallel prüfen, ob die Frist nach Art. 33 DSGVO ausgelöst ist.

Stunde 24 bis 72 — Meldung. Erstmeldung bestätigen oder aktualisieren, erste Bewertung von Schweregrad und Auswirkungen ergänzen, vorhandene Kompromittierungsindikatoren mitgeben. Prüfen, ob Kunden zu unterrichten sind (§ 35 BSIG).

Ab Tag 4 — Dokumentation für die Abschlussmeldung. Ursachenanalyse, Abhilfemaßnahmen, Wirksamkeitsprüfung. Die Abschlussmeldung ist spätestens einen Monat nach der 72-Stunden-Meldung fällig; dauert der Vorfall an, zunächst die Fortschrittsmeldung.

Das Zusammenspiel mit der Registrierung

Melden kann am komfortabelsten, wer registriert ist: Die BSI-Registrierung verschafft den Portalzugang, über den auch die Meldungen laufen. Wer beides zusammen aufsetzt — Registrierung, Zugänge, Rollen, Vorlagen — hat die organisatorische Seite der NIS-2-Meldepflicht weitgehend erledigt. Wie sich die Meldepflicht in den Gesamtrahmen einfügt, zeigt unser NIS-2-Überblick.

Stellen Sie zusätzlich vernetzte Hardware oder Software her, kommt ab dem 11. September 2026 eine zweite, unabhängige Meldepflicht hinzu: die des Herstellers nach Art. 14 des Cyber Resilience Act. Fristen, Empfänger und Meldeweg unterscheiden sich von der NIS-2-Meldung — beide Ketten müssen getrennt aufgesetzt werden. Die Einzelheiten stehen in unserem Beitrag zur CRA-Meldepflicht für Hersteller.

Ob die Meldepflichten für Ihr Unternehmen gelten, sagt Ihnen unser kostenloser Betroffenheits-Check in zwei Minuten.

Häufige Fragen

Ab wann läuft die 24-Stunden-Frist der NIS-2-Meldepflicht? Ab Kenntniserlangung von einem erheblichen Sicherheitsvorfall — nicht ab Beginn des Angriffs und nicht ab dem nächsten Werktag. § 32 Abs. 1 BSIG verlangt die frühe Erstmeldung „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung”. Die Uhr läuft damit auch nachts, an Wochenenden und an Feiertagen.

Wann ist ein Sicherheitsvorfall „erheblich”? Nach § 2 Nr. 11 BSIG dann, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für bestimmte digitale Einrichtungsarten konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Schwelle mit konkreten Kriterien.

Ersetzt die NIS-2-Meldung die Datenschutzmeldung nach DSGVO? Nein. Beide Pflichten bestehen nebeneinander und haben unterschiedliche Empfänger: die NIS-2-Meldung geht an die gemeinsame Meldestelle von BSI und BBK, die Meldung nach Art. 33 DSGVO an die zuständige Datenschutzaufsicht. Sind personenbezogene Daten betroffen, laufen beide Fristen parallel.

Was kostet eine versäumte Meldung? Eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgegebene Meldung nach § 32 Abs. 1 Satz 1 BSIG ist eine Ordnungswidrigkeit. Der Rahmen liegt bei bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen; ab 500 Mio. Euro Gesamtumsatz alternativ bis zu 2 bzw. 1,4 Prozent des Gesamtumsatzes (§ 65 Abs. 2 Nr. 4, Abs. 5 bis 7 BSIG).

Wo wird gemeldet? Über das BSI-Portal, das das BSI seit dem 6. Januar 2026 für Registrierung und Meldung bereitstellt. Der Zugang läuft über ein ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto”. Wer noch nicht registriert ist, meldet zunächst über das Online-Formular des BSI.

Muss ich melden, wenn ich noch gar nicht registriert bin? Ja. Die Meldepflicht hängt nicht an der Registrierung, sondern an der Einrichtungseigenschaft. Registrierung und Meldung sind zwei getrennte Pflichten mit eigenen Bußgeldtatbeständen — eine fehlende Registrierung entschuldigt keine unterlassene Meldung.

Quellen

BSI-Gesetz (BSIG), insbesondere §§ 2, 30, 32, 33, 35, 61, 65: gesetze-im-internet.de/bsig_2025
Durchführungsverordnung (EU) 2024/2690, Art. 3 (Kriterien für erhebliche Sicherheitsvorfälle): eur-lex.europa.eu
BSI, Infopaket „NIS-2-Meldepflicht”: bsi.bund.de
BSI-Portal zur Registrierung und Meldung: bsi.bund.de

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung.