NIS2 Meldepflicht: wann und wie Sie Vorfälle dem BSI melden
Einen erheblichen Sicherheitsvorfall melden Sie dem BSI in drei Stufen: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat danach (§ 32 BSIG). Die Uhr läuft ab dem Moment, in dem Sie davon erfahren. Gemeldet wird im Portal des BSI.
Programme und Mitgliedschaften
Was ein erheblicher Sicherheitsvorfall ist
Ein Sicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit Ihrer Daten oder Dienste beeinträchtigt (§ 2 Nr. 40 BSIG). Melden müssen Sie nur erhebliche Vorfälle.
Erheblich ist ein Vorfall, wenn er eines von zwei Dingen verursacht hat oder verursachen kann (§ 2 Nr. 11 BSIG, Art. 23 Abs. 3 NIS 2): eine schwerwiegende Betriebsstörung oder finanzielle Verluste für Ihr Unternehmen, oder erheblichen Schaden bei anderen. Für bestimmte digitale Anbieter legt die Durchführungsverordnung (EU) 2024/2690 genaue Schwellen fest. Für alle anderen gilt laut BSI: Ein Vorfall ist erheblich, wenn er eines der Kriterien aus Art. 3 Abs. 1 dieser Verordnung erfüllt, und immer dann, wenn eine kritische Dienstleistung ausfällt oder beeinträchtigt ist.
Schwerwiegende Betriebsstörung
Der Vorfall stört die Erbringung Ihrer Dienste schwer oder kann das tun.
Finanzielle Verluste
Der Vorfall verursacht finanzielle Verluste für Ihr Unternehmen oder kann das tun. Für die digitalen Anbieter, die die Durchführungsverordnung erfasst, liegt die Schwelle bei einem unmittelbaren Verlust über 500.000 EUR oder 5 % des Vorjahresumsatzes, je nachdem, welcher Betrag niedriger ist (Art. 3 Abs. 1 Buchst. a).
Schaden bei anderen
Der Vorfall verursacht anderen Menschen oder Unternehmen erheblichen materiellen oder immateriellen Schaden oder kann das tun.
Datenpanne
Eine Datenpanne ist nur dann erheblich, wenn sie eines der beiden Kriterien erfüllt, etwa weil sie anderen erheblichen Schaden zufügt. Die Meldung nach § 32 BSIG steht neben der Meldung nach Art. 33 und 34 DSGVO. Beide können für denselben Vorfall gelten.
Dauer
Die Dauer ist kein eigenes Kriterium. Für die digitalen Anbieter, die die Durchführungsverordnung erfasst, gelten Zeitgrenzen je Dienst, etwa wenn ein Dienst in der Cloud länger als 30 Minuten ganz ausfällt (Art. 7 Buchst. a).
Im Zweifel früh melden. Das BSI wünscht eine frühe Meldung ausdrücklich, auch wenn noch vieles unklar ist. Korrekturen gehen mit den späteren Meldungen.
Mehr dazuDie Uhr startet mit der Kenntnis. Laut BSI ist das der Moment, in dem ein Beschäftigter Ihres Unternehmens während der Arbeitszeit von dem erheblichen Vorfall erfährt.
Frühe Erstmeldung
24 StundenEine erste Warnung an das BSI, spätestens 24 Stunden nachdem Sie vom Vorfall erfahren haben.
- Ob der Vorfall vermutlich auf eine rechtswidrige oder böswillige Handlung zurückgeht
- Ob er andere Länder betreffen könnte
- Eine erste Einstufung des Vorfalls
- Wer meldet, und wie das BSI diese Person erreicht
Meldung
72 StundenSpätestens 72 Stunden nachdem Sie vom Vorfall erfahren haben. Sie bestätigt oder ergänzt die Erstmeldung.
- Eine erste Bewertung von Schwere und Auswirkungen
- Hinweise auf die Angreifer (Kompromittierungsindikatoren), wo vorhanden
- Was Sie über die Ursache wissen
- Was Sie getan haben und noch tun wollen
Zwischenmeldung
Auf AnfrageNur wenn das BSI darum bittet: der aktuelle Stand.
- Stand der Eindämmung und Behebung
- Neue Erkenntnisse zu Ursache, Umfang oder Auswirkungen
Abschlussmeldung
1 Monat nach der MeldungSpätestens einen Monat nach der zweiten Meldung, der Meldung binnen 72 Stunden.
- Eine ausführliche Beschreibung des Vorfalls mit Schwere und Auswirkungen
- Die Art der Bedrohung oder die wahrscheinliche Ursache
- Was Sie getan haben und noch tun
- Ob andere Länder betroffen sind
Fortschrittsmeldung
Bei laufendem VorfallLäuft der Vorfall nach einem Monat noch, geben Sie statt der Abschlussmeldung eine Fortschrittsmeldung ab. Die Abschlussmeldung folgt, wenn der Vorfall bearbeitet ist (§ 32 Abs. 2 BSIG).
- Der aktuelle Stand
- Was Sie bisher eingedämmt haben
Ein Beispiel
Eine erfundene Firma. Montag, 9 Uhr: Die Buchhaltung sagt der IT, dass Dateien auf dem Server verschlüsselt sind. Die Auftragsannahme steht still.
Montag, 9.30 Uhr: Die IT bestätigt einen Angriff. Laut Notfallplan entscheidet der Geschäftsführer. Er stuft den Vorfall als erheblich ein, weil der Betrieb schwer gestört ist.
Montag, 14 Uhr: die frühe Erstmeldung im Portal des BSI. Sie sagt, was bekannt ist, und dass ein Angriff vermutet wird. Die Frist wäre bis Dienstag, 9 Uhr gelaufen.
Spätestens Donnerstag, 9 Uhr: die Meldung mit einer ersten Bewertung von Schwere und Auswirkungen.
Einen Monat nach dieser Meldung: die Abschlussmeldung mit Ursache und Abhilfe. Läuft der Vorfall dann noch, kommt zuerst eine Fortschrittsmeldung.
Daneben prüft die Firma, ob personenbezogene Daten betroffen sind. Dann gilt zusätzlich die Meldepflicht nach Art. 33 DSGVO.
Was in die erste Meldung gehört
Das BSI nennt für die frühe Erstmeldung diese Angaben. Das Formular im Portal fragt sie ab.
- Einstufung des Vorfalls, Grund der Meldung und Lage
- Eine vorläufige Beschreibung: Störung, Auswirkung, erwartete Dauer und vermutete Ursache
- Wann der Vorfall eintrat und wann Sie ihn bemerkt haben
- Betroffene Sektoren und Einrichtungsarten
- Ob ein Angriff vermutet wird und ob andere Länder betroffen sein könnten
- Was Sie bisher getan haben und ob der Vorfall unter Kontrolle ist
- Wie das BSI die meldende Person erreicht
Laut BSI gilt: Schnelligkeit vor Vollständigkeit. Eine abgegebene Meldung lässt sich nicht zurückziehen. Sie korrigieren sie mit einer Folgemeldung.
So geht das im Durchgang
Zwei Schritte im Durchgang auf nisd2.eu bereiten Sie auf die Meldung vor.
„Planen, was bei einem Vorfall passiert“: Aus Ihren Antworten entsteht Ihr Notfallplan für Vorfälle. Er sagt, wer entscheidet und wie Sie melden.
„Wissen, wie Sie einen Vorfall melden“: Der Schritt zeigt die drei Fristen und ein Beispiel für eine frühe Erstmeldung.
Sie halten fest, ob Sie sich im Portal des BSI anmelden und melden können.
Am Ende gibt die Geschäftsleitung den Notfallplan in der App frei.
Meldungen nach § 32 BSIG gehen an das BSI, im Regelfall über das Portal des BSI. Hat Ihr Unternehmen einen erheblichen Vorfall, bevor es registriert ist, melden Sie über ein Formular im Melde- und Informationsportal (MIP) des BSI. Betreiber kritischer Anlagen und Bundesbehörden nutzen vorerst ihre bisherigen Meldewege.
Melden kann jeder Beschäftigte, der Zugang zum Portal hat. Dafür braucht jede Person ein eigenes Organisationszertifikat von ELSTER und muss im Portal Ihrer Einrichtung zugeordnet sein. Sie können auch einen Dienstleister melden lassen. Die Verantwortung für die Meldung bleibt bei Ihnen.
Betreiber kritischer Anlagen melden zusätzlich die Art der Anlage, die kritische Dienstleistung und die Auswirkungen darauf (§ 32 Abs. 3 BSIG). Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung an die Datenschutzaufsicht nötig sein.
Nach der Meldung
- Das BSI bestätigt den Eingang unverzüglich, nach Möglichkeit binnen 24 Stunden. Auf Wunsch gibt es Orientierungshilfe oder Beratung (§ 36 Abs. 1 BSIG).
- Das BSI kann anordnen, dass Sie die Empfänger Ihrer Dienste über den Vorfall informieren (§ 35 Abs. 1 BSIG).
- Rechnen Sie mit Rückfragen. Das BSI empfiehlt, dass seine Warnungen auch außerhalb der Geschäftszeiten jemanden erreichen.
Was Sie vorher vorbereiten
- Wer entscheidet, ob ein Vorfall erheblich ist, und wer meldet.
- Den Zugang zum Portal des BSI für diese Personen: je ein Organisationszertifikat und die Zuordnung zu Ihrer Einrichtung.
- Die Telefonnummern von IT, Dienstleistern und Geschäftsleitung, auch auf Papier.
- Einen Notfallplan, den man auch findet, wenn die Server ausgefallen sind.
Quellen
- BSI-Gesetz (BSIG), § 2 Nr. 11 und 40, §§ 32, 35 und 36 (gesetze-im-internet.de/bsig_2025)
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
- Durchführungsverordnung (EU) 2024/2690, Art. 3 und 7
- BSI, Meldepflicht nach NIS 2: Fristen, Inhalte und Meldeweg (bsi.bund.de/dok/nis-2-meldepflicht)
- BSI, Mein Unternehmenskonto: Zugang zum Portal des BSI (bsi.bund.de/dok/muk)
- Verordnung (EU) 2016/679 (DSGVO), Art. 33 und 34
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.