NIS2-Meldepflicht: 24 Stunden, 72 Stunden, ein Monat
Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden beim BSI gemeldet werden. Wer dann erst klärt, wer zuständig ist und was erheblich bedeutet, hat die Frist schon verloren. Wir bauen mit Ihnen einen Meldeprozess, der unter Druck funktioniert.
- 24 Stunden Erstmeldung nach Kenntnis
- 72 Stunden Meldung mit erster Bewertung
- 1 Monat Abschlussmeldung
- BSI Melde- und Informationsportal
Was ist ein erheblicher Sicherheitsvorfall?
Meldepflichtig sind nicht alle Vorfälle, sondern erhebliche. Das Gesetz nennt zwei Kriterien, die Sie vorab auf Ihr Unternehmen übersetzen müssen.
- Kriterium 1
Schwere Betriebsstörung oder finanzieller Verlust
Der Vorfall hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für Ihre Einrichtung verursacht oder kann sie verursachen. Beispiele: Ransomware mit Produktionsstillstand, Ausfall der Kundensysteme, Manipulation von Zahlungsläufen.
- Kriterium 2
Erheblicher Schaden für andere
Der Vorfall hat andere natürliche oder juristische Personen erheblich materiell oder immateriell beeinträchtigt oder kann das. Beispiele: Abfluss von Kundendaten, kompromittierte Zugänge zu Kundensystemen, Lieferunfähigkeit gegenüber kritischen Abnehmern.
Praxisregel: Definieren Sie vorab Schwellenwerte, etwa Ausfallzeit kritischer Prozesse, Zahl betroffener Systeme oder Kunden, geschätzter Schaden. Dann ist die Frage "erheblich oder nicht" in einer Stunde beantwortet statt in einer Diskussion über zwei Tage.
Was wann ans BSI gemeldet wird
Das Meldeverfahren ist gestuft. Jede Stufe hat einen eigenen Inhalt, und die frühe Stufe ist absichtlich einfach gehalten.
-
Erstmeldung (Frühwarnung)
Unverzüglich, spätestens 24 Stunden nach Kenntnis. Inhalt: Es gibt einen erheblichen Vorfall. Besteht der Verdacht auf eine rechtswidrige oder böswillige Handlung? Sind grenzüberschreitende Auswirkungen möglich?
- Kein Untersuchungsbericht, nur der Verdacht
- Kontaktdaten und Registrierungsnummer griffbereit
-
Meldung mit erster Bewertung
Bestätigung oder Aktualisierung der Erstmeldung. Erste Bewertung von Schweregrad und Auswirkungen, sofern vorhanden die Kompromittierungsindikatoren (IoCs). Das BSI kann danach Zwischenmeldungen anfordern.
-
Abschlussmeldung
Spätestens einen Monat nach der 72-Stunden-Meldung: ausführliche Beschreibung inklusive Schweregrad und Auswirkungen, Art der Bedrohung und Ursache, ergriffene und laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, folgt ein Fortschrittsbericht und der Abschluss nach Bewältigung.
Wohin gemeldet wird, und was parallel läuft
Die BSI-Meldung ist selten die einzige. Ein Vorfall löst oft vier Meldewege gleichzeitig aus.
-
BSI: Melde- und Informationsportal
Die Meldung erfolgt elektronisch über das Portal des BSI. Voraussetzung ist die Registrierung nach § 33 BSIG mit hinterlegter Kontaktstelle. Wer nicht registriert ist, meldet unter Zeitdruck aus dem Stand.
-
Empfänger Ihrer Dienste
Betroffene Einrichtungen müssen die Empfänger ihrer Dienste über erhebliche Vorfälle unterrichten, die deren Dienste beeinträchtigen können, und ggf. über Maßnahmen, die die Empfänger selbst treffen sollten.
-
Datenschutzaufsicht (Art. 33 DSGVO)
Sind personenbezogene Daten betroffen: Meldung an die Landesdatenschutzbehörde binnen 72 Stunden, bei hohem Risiko zusätzlich Information der Betroffenen. Eigene Frist, eigener Empfänger, eigene Inhalte.
-
Versicherer, Strafverfolgung, Kunden
Cyberversicherer verlangen meist eine Anzeige binnen 24 bis 72 Stunden. Für eine Strafanzeige sind die Zentralen Ansprechstellen Cybercrime der Polizei zuständig. Vertraglich zugesagte Kundeninformationen kommen dazu.
Meldeprozess in vier Wochen
Ein Meldeprozess ist kein Dokument, sondern ein geübter Ablauf mit klaren Rollen. So bauen wir ihn mit Ihnen auf.
-
Rollen, Erreichbarkeit, Freigaben
Meldeverantwortliche und Vertretung benennen, Kontaktdaten im BSI-Portal prüfen, Freigabe durch die Geschäftsleitung vorab regeln. Erreichbarkeit außerhalb der Bürozeiten klären, inklusive Dienstleister.
-
Bewertungskriterien und Entscheidungsbaum
Schwellenwerte für 'erheblich' auf Ihre Prozesse übersetzen. Ein einseitiger Entscheidungsbaum, der auch nachts funktioniert: Erheblich? Personenbezogene Daten? Grenzüberschreitend? Kunden betroffen?
-
Vorlagen und Kommunikationspakete
Ausgefüllte Vorlagen für Erstmeldung, 72-Stunden-Meldung und Abschlussmeldung. Textbausteine für Kunden, Datenschutzaufsicht, Versicherer und Mitarbeitende. Integration in den bestehenden Incident-Response- oder Notfallplan.
-
Tabletop-Übung mit Stoppuhr
Ein realistisches Szenario, gespielt mit Geschäftsleitung, IT und Kommunikation. Gemessen wird die Zeit bis zur Erstmeldung. Die Erkenntnisse fließen in den Prozess, der Übungsbericht ist gleichzeitig Nachweis nach § 30 BSIG.
Sind Sie meldebereit?
Wenn Sie eine dieser Fragen nicht sicher mit Ja beantworten, ist die 24-Stunden-Frist im Ernstfall gefährdet.
- Wir sind beim BSI registriert und die Kontaktstelle ist aktuell.
- Zwei benannte Personen können die Meldung absetzen, auch am Wochenende.
- Wir haben schriftliche Kriterien, ab wann ein Vorfall erheblich ist.
- Die Freigabe der Meldung durch die Geschäftsleitung ist vorab geregelt.
- Vorlagen für alle drei Meldestufen liegen ausgefüllt bereit.
- Unsere IT-Dienstleister sind vertraglich zu einer Information binnen weniger Stunden verpflichtet.
- DSGVO-Meldung und Kundeninformation sind im selben Ablauf verankert.
- Wir haben den Ablauf in den letzten zwölf Monaten geübt.
Meldepflicht kurz beantwortet
Ab wann laufen die 24 Stunden?
Ab Kenntniserlangung des erheblichen Sicherheitsvorfalls, nicht ab dem Zeitpunkt des Angriffs. Deshalb ist die interne Bewertung der Engpass: Wer erst nach zwei Tagen entscheidet, ob ein Vorfall erheblich ist, hat die Frist bereits verpasst. Legen Sie vorab Kriterien fest, die eine Bewertung in ein bis zwei Stunden ermöglichen.
Wir sind unsicher, ob der Vorfall erheblich ist. Melden oder nicht?
Die Erstmeldung ist bewusst niederschwellig: Sie enthält nur den Verdacht, eine erste Einschätzung und die Frage nach möglichen grenzüberschreitenden Auswirkungen. Alles Weitere wird in der 72-Stunden-Meldung präzisiert oder korrigiert. Im Zweifel melden und später einordnen ist die sicherere Strategie als abwarten.
Wer meldet: die IT-Abteilung oder die Geschäftsführung?
Meldepflichtig ist die Einrichtung, verantwortlich ist die Geschäftsleitung. In der Praxis melden benannte Personen mit Vertretung, deren Kontaktdaten im BSI-Portal hinterlegt sind. Wichtig ist eine vorab geregelte Freigabe, damit nachts um drei niemand auf eine Unterschrift warten muss.
Wie verhält sich die NIS2-Meldung zur DSGVO-Meldung?
Beide laufen parallel und unabhängig. Sind personenbezogene Daten betroffen, gilt zusätzlich Art. 33 DSGVO mit 72 Stunden an die Datenschutzaufsicht und ggf. die Benachrichtigung Betroffener. Ein guter Meldeprozess prüft bei jedem Vorfall beide Pflichten mit einer Checkliste, statt sie getrennt zu behandeln.
Was passiert, wenn wir nicht oder zu spät melden?
Verstöße gegen die Meldepflicht sind bußgeldbewehrt: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für wichtige und bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Dazu kommt die Haftung der Geschäftsleitung nach § 38 BSIG, wenn sie den Meldeprozess nicht organisiert hat.
Unser IT-Dienstleister betreibt die Systeme. Wer meldet dann?
Die Meldepflicht bleibt bei Ihnen. Der Dienstleister muss Sie so schnell informieren, dass Sie die 24 Stunden halten können. Das gehört in den Vertrag: Meldewege, Reaktionszeiten von wenigen Stunden, Informationsinhalte und ein gemeinsamer Übungstermin pro Jahr.
Sprechen wir über Ihren Meldeprozess
Im kostenlosen Erstgespräch gehen wir Ihre aktuelle Meldebereitschaft anhand der Checkliste durch und zeigen, was in vier Wochen erreichbar ist.
- Bestandsaufnahme Ihrer Meldewege und Zuständigkeiten
- Die kritischste Lücke und ihre Behebung
- Aufwand für Prozess, Vorlagen und Übung
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen