Ein Sicherheitsvorfall tritt ein: Innerhalb von 24 Stunden muss Ihr Unternehmen entscheiden, ob eine Meldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) erforderlich ist.
Genau dieser Zeitdruck macht die NIS-2-Meldepflicht für viele Organisationen zur praktischen Herausforderung. Denn wenn Informationen noch unvollständig sind, Zuständigkeiten nicht klar geregelt wurden und eine Einordnung erst unter Krisenbedingungen erfolgt, steigt das Risiko für Fehlentscheidungen und Verzögerungen.
Mit der NIS-2-Richtlinie rücken deutlich mehr Unternehmen als bisher in den Fokus regulatorischer Anforderungen. Für betroffene Einrichtungen bedeutet das: Sicherheitsvorfälle müssen schneller bewertet, intern abgestimmt und fristgerecht gemeldet werden. Damit rücken zentrale Fragen in den Fokus: Wann ist ein Vorfall meldepflichtig, welche Fristen gelten und wie lassen sich die gesetzlichen Anforderungen im Ernstfall zuverlässig einhalten? Diesen Fragen widmet sich Dr. Nicole Trebel, Senior Security Consultant bei der usd AG, in diesem Artikel.
Was bedeutet die NIS-2-Meldepflicht für betroffene Unternehmen?
Die NIS-2-Meldepflicht ist ein zentraler Bestandteil der europäischen Cybersicherheitsstrategie: Ziel ist es, erhebliche Sicherheitsvorfälle frühzeitig sichtbar zu machen, damit das BSI die Lage schneller bewerten, Warnungen gezielt aussprechen und Auswirkungen auf weitere Organisationen besser eingrenzen kann. Gleichzeitig verpflichtet NIS-2 Unternehmen dazu, Vorfälle strukturiert zu erfassen, nachvollziehbar zu bewerten und belastbar zu kommunizieren.
In der Praxis geht es deshalb nicht nur um die Frage, ob gemeldet werden muss. Entscheidend ist, ob Unternehmen bereits im Vorfeld klare Kriterien, festgelegte Rollen und einen funktionierenden Meldeprozess definiert haben. Genau daran fehlt es im Ernstfall häufig und dort entsteht unter NIS-2 der größte Handlungsdruck.
Wann ist ein Vorfall gemäß NIS-2 meldepflichtig?
Nicht jeder IT-Sicherheitsvorfall löst automatisch eine Meldepflicht aus. Maßgeblich ist, ob es sich um einen erheblichen Sicherheitsvorfall handelt und welche Auswirkungen er auf Ihr Unternehmen haben kann. Ein Vorfall gilt insbesondere dann als erheblich, wenn*:
- er zu schwerwiegenden Betriebsstörungen der Dienste führen kann,
- finanzielle Schäden drohen oder
- Dritte beeinträchtigt werden.
*Konkrete Schwellenwerte gelten für die kleine Sektorengruppe unter NIS-2, die in den Anwendungsbereich der Durchführungsverordnung (EU) 2024/2690 fällt.
Wichtig ist dabei: Bereits die Möglichkeit solcher Auswirkungen kann ausreichen. Unternehmen müssen also nicht warten, bis ein Vorfall vollständig aufgeklärt ist. Vielmehr kommt es auf eine frühe, nachvollziehbare Ersteinschätzung an. Dies geschieht häufig unter hohem Zeitdruck und auf Basis noch unvollständiger Informationen.
Genau hier scheitern in der Praxis viele Organisationen. Es fehlen abgestimmte Kriterien für die Bewertung, Eskalationswege sind nicht eindeutig definiert und die Entscheidung, ob gemeldet werden muss, wird erst im Krisenmodus getroffen. Deshalb sollten Unternehmen Vorfälle im Zweifel eher frühzeitig als potenziell meldepflichtig einordnen und intern schnell prüffähig machen.
Wer fällt unter die NIS-2-Meldepflicht?
Die NIS-2-Meldepflicht richtet sich an sogenannte „wichtige“ und „besonders wichtige“ Einrichtungen. Dazu zählen Unternehmen aus einer Vielzahl regulierter Sektoren, darunter unter anderem Energie, Verkehr, Gesundheit, IT-Services oder digitale Dienste. Auch Betreiber kritischer Anlagen unterliegen den entsprechenden Meldepflichten.
Im Vergleich zu früheren Regelungen wird der Anwendungsbereich deutlich ausgeweitet: Auch mittelgroße Unternehmen können betroffen sein, sofern sie bestimmte Schwellenwerte hinsichtlich Mitarbeiterzahl, Jahresumsatz oder Bilanzsumme überschreiten. In der Praxis bedeutet das, dass viele Organisationen erstmals in den Fokus regulatorischer Anforderungen im Bereich Cyber Security geraten. Ob ein Unternehmen tatsächlich unter den Anwendungsbereich von NIS-2 fällt, sollte jedoch im Einzelfall sorgfältig geprüft werden.
Wie und wann muss gemäß NIS-2 gemeldet werden?
Erhebliche Sicherheitsvorfälle müssen unverzüglich nach Kenntnisnahme an das BSI gemeldet werden. In Deutschland erfolgt die Meldung zentral über das BSI-Melde- und Informationsportal. Wichtig ist hierbei: KRITIS-Betreiber melden weiterhin über das MIP.
Die Meldelogik folgt dabei einem klar definierten Ablauf mit mehreren aufeinander aufbauenden Meldungen. Dabei steht die frühzeitige Information des BSI im Vordergrund:
Frühwarnung (innerhalb von 24 Stunden)
Bereits innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Sicherheitsvorfalls müssen Unternehmen eine erste Meldung an das BSI abgeben. Diese Frühwarnung informiert das BSI frühzeitig über den Vorfall und ermöglicht eine erste Einschätzung. Zu diesem Zeitpunkt müssen noch nicht alle Details vorliegen. Entscheidend ist, die bereits verfügbaren Informationen schnell weiterzugeben.
In dieser ersten Meldung geben Unternehmen insbesondere an, ob der Vorfall möglicherweise auf böswillige oder rechtswidrige Handlungen zurückzuführen ist und ob Auswirkungen über die eigene Organisation hinaus zu erwarten sind, etwa auf andere Unternehmen oder über Ländergrenzen hinweg.
Folgemeldung (innerhalb von 72 Stunden)
Innerhalb von 72 Stunden muss die erste Meldung durch weitergehende Informationen ergänzt werden. Unternehmen konkretisieren dann ihre bisherigen Erkenntnisse und liefern eine belastbarere Einschätzung zu Schweregrad, Ursache, betroffenen Systemen und bereits eingeleiteten Gegenmaßnahmen.
Auch eine erste Bewertung der möglichen Auswirkungen auf den eigenen Betrieb oder auf Dritte gehört in diese Meldestufe. Die Qualität dieser Einschätzung hängt wesentlich davon ab, ob technische, organisatorische und kommunikative Zuständigkeiten vorab sauber festgelegt wurden.
Abschlussmeldung (spätestens einen Monat nach Erstmeldung)
Spätestens einen Monat nach der Erstmeldung übermitteln Unternehmen den Abschlussbericht. Dieser dient dazu, den Vorfall vollständig aufzuarbeiten und strukturiert zu dokumentieren. Sollte der Vorfall zu diesem Zeitpunkt noch andauern, können weitere Folgemeldungen an das BSI erforderlich sein.
In der Abschlussmeldung beschreiben Unternehmen den Vorfall detailliert, bewerten seine tatsächlichen Auswirkungen, analysieren die Ursache und legen die Maßnahmen dar, die sie im Rahmen der Vorfallbehandlung ergriffen haben. Auch deshalb lohnt es sich, den Meldeprozess nicht isoliert zu betrachten, sondern eng mit Incident Response, Krisenmanagement und interner Kommunikation zu verzahnen.
Welche Herausforderungen bestehen bei der NIS-2-Meldepflicht?
Die eigentliche Herausforderung liegt meist nicht in der technischen Übermittlung einer Meldung, sondern in der schnellen und belastbaren Einordnung des Vorfalls. Wer bewertet die Erheblichkeit? Welche Informationen liegen bereits vor? Wer entscheidet über die Meldung? Und wie werden Management, Fachbereiche, IT und gegebenenfalls Rechtsabteilung oder Datenschutzbeauftragte eingebunden?
Wenn diese Fragen erst im Ernstfall geklärt werden, wird die 24-Stunden-Frist schnell zur organisatorischen Belastungsprobe. Unternehmen sollten deshalb frühzeitig definieren, wie Sicherheitsvorfälle klassifiziert, eskaliert und dokumentiert werden. Nur so lassen sich Meldepflichten sicher erfüllen, ohne unter Zeitdruck improvisieren zu müssen.
Was Unternehmen jetzt tun sollten
Die NIS‑2-Meldepflicht sollte nicht isoliert betrachtet werden. Vielmehr gilt es, die Meldeanforderungen mit bestehenden Prozessen aus Incident Response, Krisenkommunikation und gegebenenfalls Datenschutz abzustimmen, um Vorfälle effizient zu bearbeiten und fristgerecht melden zu können.
Wir unterstützen Sie dabei, die Anforderungen praxisnah und effizient umzusetzen. Gemeinsam definieren wir klare Melde- und Eskalationswege, integrieren sie in bestehende Abläufe und bereiten Ihre Organisation gezielt auf den Ernstfall vor. So können Sie Vorfälle sicher bewerten, schnell reagieren und gesetzliche Fristen zuverlässig einhalten. Sprechen Sie uns gerne an.
Zur Person: Dr. Nicole Trebel
Dr. Nicole Trebel ist Senior Security Consultant bei der usd AG. Sie unterstützt Unternehmen bei der Umsetzung von Anforderungen aus NIS-2, DORA und ISO 27001. Dabei begleitet sie Organisationen bei der Weiterentwicklung ihrer Informationssicherheit und dem Aufbau eines wirksamen Informationssicherheitsmanagements.
NIS-2-Meldepflicht: Das Wichtigste in Kürze
Für wen gilt die NIS-2-Meldepflicht?
Für wichtige und besonders wichtige Einrichtungen.
Was muss gemeldet werden?
Ein erheblicher Vorfall gilt insbesondere, wenn er zu schwerwiegenden Betriebsstörungen der Dienste führt oder führen kann, finanzielle Schäden drohen oder Dritte beeinträchtigt werden.
Welche Fristen gelten bei NIS-2?
Innerhalb von 24 Stunden Frühwarnung, innerhalb von 72 Stunden Folgemeldung und spätestens einen Monat nach Erstmeldung Abschlussmeldung.
Über welche Plattform wird gemeldet?
Zentral über das BSI-Melde- und Informationsportal.
