Die NIS2-Meldepflicht ist in § 32 BSIG geregelt und gehört zu den Kernpflichten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG), das seit dem 6. Dezember 2025 in Deutschland gilt. Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle in einem dreistufigen Verfahren an das BSI melden. Wer die Fristen versäumt, riskiert zusätzlich zu den Folgen des Vorfalls empfindliche Bußgelder.
Die drei Meldestufen
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden | Erste Einschätzung der Schwere, Vermutung zu böswilligen Handlungen, mögliche grenzüberschreitende Auswirkungen |
| Ausführliche Meldung | 72 Stunden | Bewertung des Vorfalls, Indikatoren für eine Kompromittierung, ergriffene und geplante Gegenmaßnahmen |
| Abschlussbericht | 1 Monat | Detaillierte Beschreibung, Ursachenanalyse, Abhilfemaßnahmen |
Wichtig: Die 24-Stunden-Frist beginnt ab Kenntnis des Vorfalls — nicht erst nach vollständiger Analyse. Dauert der Vorfall nach einem Monat noch an, ist zunächst ein Fortschrittsbericht einzureichen; der Abschlussbericht folgt innerhalb eines Monats nach Abschluss des Vorfalls.
Was ist ein erheblicher Sicherheitsvorfall?
Nicht jeder IT-Vorfall ist meldepflichtig. § 2 Abs. 11 BSIG definiert einen erheblichen Sicherheitsvorfall als einen Vorfall, der:
- schwerwiegende Betriebsstörungen der Dienste verursacht hat oder verursachen kann,
- finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Meldepflichtig ist zum Beispiel ein Ransomware-Angriff mit Verschlüsselung von Produktionssystemen. Nicht meldepflichtig ist ein fehlgeschlagener Phishing-Versuch ohne Kompromittierung oder Routine-Malware, die der Virenscanner blockiert hat.
Was bedeutet das konkret?
Voraussetzung für die Meldung ist die BSI-Registrierung mit einer rund um die Uhr erreichbaren Kontaktstelle. Bereiten Sie sich vor dem Ernstfall vor: Incident-Response-Team benennen, Meldevorlagen für alle drei Stufen erstellen, BSI-Kontaktdaten hinterlegen und den Ablauf mindestens einmal jährlich üben. Details zum Ablauf finden Sie im Artikel NIS2-Meldepflicht: Fristen, BSI-Portal und Ablauf. Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klärt der kostenlose Betroffenheitscheck in wenigen Minuten.