Welche Fristen gelten bei NIS2-Incident-Meldungen?

Stand: 14.10.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Worum es geht

Art. 23 NIS2 löst die alte „unverzügliche Meldung" der NIS-1-Welt durch ein dreistufiges, fristen-getriebenes Verfahren ab. Die Logik dahinter: Behörden brauchen früh genug Signal, um Sektor-übergreifende Risiken zu erkennen, aber gleichzeitig genug Zeit, damit das gemeldete Unternehmen den Vorfall sauber analysieren kann.

Gemeldet wird nach § 32 Abs. 1 BSIG über die gemeinsame Meldestelle von BSI und BBK. Das BSI stellt die eingegangenen Meldungen unverzüglich den zuständigen Aufsichtsbehörden des Bundes zur Verfügung (§ 32 Abs. 5 BSIG). Betreiber kritischer Anlagen übermitteln zusätzlich Angaben zur Art der betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen auf diese (§ 32 Abs. 3 BSIG). Nicht nach § 32 BSIG melden: Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 (DORA), die nach DORA melden, sowie die Gesellschaft für Telematik und bestimmte Betreiber von Diensten der Telematikinfrastruktur (§ 28 Abs. 6 BSIG); Betreiber kritischer Anlagen, soweit sie eine Anlage für solche Finanzunternehmen betreiben (§ 28 Abs. 7 BSIG); Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, die nach § 168 TKG an Bundesnetzagentur und BSI melden, sowie Betreiber von Energieversorgungsnetzen und Energieanlagen nach §§ 5c bis 5e EnWG, deren Meldepflicht an die Meldestelle nach § 32 BSIG in § 5d Abs. 3 EnWG geregelt ist (§ 28 Abs. 5 BSIG). Die Meldepflicht nach § 32 Abs. 1 gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 Satz 2 BSIG).

Stufe 1: Frühwarnung (24 Stunden)

Sobald die Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt, muss binnen 24 Stunden eine frühe Erstmeldung an die gemeinsame Meldestelle gehen (§ 32 Abs. 1 Nr. 1 BSIG). Gesetzlich vorgeschriebener Inhalt:

• Angabe, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist.
• Angabe, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte.

Die Einzelheiten des Meldeverfahrens und der Meldungsinhalte legt das BSI fest (§ 32 Abs. 4 BSIG); das Meldeformular kann daher weitere Angaben abfragen.

„Erheblich" bedeutet nach § 2 Nr. 11 BSIG (entsprechend Art. 23 Abs. 3 NIS2): Der Vorfall hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann sie verursachen, oder er hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen. Das gilt, sofern keine Rechtsverordnung nach § 56 Abs. 5 BSIG den Begriff konkretisiert.

Die Frühwarnung darf bewusst dünn sein. Das Gesetz fordert keine vollständige Analyse, es geht um ein frühes Signal an die Meldestelle. Das BSI bestätigt den Eingang unverzüglich und nach Möglichkeit innerhalb von 24 Stunden und bietet auf Ersuchen Orientierungshilfen oder operative Beratung an (§ 36 Abs. 1 BSIG).

Frist-Beginn: Der Countdown läuft ab dem Zeitpunkt, ab dem die Einrichtung „Kenntnis erlangt". Das Gesetz definiert diesen Zeitpunkt nicht näher. Wann aus einem Alarm Kenntnis von einem erheblichen Vorfall wird, sollte die Einrichtung vorab festlegen und im Einzelfall dokumentieren, damit der Fristbeginn nachvollziehbar ist.

Stufe 2: Vorfallmeldung (72 Stunden)

Innerhalb von 72 Stunden nach Kenntnis muss eine erweiterte Meldung folgen, die die Frühwarnung präzisiert. Inhalte:

• Bestätigung oder Aktualisierung der Angaben aus der frühen Erstmeldung.
• Erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen.
• Gegebenenfalls Kompromittierungsindikatoren (Indicators of Compromise, IoC).
• Nicht gesetzlich gefordert, aber hilfreich: bereits getroffene Eindämmungsmaßnahmen.

Die 72-Stunden-Frist überlappt mit der 24-Stunden-Frist. In der Praxis arbeiten Unternehmen mit zwei getrennten Meldungen, die aufeinander aufbauen: zuerst die kurze Frühwarnung, dann der ausführlichere Bericht.

Falls der Vorfall personenbezogene Daten betrifft, läuft parallel die DSGVO-72h-Frist an die Datenschutz-Aufsichtsbehörde nach Art. 33 DSGVO. Die beiden Fristen sind eigenständig, eine BSI-Meldung ersetzt nicht die DSGVO-Meldung und umgekehrt.

Stufe 3: Abschlussbericht (1 Monat)

Spätestens einen Monat nach der Vorfallmeldung muss der Abschlussbericht folgen. Inhalte gemäß Art. 23 Abs. 4 lit. d:

• Detaillierte Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen.
• Art der Bedrohung und Ursachen, die den Vorfall wahrscheinlich ausgelöst haben.
• Angewandte und laufende Eindämmungs-Maßnahmen.
• Grenzüberschreitende Auswirkungen, falls zutreffend.

Dauert der Vorfall zu diesem Zeitpunkt noch an, legt die Einrichtung statt der Abschlussmeldung eine Fortschrittsmeldung vor; die Abschlussmeldung folgt nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 2 BSIG). Eine feste Frist dafür nennt das BSIG nicht, die Richtlinie sieht einen Monat nach Abschluss der Bearbeitung vor (Art. 23 Abs. 4 lit. e NIS2).

An wen die Meldung geht

In Deutschland geht die Meldung an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG). Konkret:

• Meldeweg: Die Einzelheiten des Meldeverfahrens legt das BSI im Einvernehmen mit dem BBK fest und veröffentlicht sie auf seiner Website (§ 32 Abs. 4 BSIG).
• Weitergabe: Das BSI stellt die Meldungen unverzüglich den zuständigen Aufsichtsbehörden des Bundes zur Verfügung (§ 32 Abs. 5 BSIG). Finanzunternehmen nach DORA melden nicht nach § 32 BSIG, sondern nach DORA (§ 28 Abs. 6 BSIG).
• Information an Empfänger: Das BSI kann anordnen, dass die Einrichtung die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall unterrichtet, der die Diensterbringung beeinträchtigen könnte (§ 35 Abs. 1 BSIG). Einrichtungen bestimmter Sektoren (u.a. Finanzwesen, digitale Infrastruktur, digitale Dienste) müssen potenziell betroffene Empfänger über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen informieren, wenn deren Interessen überwiegen (§ 35 Abs. 2 BSIG).
• Öffentliche Information: Ist eine Sensibilisierung der Öffentlichkeit erforderlich oder liegt die Offenlegung anderweitig im öffentlichen Interesse, kann das BSI die Einrichtung nach Anhörung verpflichten, die Öffentlichkeit zu informieren, oder dies selbst tun (§ 36 Abs. 2 BSIG).

Was „Kenntnis" rechtlich bedeutet

Die 24-Stunden-Frist hängt am Begriff „Kenntnis erlangt". Das ist mehr als ein einzelner Log-Alarm, aber weniger als ein vollständig analysierter Vorfall.

Eine gesetzliche Konkretisierung gibt es nicht. Vertretbar ist, auf den Zeitpunkt abzustellen, zu dem nach einer ersten Triage ein plausibler Verdacht auf einen erheblichen Vorfall besteht. Wer die Bewertung verzögert, riskiert eine Fristverletzung; eine frühe Erstmeldung darf dagegen vorläufig sein und später präzisiert werden.

Empfehlung: Schwellenwerte für die Auslösung der Meldepflicht im Incident-Response-Playbook vorab definieren. Dann ist der Auslöser objektivierbar, nicht situativ.

Was bei verspäteter Meldung droht

Verspätete oder unterlassene Meldungen sind ein eigenständiger Bußgeldtatbestand: Nach § 65 Abs. 2 Nr. 4 BSIG handelt ordnungswidrig, wer eine Meldung nach § 32 Abs. 1 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, unabhängig vom eigentlichen Vorfall.

Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG; Art. 20 NIS2). Mehr dazu im Artikel „Welche Haftung trägt die Geschäftsleitung bei NIS2?".

Praxis: was vor dem ersten Vorfall stehen muss

Damit die 24-Stunden-Frist einhaltbar ist, müssen drei Dinge vorab geklärt sein:

1. Zugang zum BSI-Portal vorab eingerichtet (Anmeldung mit ELSTER-Organisationszertifikat über „Mein Unternehmenskonto"), Kontaktdaten hinterlegt, Login-Test durchgeführt. Im Vorfall ist keine Zeit für Account-Setup: Der Aktivierungscode für das ELSTER-Zertifikat kommt laut BSI per Post, in der Regel nach mindestens fünf Werktagen. Details im Artikel BSI-Portal: Wie meldet man einen NIS2-Vorfall mit MUK und ELSTER?.
2. Eskalations-Matrix: Wer entscheidet, dass ein Vorfall „erheblich" ist? Wer löst die 24h-Frist aus? Wer schreibt die Meldung? Wer prüft sie?
3. Mustertexte für die drei Stufen vorab geschrieben. Im Ernstfall werden nur die Fakten eingefüllt, die Struktur steht.

Eine regelmäßige Tabletop-Übung, die genau die Meldekette durchspielt, ist eine Empfehlung; die Bewältigung von Sicherheitsvorfällen gehört zu den Pflichtmaßnahmen nach § 30 Abs. 2 Nr. 2 BSIG (Art. 21 Abs. 2 lit. b NIS2).

FAQ

Ab welchem Moment beginnt die 24-Stunden-Frist?

Ab dem Zeitpunkt, ab dem die Einrichtung „Kenntnis" von einem erheblichen Sicherheitsvorfall erlangt (§ 32 Abs. 1 Nr. 1 BSIG). Das Gesetz konkretisiert diesen Zeitpunkt nicht; vertretbar ist, auf den plausiblen Verdacht nach einer ersten Triage abzustellen. Kriterien dafür sollten vorab festgelegt und im Einzelfall dokumentiert werden.

Reicht eine Meldung an das BSI oder müssen Sektor-Behörden parallel informiert werden?

Für Meldungen nach § 32 BSIG genügt die Meldung an die gemeinsame Meldestelle von BSI und BBK; das BSI stellt sie den zuständigen Aufsichtsbehörden des Bundes zur Verfügung (§ 32 Abs. 5 BSIG). Finanzunternehmen nach DORA melden stattdessen nach DORA (§ 28 Abs. 6 BSIG). Parallele Pflichten aus anderen Gesetzen, etwa DSGVO-Datenschutzvorfälle nach Art. 33 DSGVO, bleiben davon unberührt und müssen eigenständig erfüllt werden.

Was passiert, wenn nach 72 Stunden noch keine vollständige Analyse vorliegt?

Die 72-Stunden-Meldung darf vorläufig sein. Sie muss den aktuellen Wissensstand widerspiegeln, nicht eine abgeschlossene Forensik. Wichtig ist, dass die Bewertung nachvollziehbar aktualisiert wird, sobald sich die Faktenlage ändert. Die Abschlussmeldung folgt spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall dann noch an, zunächst eine Fortschrittsmeldung (§ 32 Abs. 2 BSIG).

Wer trägt die persönliche Verantwortung für die fristgerechte Meldung?

Nach § 38 Abs. 1 BSIG (Art. 20 NIS2) muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Sie kann die operative Durchführung delegieren, bleibt aber in der Verantwortung; eine versäumte Meldung ist nach § 65 Abs. 2 Nr. 4 BSIG bußgeldbewehrt.

Muss auch ein abgewehrter Angriffsversuch gemeldet werden?

Nicht automatisch. Meldepflichtig sind „erhebliche Sicherheitsvorfälle" im Sinne von § 2 Nr. 11 BSIG, also solche, die schwerwiegende Betriebsstörungen oder Schäden verursacht haben oder verursachen können. Ein folgenlos abgewehrter Versuch fällt in der Regel nicht darunter; hatte er aber ein solches Schadenspotenzial, ist die Meldepflicht im Einzelfall zu prüfen. Versuche sollten in jedem Fall intern dokumentiert werden. Mehr zur Abgrenzung im Artikel Beinahevorfall unter NIS2: Muss man ihn melden?.