Comply/CheckScope prüfen

Diese Seite kann Affiliate-Links enthalten. Wenn du über diese Links einkaufst, erhalten wir möglicherweise eine kleine Provision — ohne Mehrkosten für dich. Das hilft uns, weiterhin kostenlose Inhalte zu erstellen.

NIS2 · § 32 BSIG · NISG 2026

Stand: Geprüft gegen §§ 2, 32, 38 BSIG · DVO 2024/2690 · NISG/NISV 2026Quelle

NIS2-Vorfall melden

Prüfen, ob der Vorfall erheblich ist, die drei Fristen im Blick behalten und den Meldetext fürs BSI-Portal kopieren. Jede Regel nennt ihre Quelle. Am Ende steht ein PDF-Nachweis mit Zeitpunkten und Protokoll.

Ihre Daten bleiben in diesem Browser

Alle Angaben zum Vorfall speichert das Tool nur lokal in Ihrem Browser. Es überträgt nichts an ComplyCheck. Auf einem fremden oder gemeinsam genutzten Rechner löschen Sie die Eingaben am Ende mit „Vorfall löschen".

Übungsmodus

Ein vorbereiteter Vorfall im Zeitraffer. Alle Texte tragen „ÜBUNG – NICHT ABSENDEN".

Schritt 1

Vorfall erfassen

Wo sitzt die Einrichtung?

Zeiten geben Sie in der Zeitzone Ihres Geräts ein. Die Fristen zeigt das Tool in deutscher Zeit.

Schritt 2 · Erheblichkeit

Ist der Vorfall meldepflichtig?

Ist eine Beeinträchtigung tatsächlich eingetreten?

„Nein" heißt: verhindert oder ausgeblieben, also ein Beinahevorfall.

  1. 1. Hat der Vorfall eine schwerwiegende Betriebsstörung Ihrer Dienste verursacht, oder kann er das noch?

    Gemeint sind die Dienste, die Sie als Einrichtung erbringen, nicht nur interne IT.

    Quelle: § 2 Nr. 11 BSIG lit. a

  2. 2. Hat der Vorfall finanzielle Verluste für Ihre Einrichtung verursacht, oder kann er das noch?

    Auch absehbare Kosten zählen, etwa für Wiederherstellung oder Ausfallzeit.

    Quelle: § 2 Nr. 11 BSIG lit. a

  3. 3. Sind andere Personen oder Unternehmen erheblich geschädigt, materiell oder immateriell, oder droht das?

    Kunden, Patienten, Partner. Auch Datenabfluss mit Folgen für Betroffene zählt.

    Quelle: § 2 Nr. 11 BSIG lit. b

  4. 4. Betreiben Sie eine kritische Anlage, und ist eine kritische Dienstleistung ausgefallen oder beeinträchtigt?

    Nach Auffassung des BSI ist dann immer von einem erheblichen Sicherheitsvorfall auszugehen.

    Quelle: BSI-Infopaket NIS-2-Meldepflicht (kritische Dienstleistungen) · Auslegung der Behörde, keine Norm

  5. 5. Liegt der direkte finanzielle Schaden über 500.000 € oder über 5 % Ihres Vorjahresumsatzes (der niedrigere Wert zählt)?

    Direkter Schaden für Ihre Einrichtung, auch wenn er erst droht.

    Quelle: Art. 3 Abs. 1 lit. a DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

  6. 6. Sind Geschäftsgeheimnisse abgeflossen, oder kann das passiert sein?

    Geschäftsgeheimnis im Sinne von Art. 2 Nr. 1 der Richtlinie (EU) 2016/943.

    Quelle: Art. 3 Abs. 1 lit. b DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

  7. 7. Hat der Vorfall den Tod eines Menschen verursacht, oder kann er das?

    Quelle: Art. 3 Abs. 1 lit. c DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

  8. 8. Hat der Vorfall die Gesundheit eines Menschen schwer geschädigt, oder kann er das?

    Quelle: Art. 3 Abs. 1 lit. d DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

  9. 9. Gab es einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen?

    Typisch: kompromittiertes Admin-Konto, Ransomware-Zugang, auch wenn noch nichts verschlüsselt ist.

    Quelle: Art. 3 Abs. 1 lit. e DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

  10. 10. Gab es in den letzten sechs Monaten mindestens einen weiteren Vorfall mit derselben offensichtlichen Ursache, und erreichen beide zusammen die Schadensschwelle aus der Finanzfrage?

    Alle drei Bedingungen müssen zusammen erfüllt sein.

    Quelle: Art. 3 Abs. 1 lit. f i. V. m. Art. 4 DVO (EU) 2024/2690 · Auslegung der Behörde, keine Norm

Nicht ausgeschlossen. Im Zweifel melden: die frühe Erstmeldung kann mit der 72-Stunden-Meldung korrigiert werden.

Die 72-Stunden-Meldung bestätigt oder aktualisiert die frühe Erstmeldung. Eine vorsorgliche Erstmeldung lässt sich also korrigieren, eine versäumte nicht nachholen. (§ 32 Abs. 1 Nr. 2 BSIG)

  • Vorläufige Einordnung, keine Rechtsberatung.

Schritt 3 · Timer

Fristen

Tragen Sie in Schritt 1 ein, seit wann Sie vom Vorfall wissen. Dann startet der Timer.

Schritt 4 · Text

Meldetext zum Kopieren

Verdacht auf rechtswidrige oder böswillige Handlung?

Mögliche grenzüberschreitende Auswirkungen?

Weitere Angaben, die das BSI-Portal abfragt (optional)

Vorfall unter Kontrolle?

Externe Dienstleister hinzugezogen?

Noch offen: Einrichtung, Ansprechpartner, Bezeichnung des Vorfalls, Kenntnis seit, Kurzbeschreibung, Verdacht auf rechtswidrige oder böswillige Handlung, Mögliche grenzüberschreitende Auswirkungen. Lücken stehen im Text als [offen: …]. Lieber eine erkennbar unvollständige Erstmeldung fristgerecht als eine vollständige zu spät.

Frühe Erstmeldung – NIS2 Deutschland
Rechtsgrundlage: § 32 Abs. 1 Nr. 1 BSIG

Einrichtung: [offen: Einrichtung]
Ansprechpartner: [offen: Ansprechpartner]

Bezeichnung des Vorfalls: [offen: Bezeichnung des Vorfalls]
Kenntnis seit: [offen: Kenntnis seit]
Kurzbeschreibung: [offen: Kurzbeschreibung]
Verdacht auf rechtswidrige oder böswillige Handlung: [offen: Verdacht auf rechtswidrige oder böswillige Handlung]
Mögliche grenzüberschreitende Auswirkungen: [offen: Mögliche grenzüberschreitende Auswirkungen]

Schritt 5 · optional

Freigabe durch die Geschäftsleitung

Das Gesetz verlangt keine Freigabe jeder einzelnen Meldung. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen. Wenn Sie intern trotzdem freigeben lassen: die Meldung geht vor, die Freigabe wird nachgeholt.

  • Vorab festgelegt: Wer meldet, wer gibt frei, wer vertritt nachts und am Wochenende?
  • Kontaktweg zur Geschäftsleitung, der rund um die Uhr funktioniert
  • Freigabe schriftlich dokumentiert, mit Uhrzeit
  • Keine Meldung wartet auf eine Freigabe, wenn die Frist knapp wird

Schritt 6 · Export

Nachweis und Protokoll

Der Nachweis enthält Bewertung, Fristen, Abgabezeitpunkte, Freigaben und das Protokoll, dazu jede Rechtsquelle mit Prüfstand.

Vorläufige Einordnung, keine Rechtsberatung.

Bereitschafts-Workspace: Warteliste

In Arbeit: ein Workspace für das ganze Team, mit Rollen und Vertretungen, Erinnerungen vor jeder Frist, versionierten Meldungen und einem Übungsnachweis für Prüfer. Daten in der EU, verschlüsselt, mit AVV. Tragen Sie sich ein, wir schreiben Ihnen einmal, wenn er startet.

Nur die E-Mail ist nötig. Sie bestätigen per Link (Double-Opt-in) und können den Eintrag jederzeit löschen. Kein Newsletter. Details in der Datenschutzerklärung.

Für den Finanzsektor: DORA-Melde-Assistent. Vorab planen: Incident-Response-Plan.

Häufige Fragen

Ab wann läuft die 24-Stunden-Frist für die frühe Erstmeldung?
Ab dem Zeitpunkt, an dem Sie Kenntnis von einem erheblichen Sicherheitsvorfall haben (§ 32 Abs. 1 Nr. 1 BSIG). Stellt sich ein Vorfall erst später als erheblich heraus, beginnt die Frist mit dieser Erkenntnis. Dokumentieren Sie deshalb den Zeitpunkt jeder Bewertung.
Wohin melde ich einen erheblichen Sicherheitsvorfall in Deutschland?
An die gemeinsame Meldestelle von BSI und BBK, praktisch über das BSI-Portal. Die Anmeldung läuft über Mein Unternehmenskonto mit ELSTER-Organisationszertifikat. Wer noch nicht registriert ist, meldet über das Online-Formular des BSI. Eine Schnittstelle für automatische Meldungen hat das BSI nicht veröffentlicht.
Was muss in die frühe Erstmeldung?
Das Gesetz verlangt nur zwei Angaben: ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob er grenzüberschreitende Auswirkungen haben könnte. Die 72-Stunden-Meldung bestätigt oder aktualisiert das und ergänzt eine erste Bewertung mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren.
Muss die Geschäftsleitung jede Meldung freigeben?
Nein. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen. Eine Freigabe einzelner Meldungen sieht das Gesetz nicht vor. Wer intern trotzdem freigeben lässt, darf damit keine Frist reißen: Die Meldung geht vor, die Freigabe wird dokumentiert, sobald sie vorliegt.
Wann gilt ein Vorfall als erheblich?
Nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann, oder andere erheblich schädigt. Für digitale Anbieter wie Cloud, Rechenzentren und MSP konkretisiert die Durchführungsverordnung (EU) 2024/2690 das verbindlich. Für andere Sektoren geht das BSI von einem erheblichen Vorfall aus, wenn mindestens ein Kriterium aus Art. 3 Abs. 1 dieser Verordnung erfüllt ist.
Muss ich einen Beinahevorfall melden?
Nein, die Meldepflicht nach § 32 BSIG betrifft eingetretene erhebliche Sicherheitsvorfälle. Ein Beinahevorfall ist ein Ereignis, dessen Beeinträchtigung verhindert wurde oder ausgeblieben ist (§ 2 Nr. 1 BSIG). Die NIS2-Richtlinie sieht dafür freiwillige Meldungen vor (Art. 30).
Was gilt in Österreich?
Seit 01.10.2026 das NISG 2026. Gemeldet wird an das zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT: Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht einen Monat nach der Vorfallsmeldung (§ 34 Abs. 2 NISG 2026). Schwellen für die Erheblichkeit stehen in § 5 NISV 2026. Wählen Sie im Tool „Österreich“.
Werden meine Angaben an ComplyCheck übertragen?
Nein. Das Tool speichert alle Angaben zum Vorfall nur im Speicher Ihres Browsers (localStorage). Löschen können Sie sie jederzeit mit „Vorfall löschen“. Gezählt wird lediglich, dass das Tool genutzt wurde, ohne Cookies und ohne Inhalte.