NIS2-Check / Meldepflichten
NIS2-Meldepflichten: die drei Fristen
Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle in drei Stufen an das BSI melden. Die Fristen sind knapp.
Ein Kernstück des NIS2-Umsetzungsgesetzes ist die Meldepflicht bei erheblichen Sicherheitsvorfällen. Sie folgt aus § 32 BSIG und verläuft in drei Stufen mit festen Fristen.
Die drei Stufen
| Frist | Meldung | Inhalt |
|---|---|---|
| 24 Stunden | Erstmeldung, frühe Warnung | Erste Information an das BSI, dass ein erheblicher Vorfall vorliegt oder vermutet wird |
| 72 Stunden | Bestätigungs- oder Folgemeldung | Bewertung des Vorfalls mit ersten Erkenntnissen und Einordnung |
| 1 Monat | Abschlussmeldung | Ursachen, Auswirkungen und ergriffene Maßnahmen |
Was als erheblicher Vorfall gilt
Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Die Bewertung erfolgt im Einzelfall.
Wer meldet, wenn ein Dienstleister betroffen ist
Meldepflichtig ist die betroffene Einrichtung, nicht ihr IT-Dienstleister. Wenn der Vorfall bei einem Dienstleister eintritt, Ihre Dienste aber beeinträchtigt sind, bleibt die Meldung an das BSI Ihre Aufgabe. Deshalb gehören Informationspflichten des Dienstleisters mit eigenen, kürzeren Fristen in den Vertrag. Erfahren Sie erst nach 48 Stunden von einem Vorfall bei Ihrem Rechenzentrumsbetreiber, ist Ihre eigene 24-Stunden-Frist längst verstrichen.
Meldung an das BSI und Meldung nach Datenschutzrecht
Sind personenbezogene Daten betroffen, kann parallel eine Meldung an die Datenschutzaufsicht nach der Datenschutz-Grundverordnung erforderlich sein. Die beiden Wege haben unterschiedliche Adressaten, unterschiedliche Schwellen und unterschiedliche Fristen. Sinnvoll ist ein gemeinsamer Ablauf, der beide Prüfungen auslöst, statt zweier getrennter Prozesse, die im Ernstfall niemand gleichzeitig bedient.
Vorbereitung zahlt sich aus
Wer Rollen, Kontaktwege und Vorlagen vorab festlegt, kann im Ernstfall schnell melden. Der Meldeprozess ist Teil der Risikomanagementmaßnahmen nach § 30 und gehört in jeden NIS2-Fahrplan.
Ob Ihre Einrichtung überhaupt meldepflichtig ist, klärt der NIS2-Check anhand Ihrer Einstufung.
Häufige Fragen
Ab wann laufen die 24 Stunden?
Ab Kenntnis des erheblichen Vorfalls. Deshalb ist ein vorbereiteter Meldeprozess so wichtig.
Muss jede Störung gemeldet werden?
Nein. Meldepflichtig sind erhebliche Sicherheitsvorfälle. Kleinere Störungen ohne erhebliche Auswirkungen fallen nicht darunter.
An wen wird gemeldet?
An das BSI über das dafür vorgesehene Meldeportal. Die Kontaktstelle Ihrer Einrichtung koordiniert die Meldungen.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.