Erheblicher Sicherheitsvorfall unter NIS 2
Zwei qualitative Auslöser, eine Verordnung mit Zahlen für bestimmte digitale Anbieter, ein schriftliches Entscheidungsprotokoll für alle anderen.
Warum die Definition zählt
Erheblichkeit startet die gesamte Meldekaskade aus Art. 23 NIS 2: Frühwarnung innerhalb von 24 Stunden, Sicherheitsvorfallsmeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Ist ein Vorfall erheblich, läuft die Uhr ab dem Moment der Kenntniserlangung. Ist er es nicht, schulden Sie weder dem CSIRT noch der zuständigen Behörde eine Meldung.
Art. 23(3) NIS 2 liefert nur zwei allgemeine Formulierungen. Die Durchführungsverordnung (EU) 2024/2690 (CIR) ergänzt harte Zahlen, aber nur für eine kleine Gruppe digitaler Anbieter (DNS, TLD, Cloud, Rechenzentren, CDN, MSP, MSSP, Marktplätze, Suchmaschinen, soziale Netze, Vertrauensdienste). Für jeden anderen NIS 2 Sektor bleibt der Test qualitativ.
Diese Lücke unterschätzen die meisten CISOs. Sind Sie in Fertigung, Lebensmitteln, Gesundheit oder Abfallwirtschaft tätig, gibt es keine Eurozahl, keine Ausfalldauer, keine Nutzerzahl. Sie müssen entscheiden, Sie müssen schnell entscheiden, und Sie müssen später erklären können, warum.
Richtlinie (EU) 2022/2555 (NIS 2), Art. 23(3)
Ein Sicherheitsvorfall gilt als erheblich, wenn (a) er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder (b) er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Das ist die einzige allgemeine Definition eines erheblichen Sicherheitsvorfalls im EU-Recht. Beide Punkte enthalten die Möglichkeitsform (verursachen kann), Sie müssen also auch das Schadenspotenzial bewerten, nicht nur den eingetretenen Schaden. Schwerwiegend, erheblich, materiell werden nie beziffert.
Durchführungsverordnung (EU) 2024/2690, Art. 3
Ein Sicherheitsvorfall gilt in Bezug auf die betreffenden Einrichtungen als erheblich im Sinne von Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555, wenn eines oder mehrere der folgenden Kriterien erfüllt sind: a) der Vorfall hat der betreffenden Einrichtung einen direkten finanziellen Verlust in Höhe von mehr als 500 000 EUR oder 5 % ihres jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr (je nachdem, welcher Wert niedriger ist) verursacht oder kann einen solchen Verlust verursachen; b) der Vorfall hat den Abfluss von Geschäftsgeheimnissen der betreffenden Einrichtung im Sinne von Artikel 2 Nummer 1 der Richtlinie (EU) 2016/943 verursacht oder kann einen solchen Abfluss verursachen; c) der Vorfall hat den Tod einer natürlichen Person verursacht oder kann einen solchen Tod verursachen; d) der Vorfall hat eine schwere Schädigung der Gesundheit einer natürlichen Person verursacht oder kann eine solche Schädigung verursachen; e) es hat einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme gegeben, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen; f) der Vorfall erfüllt die in Artikel 4 aufgeführten Kriterien; g) der Vorfall erfüllt eines oder mehrere der in den Artikeln 5 bis 14 aufgeführten Kriterien.
Sieben Kriterien (Buchstabe a bis g): fünf inhaltliche plus zwei Querverweise. CIR Art. 1 sagt, dass diese Zahlen nur für bestimmte digitale Anbieter gelten (DNS, TLD, Cloud, Rechenzentrum, CDN, MSP, MSSP, Marktplatz, Suchmaschine, soziale Plattform, Vertrauensdienste). Art. 5 bis 14 ergänzen sektorspezifische Verfügbarkeitsschwellen für dieselbe Gruppe. Steht Ihr Sektor nicht auf dieser Liste, binden Sie diese Zahlen nicht und der qualitative Test aus Art. 23(3) steht allein.
§32 BSIG (Deutschland, Beispielumsetzung)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Jeder Mitgliedstaat muss Art. 23 in nationales Recht umsetzen. §32 BSIG wiederholt die Kaskade und benennt als Empfänger eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Eigene Zahlen für nicht-digitale Sektoren fügt §32 BSIG nicht hinzu. In Österreich gilt seit 1. Oktober 2026 das NISG 2026. Frankreich und die Niederlande hatten ihre Umsetzung bis Juli 2026 nicht mitgeteilt (die Kommission hat sie deshalb vor den Gerichtshof der EU gebracht).
Sieben Kriterien (Buchstabe a bis g)
Fünf inhaltliche Auslöser plus zwei Querverweise. (a) 500.000 EUR oder 5 Prozent des letzten Jahresumsatzes (niedrigerer Wert), (b) abgeflossene Geschäftsgeheimnisse, (c) Tod einer Person, (d) schwere Gesundheitsschädigung, (e) erfolgreicher böswilliger Zugriff mit Potenzial schwerwiegender Betriebsstörungen, (f) wiederkehrende Vorfälle nach Art. 4, (g) entitätsspezifische Schwellen nach Art. 5 bis 14. Jedes einzelne reicht für die digitalen Anbieter im Anwendungsbereich.
Wiederkehrende Vorfälle
Kleine Vorfälle summieren sich. Verursacht dieselbe Ursache mindestens zwei Vorfälle innerhalb von sechs Monaten und überschreiten sie zusammen die Finanzschwelle aus Art. 3(1)(a), behandelt die CIR sie als einen erheblichen Vorfall. Jeden Vorfall isoliert zu zählen, ist falsch.
DNS- und TLD-Spezifika
Für DNS-Diensteanbieter (Art. 5): Namensauflösung mehr als 30 Minuten vollständig ausgefallen, durchschnittliche Antwortzeit über 10 Sekunden für mehr als eine Stunde, oder beeinträchtigte Daten (außer bei einer Fehlkonfiguration, die weniger als 1.000 Domains und höchstens 1 Prozent des Bestandes betrifft). TLD-Namenregister (Art. 6): jeder vollständige Ausfall der autoritativen Namensauflösung, Antwortzeit über 10 Sekunden für mehr als eine Stunde, oder jede Beeinträchtigung der Daten der TLD. Art. 7 bis 14 setzen Schwellen für Cloud, Rechenzentren, CDN, MSP und MSSP, Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste.
Auslöser A: schwerwiegende Betriebsstörung oder finanzieller Verlust für Ihre Einrichtung
Das ist der nach innen gerichtete Auslöser. Die Richtlinie gibt Ihnen keine Eurozahl, keine Dauer, keinen Prozentsatz. Erwägungsgrund 101 nennt drei Indikatoren: wie stark der Dienst betroffen ist, wie lange der Vorfall dauert, wie viele Dienstempfänger es trifft. Nutzen Sie sie zur Strukturierung. Behandeln Sie sie nicht als Checkliste.
Auslöser B: erhebliche materielle oder immaterielle Schäden bei Dritten
Das ist der nach außen gerichtete Auslöser. Kunden, Bürger, nachgelagerte Betreiber, Ihre Lieferkette. Immaterielle Schäden umfassen Reputations- und Vertrauensschäden. Ein kurzer Ausfall, der einen Krankenhausprozess lahmlegt, Kundendaten freilegt oder einen kommunalen Dienst kippt, kann diesen Auslöser auch dann erfüllen, wenn Ihr eigener Verlust gering ist.
Ransomware legt die Produktion zwei Tage lahm
Betrieb steht. Auslöser A aus Art. 23 Abs. 3 NIS 2 (schwerwiegende Betriebsstörung) ist erfüllt. Frühwarnung 24h, Meldung 72h, Abschlussbericht 1 Monat (Art. 23 NIS 2 / §32 BSIG).
Phishing-Mail angeklickt, kein Passwort eingegeben
Eindämmung erfolgreich, keine Auswirkung auf Dienste oder Dritte. Wer trotzdem teilen möchte: Freiwillige Meldung nach Artikel 30 NIS 2 ist möglich und löst keine zusätzlichen Pflichten aus (Art. 30 Abs. 2).
Cloud-Anbieter fällt aus, eigener Dienst verzögert
Wenn der eigene Dienst dadurch deutlich langsamer wird oder steht, ist Auslöser A erfüllt. Parallel Auslöser B prüfen: Leiden Kunden oder nachgelagerte Betreiber? (Art. 23 Abs. 3 NIS 2)
DDoS-Angriff legt das Kundenportal vier Stunden lahm
Deutliche Unterbrechung gegenüber Kunden. Beide Auslöser aus Art. 23 Abs. 3 NIS 2 sind potenziell erfüllt. Bei DNS-, Cloud- oder Vertrauensdiensten zusätzlich CIR Art. 5 bis 14 prüfen.
Fehlkonfiguration legt Kundendaten offen
DSGVO Artikel 33: 72h an die Datenschutzbehörde. Wenn auch eine NIS 2-Schwelle gerissen wird (Art. 23 Abs. 3 NIS 2 oder CIR Art. 3), zusätzlich NIS 2 Artikel 23: 24h Frühwarnung an den CSIRT. Beide Uhren starten ab Kenntniserlangung.
Lieferant gehackt, eigener Dienst dadurch beeinträchtigt
Erst Schaden für die eigene Einrichtung oder Kunden prüfen. Nicht jeder Lieferantenvorfall ist eine eigene Meldepflicht. Parallel: Lieferantenaufsicht nach Art. 21 Abs. 2 lit. d NIS 2 dokumentieren.
Unsicher? Die Frühwarnung lässt sich mit der Meldung nach 72 Stunden aktualisieren (Art. 23 Abs. 4 lit. b NIS 2). Für Ereignisse unterhalb der Schwelle können Sie freiwillig melden, ohne dadurch zusätzliche Pflichten zu übernehmen (Art. 30).
Artikel 30 Absatz 1 NIS 2 erlaubt freiwillige Meldungen von Vorfällen, Cyberbedrohungen und Beinahevorfällen an den CSIRT. Das gilt sowohl für Einrichtungen im Anwendungsbereich der Richtlinie als auch für Einrichtungen außerhalb, die einen erheblichen Vorfall melden möchten.
Artikel 30 Absatz 2 NIS 2 ist der entscheidende Schutz: freiwillige Meldungen führen nicht zu zusätzlichen Pflichten für die meldende Einrichtung. Wer im Grenzfall meldet, riskiert dadurch keine weitergehenden Auflagen. Das beseitigt den naheliegenden Vorwand, einen unklaren Vorfall nicht zu melden.
Artikel 23 Absatz 2 NIS 2 fügt eine separate Pflicht hinzu. Wesentliche und wichtige Einrichtungen unterrichten unverzüglich ihre Empfänger der Dienste über erhebliche Cyberbedrohungen, gegen die diese Maßnahmen ergreifen können. Das ist nicht die CSIRT-Meldung, sondern die Außenkommunikation an Kunden.
In Deutschland setzt §35 Absatz 2 BSIG das um: Einrichtungen aus den Sektoren Finanzwesen, Sozialversicherung, digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste teilen den von einer erheblichen Cyberbedrohung potenziell betroffenen Empfängern ihrer Dienste mit, welche Maßnahmen diese ergreifen können, sofern die Interessen der Empfänger überwiegen. Davon getrennt kann das BSI nach §35 Absatz 1 anordnen, dass eine Einrichtung die Empfänger ihrer Dienste über einen erheblichen Sicherheitsvorfall unterrichtet, zum Beispiel per Veröffentlichung auf ihrer Webseite.
BSI-Hinweise zu §32 BSIG
Das BSI wiederholt die Definition aus § 2 Nr. 11 BSIG und versteht „verursachen kann“ so, dass die Auswirkungen realistischerweise eintreten könnten. Meldungen laufen über das Portal des BSI. Eine Zahl für nicht-digitale Sektoren veröffentlicht das BSI nicht. Das BSI weist darauf hin, dass das Bundesinnenministerium den erheblichen Sicherheitsvorfall später per Rechtsverordnung genauer bestimmen kann (§ 56 Abs. 4 BSIG).
ENISA Technical Implementation Guidance
Die Technical Implementation Guidance (TIG, Version 1.0 vom Juni 2025; die Zuordnungstabelle wurde im August 2025 auf Version 1.2 aktualisiert) der ENISA gibt praktische Hinweise zur Wirkungseinschätzung und verweist auf die CIR-Schwellen, wo sie greifen. Die TIG ist nicht bindend und gibt Sektoren außerhalb des CIR-Anwendungsbereichs ausdrücklich an die nationalen Behörden zurück.
Andere Mitgliedstaaten
In Österreich gilt seit 1. Oktober 2026 das NISG 2026. Frankreich und die Niederlande hatten ihre Umsetzung bis Juli 2026 nicht mitgeteilt (die Kommission hat sie deshalb vor den Gerichtshof der EU gebracht). Deutschland ist hier das Beispiel.
Mythos 1: Wir merken es, wenn es passiert.
Realität: Art. 23 Abs. 4 lit. a gibt Ihnen ab Kenntnis eines erheblichen Sicherheitsvorfalls 24 Stunden für die Frühwarnung. In dieser Zeit müssen Sie entscheiden, die Begründung schreiben und sie vor der Behörde vertreten können. Wenn Sie Ihre Kriterien nicht vor dem Vorfall schriftlich definiert haben, treffen Sie die Bewertung unter Druck ohne Protokoll. Bauen Sie das Entscheidungsraster jetzt, nicht am Tag X.
Mythos 2: Nur Datenschutzvorfälle zählen.
Realität: Art. 23(3)(a) erfasst Betriebsstörung und finanziellen Verlust, ohne personenbezogene Daten zu verlangen. Eine durch Ransomware gestoppte Produktionslinie ohne Datenabfluss ist ein erheblicher Sicherheitsvorfall. Eine Logistikplattform, die drei Stunden offline ist, kann einer sein, wenn der Ausfall den Dienst schwerwiegend stört oder Kunden erheblich schadet. NIS 2 ist nicht die DSGVO.
Mythos 3: Kleine Vorfälle unterhalb der Schwelle summieren sich nicht.
Realität: Für die digitalen Anbieter der CIR gelten Vorfälle mit derselben offensichtlichen Ursache, die innerhalb von sechs Monaten mindestens zweimal auftreten, zusammen als ein erheblicher Sicherheitsvorfall, wenn ihre finanziellen Verluste zusammen die Schwelle aus Art. 3 Abs. 1 lit. a überschreiten (Art. 4 CIR). NIS 2 selbst kennt keine solche Regel, aber eine Häufung kleiner Vorfälle ist trotzdem ein Grund, genauer hinzusehen.
Anhang I und II der NIS 2 erfassen 18 Sektoren. Nur die in CIR Art. 1 definierte digitale Gruppe (elf Einrichtungstypen) erhält Zahlen. Zahlenmäßig ein kleiner Ausschnitt der erfassten Einrichtungen. Für Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, öffentliche Verwaltung, Raumfahrt, Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung und Forschung bleibt der Test qualitativ.
Genau dort können Sie im Raum nützlich sein. Die ehrliche Antwort auf die Vorstandsfrage (was zählt für uns als erheblich) lautet: Die EU hat es Ihrem Urteil überlassen, hier sind die drei Indikatoren aus Erwägungsgrund 101, hier ist das Entscheidungsprotokoll, das wir im Ereignisfall produzieren, hier ist der Unterzeichner, hier ist das BSI-Meldeformular, das wir einreichen. Die belastbare Antwort ist keine Zahl. Sie ist eine schriftliche Entscheidung.
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 23 und Erwägungsgrund 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Durchführungsverordnung (EU) 2024/2690, Art. 1, 3, 4 und 5 bis 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- §32 BSIG (Deutschland): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, Version 1.0, 26. Juni 2025: enisa.europa.eu
- BSI, FAQ zu NIS 2 und das Portal des BSI: bsi.bund.de, portal.bsi.bund.de
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
