NIS2-Meldepflichten im Überblick
Bei einem erheblichen Sicherheitsvorfall verlangt § 32 BSIG eine gestufte Meldung: frühe Erstmeldung spätestens innerhalb von 24 Stunden nach Kenntniserlangung, Vorfallmeldung spätestens innerhalb von 72 Stunden und grundsätzlich eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Entscheidend ist deshalb nicht nur Incident Response, sondern eine Organisation, die einen Vorfall rechtzeitig als potenziell erheblich erkennt, eskaliert und meldefähig macht.
Wann ist ein Sicherheitsvorfall erheblich?
Nach § 2 BSIG ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Bewertung sollte deshalb Geschäftsfolgen und nicht nur technische Indikatoren betrachten.
Managementfrage: Kann die Organisation innerhalb weniger Stunden belastbar beurteilen, ob ein technischer Vorfall diese Schwelle erreichen kann?
Die Meldekaskade: 24 Stunden, 72 Stunden, ein Monat
| Zeitpunkt | Pflicht | Managementbedarf |
|---|---|---|
| unverzüglich, spätestens 24 h | frühe Erstmeldung | Erheblichkeit erkennen, Eskalation auslösen, erste Einordnung ermöglichen |
| unverzüglich, spätestens 72 h | Vorfallmeldung mit erster Bewertung | Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren konsolidieren |
| auf Ersuchen | Zwischenmeldung | Status und relevante Veränderungen verfügbar halten |
| spätestens 1 Monat nach 72-h-Meldung | Abschlussmeldung; bei laufendem Vorfall zunächst Fortschrittsmeldung | Ursache, Auswirkungen und Abhilfemaßnahmen nachvollziehbar dokumentieren |
Ein belastbarer NIS2-Meldeprozess
Der Prozess sollte mindestens Erkennung, Erstklassifizierung, geschäftliche Auswirkungsbewertung, Entscheidung über Meldepflicht, Freigabe, Übermittlung, Nachverfolgung und Abschlussdokumentation verbinden. Rollen und Stellvertretungen müssen vor dem Vorfall feststehen.
Der operative Incident-Prozess wird auf NIS2 Incident Management vertieft.
Wer muss wann eingebunden werden?
IT/SOC liefert technische Fakten. Fachbereiche bewerten Dienst- und Geschäftsfolgen. Informationssicherheit koordiniert Sicherheitsbewertung und Evidenz. Legal/Datenschutz prüfen parallele Pflichten. Kommunikation steuert externe Aussagen. Die Geschäftsleitung benötigt definierte Eskalationsschwellen und Entscheidungspunkte. Die konkrete RACI-Struktur muss zur Organisation passen.
Meldeweg zum BSI
Das BSI stellt für NIS2-Registrierungen und Sicherheitsvorfallmeldungen das BSI-Portal bereit. Betreiber kritischer Anlagen und Bundesbehörden können nach BSI-Angaben etablierte MIP-Prozesse übergangsweise prioritär weiter nutzen. Interne Prozesse sollten deshalb nicht nur die Frist, sondern auch Zugang, Berechtigungen und Stellvertretung für den vorgesehenen Meldeweg testen.
Typische Fehler
- Die 24-Stunden-Frist wird erst nach vollständiger technischer Analyse ernst genommen.
- „Erheblich“ wird ausschließlich technisch bewertet.
- Niemand ist außerhalb der Geschäftszeiten entscheidungs- oder meldefähig.
- Legal, Datenschutz und Kommunikation werden erst spät eingebunden.
- Die Abschlussmeldung wird nach Bewältigung des Incidents vergessen.
Executive Check: Ist die Organisation meldefähig?
- Ist „erheblicher Sicherheitsvorfall“ in einem internen Entscheidungsmodell operationalisiert?
- Gibt es eine 24/7-Eskalationskette mit Stellvertretungen?
- Ist klar, wer eine Meldung freigibt und wer sie technisch absetzt?
- Sind BSI-Zugang und Berechtigungen getestet?
- Kann innerhalb von 72 Stunden eine belastbare erste Auswirkungsbewertung erzeugt werden?
- Wer verfolgt Zwischen- und Abschlussmeldungen?
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für die strukturierte Standortbestimmung und die organisatorische Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.