Wer meldet einen Sicherheitsvorfall – nachts um drei? Das NIS-2-Umsetzungsgesetz gibt für erhebliche Sicherheitsvorfälle enge Fristen vor: 24 Stunden, 72 Stunden, ein Monat. Die Uhr läuft ab Kenntnis, nicht ab Dienstbeginn.
Die Meldefristen im Überblick
Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) melden (§ 32 BSIG). Das Verfahren ist gestuft:
- Frühe Erstmeldung – unverzüglich, spätestens nach 24 Stunden: mit der Angabe, ob der Verdacht auf eine rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind.
- Meldung – spätestens nach 72 Stunden: Aktualisierung der Erstmeldung und erste Bewertung des Vorfalls, einschließlich Schweregrad und Auswirkungen.
- Zwischenmeldung – auf Ersuchen des BSI: Statusaktualisierungen, wenn das BSI sie anfordert.
- Abschlussmeldung – spätestens einen Monat nach der 72-Stunden-Meldung: ausführliche Beschreibung des Vorfalls, Art der Bedrohung oder Ursache, getroffene und laufende Abhilfemaßnahmen.
Dauert der Vorfall zum Zeitpunkt der Abschlussmeldung noch an, wird stattdessen eine Fortschrittsmeldung abgegeben; die Abschlussmeldung folgt nach Abschluss der Bearbeitung. Betreiber kritischer Anlagen machen zusätzlich Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen.
Wann ein Sicherheitsvorfall „erheblich“ ist
Meldepflichtig ist nicht jede Störung. Erheblich ist ein Sicherheitsvorfall nach dem BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann – oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Einstufung muss schnell erfolgen, oft auf unvollständiger Informationsbasis. Umso wichtiger sind vorab festgelegte Kriterien und eine Person, die entscheiden darf.
Die Frist beginnt mit der Kenntnis
Die 24 Stunden beginnen, sobald die Einrichtung Kenntnis von dem erheblichen Sicherheitsvorfall erlangt – auch am Wochenende, an Feiertagen und nachts. Ein Vorfall, der am Freitagabend erkannt wird, ist am Samstagabend zu melden. Wer die Meldung erst am Montag vorbereitet, hat die Frist bereits versäumt.
Was vorher feststehen muss
- Entscheidung: Wer stuft einen Vorfall als erheblich ein – und wer vertritt diese Person?
- Meldung: Wer gibt die Meldung ab, und wer hat Zugang zum Meldeweg des BSI? Die Registrierung beim BSI ist dafür Voraussetzung.
- Erreichbarkeit: Wie sind die Verantwortlichen außerhalb der Geschäftszeiten erreichbar?
- Informationen: Welche Angaben werden für die Erstmeldung gebraucht, und wer liefert sie – auch der IT-Dienstleister?
- Dokumentation: Wo werden Zeitpunkte, Entscheidungen und Meldungen festgehalten?
- Weitere Pflichten: Sind personenbezogene Daten betroffen, kommt die Meldung an die Datenschutzaufsicht binnen 72 Stunden hinzu.
Aus der Prüferpraxis
Ein Meldeprozess, der nur auf dem Papier steht, fällt im Ernstfall auf. Eine kurze Übung – ein angenommener Vorfall am Freitagabend, wer tut was bis Samstagabend? – zeigt in einer Stunde, ob Zuständigkeiten, Vertretung und Zugänge tatsächlich funktionieren.
Häufige Fragen
An wen wird gemeldet?
An die gemeinsame Meldestelle von BSI und BBK. Die Meldung erfolgt über den vom BSI bereitgestellten Meldeweg; die Einrichtung muss dafür registriert sein.
Muss schon bei einem Verdacht gemeldet werden?
Die frühe Erstmeldung ist bewusst auf wenige Angaben beschränkt und darf auf einer vorläufigen Einschätzung beruhen. Sie wird mit der Meldung nach 72 Stunden aktualisiert. Abzuwarten, bis alle Fakten vorliegen, ist mit der 24-Stunden-Frist nicht vereinbar.
Was gilt, wenn der Vorfall beim IT-Dienstleister passiert?
Die Meldepflicht bleibt bei der betroffenen Einrichtung. Verträge mit Dienstleistern sollten deshalb regeln, dass Vorfälle unverzüglich mitgeteilt und die nötigen Informationen bereitgestellt werden.
Ersetzt die NIS-2-Meldung die Meldung nach der DSGVO?
Nein. Sind personenbezogene Daten betroffen, ist die Datenschutzverletzung zusätzlich der zuständigen Datenschutzaufsichtsbehörde zu melden. Beide Meldewege sollten im Prozess gemeinsam betrachtet werden.
Quellen
- § 32 BSIG – Meldepflichten (Gesetze im Internet)
- § 2 BSIG – Begriffsbestimmungen (erheblicher Sicherheitsvorfall)
- Art. 33 DSGVO – Meldung von Datenschutzverletzungen (EUR-Lex)
- BSI: NIS-2-Pflichten
Unterstützung bei Meldeprozess und Notfallvorsorge: Mit SSC Anker werden Notfall- und Krisenprozesse aufgebaut und geübt; SSC Lotse stellt als externer ISB sicher, dass Zuständigkeiten und Meldewege im Alltag funktionieren. Kontakt aufnehmen
Stand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.