NIS2-Meldepflicht: Was Sie wissen müssen
Eine der wichtigsten Neuerungen durch NIS2 ist die verschärfte Meldepflicht für Sicherheitsvorfälle. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle innerhalb enger Fristen an das BSI melden. Wer unvorbereitet ist, riskiert neben dem Vorfall selbst auch empfindliche Bußgelder.
Die 3-Stufen-Meldepflicht
NIS2 führt ein dreistufiges Meldesystem ein, das in § 32 BSIG geregelt ist:
Stufe 1: Frühwarnung — innerhalb von 24 Stunden
Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls muss eine Frühwarnung an das BSI erfolgen. Diese muss enthalten:
- Vermutung, ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht
- Ob der Vorfall grenzüberschreitende Auswirkungen haben könnte
- Erste Einschätzung der Schwere
Wichtig: Die 24-Stunden-Frist beginnt ab dem Zeitpunkt, an dem das Unternehmen Kenntnis vom Vorfall erlangt — nicht erst ab der vollständigen Analyse.
Stufe 2: Ausführliche Meldung — innerhalb von 72 Stunden
Innerhalb von 72 Stunden folgt eine detaillierte Meldung mit:
- Bewertung des Vorfalls (Schwere, Auswirkungen)
- Indikatoren für eine Kompromittierung (Indicators of Compromise)
- Ergriffene und geplante Gegenmaßnahmen
- Aktualisierung der Ersteinschätzung
Stufe 3: Abschlussbericht — innerhalb von 1 Monat
Spätestens einen Monat nach der Meldung ist ein Abschlussbericht fällig:
- Detaillierte Beschreibung des Vorfalls
- Ursachenanalyse (Root Cause Analysis)
- Ergriffene Abhilfemaßnahmen
- Grenzüberschreitende Auswirkungen (falls zutreffend)
Falls der Vorfall nach einem Monat noch andauert, ist stattdessen ein Fortschrittsbericht einzureichen und der Abschlussbericht innerhalb eines Monats nach Abschluss nachzuliefern.
Was ist ein "erheblicher Sicherheitsvorfall"?
Nicht jeder IT-Vorfall muss gemeldet werden. § 2 Abs. 11 BSIG definiert einen erheblichen Sicherheitsvorfall als einen Vorfall, der:
- Schwerwiegende Betriebsstörungen der Dienste verursacht hat oder verursachen kann
- Finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann
- Andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann
Beispiele für meldepflichtige Vorfälle
- Ransomware-Angriff mit Verschlüsselung von Produktionssystemen
- Datenverlust durch erfolgreichen Phishing-Angriff
- DDoS-Attacke mit mehrstündigem Ausfall kritischer Dienste
- Unbefugter Zugriff auf sensible Geschäftsdaten
- Supply-Chain-Kompromittierung über einen Dienstleister
Beispiele für NICHT meldepflichtige Vorfälle
- Fehlgeschlagener Phishing-Versuch ohne Kompromittierung
- Routine-Malware, die vom Virenscanner erkannt und blockiert wurde
- Kurzzeitiger Serviceausfall durch technischen Defekt ohne Sicherheitsbezug
BSI-Registrierung: Voraussetzung für die Meldung
Bevor Sie Vorfälle melden können, müssen Sie sich beim BSI registrieren. Die Registrierungsfrist beträgt 3 Monate nach Inkrafttreten des NIS2UmsuCG.
Was Sie für die Registrierung brauchen
- Unternehmensdaten (Name, Rechtsform, Anschrift)
- Benennung einer Kontaktstelle (erreichbar 24/7)
- Angaben zum Sektor und zur NIS2-Einstufung
- IP-Adressbereiche und Domains der betroffenen Dienste
- ELSTER-Zertifikat für die Authentifizierung
Der NIS2coPilot BSI-Registrierungs-Wizard führt Sie Schritt für Schritt durch den Prozess und stellt sicher, dass alle erforderlichen Angaben vollständig sind.
Vorbereitung auf den Ernstfall
Die schlechteste Zeit, sich auf die Meldepflicht vorzubereiten, ist während eines aktiven Sicherheitsvorfalls. Bereiten Sie sich jetzt vor:
1. Incident-Response-Team definieren
Benennen Sie Personen mit klaren Rollen:
- Incident Manager — koordiniert die Reaktion
- Technischer Lead — analysiert den Vorfall
- Kommunikation — BSI-Meldung und interne Kommunikation
- Management — Entscheidungen und Eskalation
2. Melde-Checkliste vorbereiten
Halten Sie eine Vorlage bereit, die alle Pflichtangaben für die BSI-Meldung enthält. Im Ernstfall zählt jede Minute.
3. Kontaktdaten bereithalten
- BSI-Meldestelle (Telefon + E-Mail)
- Interne Eskalationsliste
- Externe Partner (IT-Forensik, Rechtsanwälte, PR)
4. Regelmäßig üben
Führen Sie mindestens einmal jährlich eine Tabletop Exercise durch: Simulieren Sie einen Sicherheitsvorfall und üben Sie den Meldeprozess. Dokumentieren Sie die Ergebnisse.
Häufige Fehler bei der Meldepflicht
- Zu spät melden — Die 24-Stunden-Frist beginnt ab Kenntnis, nicht ab vollständiger Analyse
- Frühwarnung vergessen — Auch eine unvollständige erste Meldung ist besser als keine
- Abschlussbericht vergessen — Viele Unternehmen melden den Vorfall, vergessen aber den Abschlussbericht nach 30 Tagen
- Kontaktstelle nicht erreichbar — Die BSI-Kontaktstelle muss 24/7 erreichbar sein
Fazit
Die NIS2-Meldepflicht erfordert schnelles, strukturiertes Handeln. Unternehmen, die sich im Voraus vorbereiten, können im Ernstfall innerhalb der engen Fristen reagieren — und vermeiden zusätzliche Bußgelder wegen verspäteter Meldung.
NIS2coPilot hilft Ihnen, Ihren Incident-Response-Plan aufzubauen und die BSI-Registrierung vorzubereiten — starten Sie jetzt kostenlos.