BSI-Portal: Wie meldet man einen NIS2-Vorfall mit MUK und ELSTER?

Stand: 14.10.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was Sie für die Anmeldung brauchen

Das BSI-Portal nutzt keine eigenen Passwörter. Die Anmeldung erfolgt über Mein Unternehmenskonto, das auf ELSTER aufsetzt. Bei jedem Login wird die Zertifikatsdatei mit ihrem Passwort verlangt. Das ist dieselbe Technik, mit der Unternehmen ihre Steuererklärungen an die Finanzverwaltung übermitteln.

Laut den FAQ des BSI zum Portal läuft die Einrichtung in vier Schritten:

1. ELSTER-Organisationszertifikat beantragen. Die Aktivierungsdaten kommen per E-Mail.
2. Aktivierungscode abwarten. Er geht per Post an die Adresse, die bei der Steuerverwaltung hinterlegt ist. Das BSI nennt dafür in der Regel mindestens fünf Werktage.
3. Zertifikatsdatei erstellen. Das ist kostenlos. Jedes Zertifikat gehört zu genau einem Benutzerkonto. Pro Unternehmen sind bis zu 5.000 Konten möglich, das BSI empfiehlt eines pro Mitarbeitendem.
4. Im BSI-Portal registrieren. Die Stammdaten aus MUK übernimmt das Portal automatisch.

Ein Unternehmenssitz in Deutschland ist laut BSI nicht erforderlich. Eine deutsche Steuernummer dagegen schon. Für Einrichtungen ohne deutsche Steuernummer nennt die FAQ keinen Weg; wer in dieser Lage ist, klärt das vorab mit dem Portal-Support.

Registrierung: Pflicht, Frist und Rollen

Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Ändern sich die Angaben, ist das binnen zwei Wochen mitzuteilen (§ 33 Abs. 5 BSIG). Die Registrierung ist zugleich die Voraussetzung, um im Portal Sicherheitsvorfälle zu melden: Laut BSI-FAQ muss die Einrichtung dafür zuvor im Portal registriert sein. Für Einrichtungen, die noch nicht registriert sind, nennt das BSI-Infopaket zur Meldepflicht ein Online-Meldeformular.

Im Portal gibt es zwei Rollen:

Das BSI empfiehlt mindestens zwei Owner. Fällt der einzige Owner aus, muss die Organisation über portal-support@bsi.bund.de einen neuen bestimmen lassen. Telefonischen Support bietet das BSI laut FAQ nicht an. Im Vorfall um zwei Uhr nachts hilft das niemandem, deshalb gehört die Vertretung vorab geregelt.

Externe Owner sind möglich. Ein Systemhaus oder SOC-Dienstleister kann also Zugang erhalten, wenn ein Owner der Einrichtung ihn einlädt. Die Meldepflicht bleibt trotzdem bei der Einrichtung.

Die Erstmeldung im Portal

Gesetzlich verlangt die frühe Erstmeldung nur zwei Angaben: ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob er grenzüberschreitende Auswirkungen haben könnte (§ 32 Abs. 1 Nr. 1 BSIG). Das Portal fragt deutlich mehr ab. Laut der BSI-Anleitung zur Meldung sind das:

• Beschreibung: Störung, Auswirkung, erwartete Dauer, vermutete oder tatsächliche Ursache, und ob eine Beeinträchtigung verhindert wurde
• Lageeinschätzung in den Ampelstufen Rot, Orange, Gelb und Grau, die das Portal jeweils definiert
• Zeitangaben: Eintritt, Kenntniserlangung, ob die Störung anhält, Zeitpunkt des letzten Sachstands
• Ausbreitung: grenzüberschreitende Wirkung, geografische Ausbreitung, betroffene Sektoren und Einrichtungen
• Ursache: Verdacht auf böswillige Handlung, ob der Vorfall unter Kontrolle ist, ob externe Dienstleister hinzugezogen wurden
• Maßnahmen: ergriffene technische und organisatorische Maßnahmen, Erkennungsweg, interne Vorgangsnummer
• Meldende Person mit Kontaktdaten für Rückfragen

Abgeschickt wird mit „Erstmeldung senden". Nicht jedes Feld muss in der ersten Stunde belastbar sein. Was noch offen ist, kennzeichnen Sie als vorläufig. Die 72-Stunden-Meldung bestätigt oder aktualisiert die Angaben (§ 32 Abs. 1 Nr. 2 BSIG).

Folgemeldung und Abschlussmeldung

Für die zweite und dritte Stufe legt man keinen neuen Vorgang an. Unter „Meine Sicherheitsvorfälle" wählen Sie den Vorfall und öffnen über das Aktualisierungssymbol das Formular, das mit den Angaben der Erstmeldung vorausgefüllt ist. Das BSI nennt die 72-Stunden-Meldung im Portal Folgemeldung; im Gesetz heißt sie schlicht „Meldung".

Zusätzlich zur Erstmeldung fragt das Portal dann unter anderem ab:

• betroffene Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit) und bei Angriffen, ob dieser gerichtet, ungerichtet oder unbekannt ist
• ausgenutzte Schwachstellen mit Produkt, System, Hersteller und Mitigation
• Strafverfolgung: Wunsch nach Weiterleitung an das BKA, Strafanzeige, ermittelter Täter
• Zusammenhang mit anderen Meldungen, Zahl der Angriffe, Meldungen an andere Behörden, Hilfeersuchen
• Auswirkungen auf die Dienstleistung: Art der Beeinträchtigung, betroffene IT-Assets, betroffene Nutzer, Reputations- und finanzieller Schaden

Die Abschlussmeldung setzen Sie über ein Kontrollkästchen. Voraussetzung ist laut BSI, dass der Vorfall bewältigt ist und die Lageeinschätzung auf Grau steht. Sie ist spätestens einen Monat nach der 72-Stunden-Meldung fällig (§ 32 Abs. 1 Nr. 4 BSIG). Dauert der Vorfall dann noch an, geht stattdessen eine Fortschrittsmeldung raus (§ 32 Abs. 2 BSIG). Abgeschickt wird jeweils mit „Meldung aktualisieren".

Was das Portal nicht abnimmt

Eine Schnittstelle, über die ein Ticketsystem oder SIEM Meldungen automatisch einreicht, hat das BSI nicht veröffentlicht. Gemeldet wird über das Webformular. In der Praxis heißt das: Den Text bereitet man außerhalb des Portals vor und kopiert ihn in die Felder.

Genau dafür ist der NIS2-Melde-Assistent gebaut. Er zählt die drei Fristen ab Kenntnis herunter, prüft die Erheblichkeit mit Quellenangabe und erzeugt den Meldetext in der Reihenfolge, in der das Portal fragt. Fehlende Angaben stehen sichtbar als Lücke im Text. Alle Eingaben bleiben im Browser.

Ebenfalls nicht im Portal: die Meldung einer Datenpanne nach Art. 33 DSGVO. Sie geht binnen 72 Stunden an die zuständige Datenschutzaufsicht und läuft unabhängig von der BSI-Meldung.

Checkliste vor dem ersten Vorfall

1. Zertifikat beantragt und aktiviert, Aktivierungsbrief eingegangen, Zertifikatsdatei an einem Ort abgelegt, den auch die Vertretung erreicht.
2. Einrichtung registriert innerhalb der Drei-Monats-Frist aus § 33 BSIG, Angaben aktuell.
3. Mindestens zwei Owner und je ein Standard-Nutzer für jede Person, die nachts oder am Wochenende melden soll.
4. Login getestet von dem Rechner aus, der im Vorfall verfügbar ist. Ein Rechner im verschlüsselten Netz hilft dann nicht.
5. Meldetexte vorbereitet für die häufigsten Vorfallsarten, mit den Portalfeldern als Gliederung.
6. Übung mit einem simulierten Vorfall, bei der die Erstmeldung einmal vollständig ausgefüllt, aber nicht abgeschickt wird.

FAQ

Kann ein IT-Dienstleister für uns melden?

Ein Owner Ihrer Einrichtung kann externe Personen als Owner hinzufügen; Standard-Nutzer dürfen Vorfälle melden. Die Pflicht nach § 32 BSIG bleibt bei Ihrer Einrichtung, und die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG überwachen (§ 38 Abs. 1 BSIG).

Muss die Geschäftsleitung jede Meldung freigeben?

Das verlangt das Gesetz nicht. § 38 BSIG betrifft die Umsetzung und Überwachung der Risikomanagementmaßnahmen. Wer intern eine Freigabe vorsieht, sollte festlegen, dass die Meldung bei knapper Frist ohne sie rausgeht.

Was passiert, wenn wir uns im Vorfall noch nicht anmelden können?

Für noch nicht registrierte Einrichtungen nennt das BSI-Infopaket ein Online-Meldeformular. Die Frist läuft trotzdem ab Kenntnis. Eine versäumte oder verspätete Meldung ist nach § 65 Abs. 2 Nr. 4 BSIG bußgeldbewehrt.

Gilt das auch für Unternehmen in Österreich?

Nein. In Österreich gilt seit 01.10.2026 das NISG 2026, gemeldet wird an das zuständige CSIRT. Die Unterschiede stehen im Artikel NIS2-Meldung in Österreich. Im Einzelfall, etwa bei Niederlassungen in mehreren Staaten, sollten Sie einen Fachanwalt für IT-Recht einbinden.