Ratgeber › NIS2-Meldepflichten
NIS2-Meldepflichten: Wer, wann, was melden muss.
Wer unter NIS2 fällt, muss erhebliche Sicherheitsvorfälle in festen Fristen an das BSI melden, die erste Meldung schon nach 24 Stunden. Dieser Ratgeber erklärt, wann ein Vorfall meldepflichtig ist, welche Meldungen fällig werden und wie Sie sich vorbereiten, damit im Ernstfall niemand improvisieren muss.
Wann ein Vorfall meldepflichtig ist.
Meldepflichtig ist nicht jeder Vorfall, sondern ein erheblicher Sicherheitsvorfall. Das ist er, wenn er mindestens eine dieser Folgen hat oder haben kann:
Schwere Betriebsstörung
Der Vorfall hat erhebliche Störungen Ihrer Dienste verursacht oder kann sie verursachen.
Finanzieller Verlust
Der Vorfall hat bei Ihnen spürbare finanzielle Verluste verursacht oder kann sie verursachen.
Schaden bei Dritten
Andere Personen oder Unternehmen werden durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder könnten es werden.
Für bestimmte digitale Dienste, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, legt die EU-Durchführungsverordnung 2024/2690 genauere Schwellenwerte fest. Ob ein Vorfall erheblich ist, entscheiden Sie im Einzelfall und sollten die Begründung dokumentieren. Dieser Ratgeber ersetzt keine Rechtsberatung.
Vier Meldungen, drei feste Fristen.
Die Fristen laufen ab dem Zeitpunkt, an dem Sie von dem erheblichen Vorfall Kenntnis erlangen, nicht ab dem Zeitpunkt, an dem er passiert ist. Gemeldet wird an das BSI.
Erstmeldung
Frühe Warnung: dass ein erheblicher Vorfall vorliegt, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob er grenzüberschreitende Auswirkungen haben könnte.
Meldung
Erste Bewertung des Vorfalls: Schweregrad, Auswirkungen und, soweit bekannt, Kompromittierungsindikatoren. Die Erstmeldung wird damit aktualisiert.
Zwischenmeldung
Fordert das BSI einen Zwischenstand an, liefern Sie ihn. Ändert sich die Lage wesentlich, sollten Sie von sich aus nachmelden.
Abschlussmeldung
Spätestens einen Monat nach der 72-Stunden-Meldung: ausführliche Beschreibung, Art der Bedrohung oder Ursache, getroffene Abhilfemaßnahmen und grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, folgt zunächst eine Fortschrittsmeldung.
Oft kommen DSGVO und CRA dazu.
Ein Vorfall kann gleichzeitig unter mehrere Regelwerke fallen. Jede Meldung hat dann ihre eigene Stelle und ihre eigene Frist.
| Regelwerk | Wann | An wen | Fristen |
|---|---|---|---|
| NIS2 (BSIG) | Erheblicher Sicherheitsvorfall | BSI | 24 h, 72 h, 1 Monat |
| DSGVO Art. 33 | Verletzung des Schutzes personenbezogener Daten, außer es besteht voraussichtlich kein Risiko für Betroffene | Datenschutz-Aufsichtsbehörde | 72 h |
| DSGVO Art. 34 | Voraussichtlich hohes Risiko für die Betroffenen | Betroffene Personen | unverzüglich |
| Cyber Resilience Act Art. 14 (Ratgeber) | Aktiv ausgenutzte Schwachstelle oder schwerer Vorfall bei einem Produkt mit digitalen Elementen, das Sie herstellen | CSIRT bzw. ENISA-Meldeplattform | 24 h, 72 h, Abschlussbericht |
Die Meldepflichten des Cyber Resilience Act gelten seit dem 11. September 2026 und betreffen Hersteller von Hard- und Software. Zusätzlich müssen NIS2-Einrichtungen gegebenenfalls die Empfänger ihrer Dienste über erhebliche Vorfälle informieren.
So sind Sie bereit, bevor es ernst wird.
24 Stunden sind kurz, besonders an einem Freitagabend. Diese sechs Punkte sollten vorher geklärt sein.
Zuständigkeit festlegen
Wer entscheidet, ob ein Vorfall erheblich ist, und wer meldet? Mit Vertretung, auch außerhalb der Bürozeiten.
Kriterien vorab definieren
Schreiben Sie auf, ab wann ein Vorfall für Sie erheblich ist. Dann muss das im Ernstfall niemand neu überlegen.
Registrierung beim BSI
Betroffene Einrichtungen müssen sich beim BSI registrieren. Ohne Zugang zum Meldeportal geht wertvolle Zeit verloren.
Vorlagen bereithalten
Für jede Meldestufe eine Vorlage mit den Pflichtangaben. Ausfüllen geht schneller als formulieren.
Kontakte griffbereit
BSI, Datenschutzbehörde, Dienstleister, Versicherung und Geschäftsführung, gepflegt an einem Ort.
Üben
Spielen Sie einen Vorfall einmal im Jahr durch, inklusive Meldung. Lücken fallen im Test auf, nicht im Ernstfall.
Fristen im Blick mit dem Meldeassistenten.
Im Incident-Modul von WolfISMS bewerten Sie die Meldepflicht nach NIS2, DSGVO und CRA, sehen die laufenden Fristen und erhalten für jede Meldestufe einen vorbefüllten Meldetext. Jede abgegebene Meldung wird mit Zeitpunkt und Aktenzeichen dokumentiert.