Ratgeber
NIS-2-Meldepflichten: was wann an das BSI muss
24 Stunden, 72 Stunden, ein Monat. Diese drei Zahlen stehen in jedem Artikel über NIS-2-Meldepflichten, meist als Zeitstrahl mit Pfeilen.
Sie sind der einfache Teil. Wer im Ernstfall stolpert, stolpert nicht über die Frist — sondern darüber, wann sie zu laufen begonnen hat und ob überhaupt gemeldet werden muss.
Dieser Text referiert § 32 BSIG. Ob ein konkreter Vorfall meldepflichtig ist, ist eine Bewertung im Einzelfall und gehört nicht in einen Ratgeber.
Wann die Uhr startet
Die Fristen beginnen mit der **Kenntniserlangung** von einem erheblichen Sicherheitsvorfall. Nicht mit dem Vorfall selbst.
Das entlastet und belastet zugleich. Es entlastet, weil ein Angriff, der sechs Wochen unentdeckt lief, keine sechs Wochen überzogene Frist bedeutet. Es belastet, weil „Kenntnis" nicht heißt, dass die Geschäftsleitung informiert ist — es genügt, dass die Einrichtung Kenntnis hat. Ein Alarm im Nachtdienst, der bis Montag liegen bleibt, verbraucht die Frist trotzdem.
Praktisch heißt das: Der Zeitpunkt, an dem jemand im Betrieb den Vorfall erkennt, muss festgehalten werden. Wer diesen Zeitpunkt später nicht belegen kann, diskutiert im Zweifel über die Frist statt über den Vorfall.
Wann ein Vorfall „erheblich" ist
Gemeldet wird nur, was erheblich ist. Der Maßstab kommt aus Artikel 23 Absatz 3 der NIS-2-Richtlinie: erheblich ist ein Vorfall, wenn er eine schwerwiegende Betriebsstörung oder finanzielle Verluste verursacht hat oder verursachen kann — oder wenn andere Personen erhebliche materielle oder immaterielle Schäden erleiden können.
Zwei Wörter tragen die ganze Last: „kann" und „erheblich".
„Kann" heißt, dass der Schaden nicht eingetreten sein muss. Ein abgewehrter Angriff, der bei anderem Verlauf den Betrieb lahmgelegt hätte, kann meldepflichtig sein. „Erheblich" ist nirgends in Zahlen gefasst — kein Schwellenwert in Euro, keine Mindestdauer.
Diese Unschärfe ist beabsichtigt und in der Praxis das eigentliche Problem. Sie bedeutet, dass jemand eine Bewertung treffen muss, unter Zeitdruck, oft außerhalb der Geschäftszeiten, auf einer dünnen Faktenlage.
Die drei Meldungen
Die drei Meldungen sind kein Countdown auf einen großen Bericht. Sie sind eine Eskalation, und jede Stufe darf weniger wissen als die nächste.
Erstmeldung
Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung. Sie ist bewusst dünn: was passiert ist, ob ein rechtswidriger Angriff vermutet wird, ob grenzüberschreitende Auswirkungen möglich sind. Wer hier auf vollständige Erkenntnisse wartet, verpasst die Frist für eine Meldung, die gar keine vollständigen Erkenntnisse verlangt.
Folgemeldung
Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung. Sie bestätigt oder korrigiert die Erstmeldung und enthält eine erste Bewertung — Schweregrad, Auswirkungen, soweit bekannt auch Kompromittierungsindikatoren.
Abschlussmeldung
Spätestens einen Monat nach der Folgemeldung. Ausführliche Beschreibung: Ursache, Ablauf, Art der Bedrohung, getroffene und geplante Gegenmaßnahmen. Dauert der Vorfall dann noch an, tritt an ihre Stelle zunächst eine Fortschrittsmeldung.
Melden im Zweifel?
Eine Frage, die in Gesprächen regelmäßig kommt: Was passiert, wenn wir melden und es stellt sich als harmlos heraus?
Deutlich weniger, als die meisten befürchten. Eine Meldung ist kein Schuldeingeständnis und löst kein Verfahren aus. Umgekehrt ist eine unterlassene Meldung eine Ordnungswidrigkeit — und im Nachhinein lässt sich schwer erklären, warum ein Vorfall damals als unerheblich eingestuft wurde, wenn die Einschätzung nirgends festgehalten ist.
Daraus folgt eine praktische Regel, die keine Rechtsberatung ist, sondern schlichte Vorsicht: Die Entscheidung gegen eine Meldung sollte mindestens so gut dokumentiert sein wie die Meldung selbst.
Was vorher feststehen muss
Der Ernstfall ist der falsche Zeitpunkt für Grundsatzfragen. Vier Dinge sollten vorher schriftlich feststehen:
Wer entscheidet
Namentlich, mit Vertretung, und erreichbar außerhalb der Geschäftszeiten. Die Bewertung „erheblich oder nicht" braucht eine Person, nicht ein Gremium.
Wer meldet
Zugang zum Meldeportal des BSI, Zugangsdaten hinterlegt und nicht nur im Kopf einer Person. Um drei Uhr nachts ist die Passwortzurücksetzung ein echtes Hindernis.
Was mitgeschrieben wird
Zeitpunkt der Kenntnis, wer was wann gesehen hat, welche Systeme betroffen sind. Diese Notizen sind später die Grundlage der Abschlussmeldung.
Wer sonst informiert werden muss
Betroffene Kunden, gegebenenfalls die Datenschutzaufsicht bei personenbezogenen Daten — die 72-Stunden-Frist nach Artikel 33 DSGVO läuft unabhängig und parallel.
Opspect unterstützt bei diesen Vorbereitungen: Vorfälle mit Zeitstempeln und Beteiligten, Notfallkontakte je Prozess, Maßnahmen mit Verantwortlichen und Fristen, und eine Ausgabe des Stands als Bericht. Die Bewertung, ob ein Vorfall erheblich ist, trifft weiterhin ein Mensch.
Gilt § 32 überhaupt für dich?
Die Meldepflicht trifft nur Einrichtungen im Anwendungsbereich von NIS-2. Die Selbsteinschätzung führt in etwa zwei Minuten durch die Kriterien.
Häufige Fragen
Ab wann läuft die 24-Stunden-Frist?
Ab Kenntniserlangung von einem erheblichen Sicherheitsvorfall, nicht ab dem Vorfall selbst. Maßgeblich ist die Kenntnis der Einrichtung, nicht die der Geschäftsleitung.
Was gilt als erheblicher Sicherheitsvorfall?
Ein Vorfall, der eine schwerwiegende Betriebsstörung oder finanzielle Verluste verursacht hat oder verursachen kann, oder der bei anderen erhebliche materielle oder immaterielle Schäden verursachen kann. Feste Schwellenwerte nennt das Gesetz nicht.
Muss die Erstmeldung schon vollständig sein?
Nein. Sie ist bewusst knapp gehalten. Die Bewertung folgt in der Meldung nach 72 Stunden, die ausführliche Darstellung in der Abschlussmeldung.
Was passiert, wenn der Vorfall nach einem Monat noch andauert?
Dann tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; die Abschlussmeldung folgt nach dem Ende des Vorfalls.
Ersetzt die BSI-Meldung die Meldung nach DSGVO?
Nein. Sind personenbezogene Daten betroffen, läuft die Frist nach Artikel 33 DSGVO unabhängig davon und richtet sich an die Datenschutzaufsicht.
Ist eine Meldung nachteilig, wenn sich der Vorfall als harmlos erweist?
Eine Meldung ist kein Schuldeingeständnis. Eine unterlassene Meldung dagegen ist eine Ordnungswidrigkeit. Die Entscheidung gegen eine Meldung sollte deshalb dokumentiert werden.