NIS2-Vorfallmeldung: Die 24-Stunden-Pflicht im Detail
Artikel 23 der NIS2-Richtlinie führt eine der schärfsten Meldepflichten in der Geschichte der europäischen Cybersicherheitsregulierung ein. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständige Behörde melden — in Deutschland an das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Die dreistufige Melde-Timeline
NIS2 schreibt einen gestaffelten Meldeprozess vor:
Stufe 1: Frühwarnung (24 Stunden)
- Frist: Innerhalb von 24 Stunden nach Kenntnis des Vorfalls
- Inhalt: Erste Einschätzung, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückzuführen ist
- Zweck: Schnelle Reaktionsfähigkeit der Behörden, insbesondere bei grenzüberschreitenden Vorfällen
Stufe 2: Vorfallmeldung (72 Stunden)
- Frist: Innerhalb von 72 Stunden nach Kenntnis
- Inhalt: Aktualisierung der Frühwarnung mit erster Bewertung des Schweregrads, der Auswirkungen und der Kompromittierungsindikatoren (IoC)
- Zweck: Detaillierte Lagebeurteilung für koordinierte Gegenmaßnahmen
Stufe 3: Abschlussbericht (1 Monat)
- Frist: Spätestens einen Monat nach der Vorfallmeldung
- Inhalt: Detaillierte Beschreibung des Vorfalls, Ursachenanalyse, ergriffene Maßnahmen und grenzüberschreitende Auswirkungen
- Zweck: Langfristige Analyse und Prävention
Was ist ein „erheblicher Vorfall"?
Nicht jeder Sicherheitsvorfall löst die Meldepflicht aus. Ein Vorfall gilt als erheblich, wenn er:
| Kriterium | Beispiel |
|---|---|
| Schwere Betriebsstörung verursacht | Produktionsausfall > 4 Stunden |
| Finanzielle Verluste über Bagatellgrenze | Direkter Schaden > 100.000 EUR |
| Andere Personen/Einrichtungen betrifft | Kundendaten kompromittiert |
| Erheblichen Sachschaden verursacht | Zerstörung von IT-Infrastruktur |
Beispiele für meldepflichtige Vorfälle
- Ransomware-Angriff mit Verschlüsselung produktiver Systeme
- Datenleck mit personenbezogenen Daten von Kunden
- DDoS-Angriff der den Geschäftsbetrieb unterbricht
- Supply-Chain-Kompromittierung über einen Softwarelieferanten
- Unbefugter Zugriff auf kritische Systeme
Nicht meldepflichtig
- Einzelner Phishing-Versuch ohne Erfolg
- Schwachstelle erkannt aber nicht ausgenutzt
- Geplante Wartungsfenster
An wen melden?
| Adressat | Rolle |
|---|---|
| BSI | Zentrale Meldestelle in Deutschland |
| Zuständige Aufsichtsbehörde | Je nach Sektor (z.B. BaFin für Finanzsektor) |
| CERT-Bund | Technische Unterstützung bei der Vorfallbewältigung |
| Betroffene Empfänger | Bei Gefahr für Kunden: proaktive Information |
Hinweis: Das BSI wird eine zentrale Meldeplattform bereitstellen. Bis dahin gelten die bestehenden Meldekanäle.
Vorlage: Frühwarnung in 24 Stunden
Folgende Informationen sollte Ihre Frühwarnung enthalten:
FRÜHWARNUNG — NIS2 Artikel 23 Abs. 4a
Organisation: [Name, Registrierungsnummer]
Meldende Person: [Name, Funktion, Kontakt]
Zeitpunkt der Kenntnisnahme: [Datum, Uhrzeit]
Art des Vorfalls:
□ Ransomware □ DDoS □ Datenleck □ Unbefugter Zugriff
□ Supply-Chain □ Phishing (erfolgreich) □ Sonstiges
Erste Einschätzung:
- Betroffene Systeme: [Beschreibung]
- Mutmaßlich böswillig: □ Ja □ Nein □ Unklar
- Grenzüberschreitend: □ Ja □ Nein □ Unklar
- Geschätzte Auswirkung: □ Gering □ Mittel □ Hoch □ Kritisch
Ergriffene Sofortmaßnahmen: [Beschreibung]
Unterstützungsbedarf: □ Ja (welcher) □ Nein
Interner Incident-Response-Prozess
Die goldene Stunde (0–60 Minuten)
- Erkennung — SIEM-Alert, Mitarbeitermeldung oder externer Hinweis
- Erstbewertung — Ist es ein erheblicher Vorfall?
- Eskalation — Incident-Response-Team aktivieren
- Eindämmung — Sofortmaßnahmen zur Schadensbegrenzung
Stunde 1–24: Frühwarnung vorbereiten
- Dokumentation starten — Alles protokollieren, nichts löschen
- Forensische Sicherung — Beweise sichern vor Systembereinigung
- Frühwarnung ausfüllen — Template verwenden
- BSI-Meldung absenden — Frist einhalten!
Stunde 24–72: Detaillierte Analyse
- Technische Analyse vertiefen — IoC, Angriffsvektoren, betroffene Daten
- Auswirkungsanalyse — Finanzieller Schaden, betroffene Personen
- Vorfallmeldung erstellen und einreichen
Woche 1–4: Abschlussbericht
- Root Cause Analysis durchführen
- Lessons Learned dokumentieren
- Verbesserungsmaßnahmen definieren und umsetzen
- Abschlussbericht an das BSI übermitteln
Häufige Fehler bei der Vorfallmeldung
| Fehler | Konsequenz | Lösung |
|---|---|---|
| Verspätete Meldung | Bußgeld + verschärfte Aufsicht | Automatisierte Eskalationsprozesse |
| Unvollständige Angaben | Rückfragen verzögern Bearbeitung | Standardisierte Vorlagen verwenden |
| Keine Dokumentation | Forensik unmöglich | Ab Minute 1 protokollieren |
| Systeme voreilig bereinigt | Beweisvernichtung | Erst sichern, dann bereinigen |
| Nur IT informiert | Rechtliche Pflichten versäumt | Cross-funktionales Incident-Team |
Vorbereitung ist alles
Die 24-Stunden-Frist ist nur einhaltbar, wenn Ihr Unternehmen vorbereitet ist:
- Incident-Response-Plan dokumentiert und getestet
- Bereitschaftsdienst definiert (wer wird nachts um 3 Uhr angerufen?)
- Meldevorlagen vorbereitet und zugänglich
- Regelmäßige Übungen (Tabletop Exercises) durchgeführt
- Monitoring aktiv — Sie können nur melden, was Sie auch erkennen
Zusammenspiel mit der DSGVO
Ein Sicherheitsvorfall kann beide Meldepflichten auslösen, wenn er zugleich eine meldepflichtige Verletzung des Schutzes personenbezogener Daten darstellt. Nach Artikel 33 DSGVO meldet der Verantwortliche diese ohne unangemessene Verzögerung und möglichst binnen 72 Stunden ab Kenntnis, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist:
| NIS2 | DSGVO (Art. 33) | |
|---|---|---|
| Frist | 24h / 72h / 1 Monat | Möglichst 72h ab Kenntnis der meldepflichtigen Datenschutzverletzung |
| Adressat | BSI | Landesdatenschutzbehörde |
| Schwelle | Erheblicher Sicherheitsvorfall | Verletzung personenbezogener Daten, sofern ein Risiko nicht unwahrscheinlich ist |
Praxistipp: Nutzen Sie einen einheitlichen Meldeprozess für beide Pflichten. Die erste Stunde der Bewertung entscheidet, welche Meldewege aktiviert werden müssen.
Fazit
Die NIS2-Meldepflicht erfordert organisatorische Vorbereitung, nicht nur technische. Wer erst beim Vorfall anfängt, den Meldeprozess aufzubauen, wird die 24-Stunden-Frist nicht einhalten können. Investieren Sie jetzt in Prozesse, Vorlagen und Übungen.
Scannen Sie Ihre Website kostenlos mit WarDek — OWASP, NIS2, DSGVO, AI Act Compliance in einem Scan.