Was muss in die NIS2-Meldung an das BSI?

Was zählt als „erheblicher Sicherheitsvorfall"

§ 2 Nr. 11 BSIG definiert einen Sicherheitsvorfall, entsprechend Art. 23 Abs. 3 NIS2, als erheblich, wenn er

• schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann.

Für DNS-Diensteanbieter, TLD-Namenregister, Cloud- und Rechenzentrumsdienste, Inhaltszustellnetze, Anbieter verwalteter (Sicherheits-)Dienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 konkrete Kriterien fest, etwa einen direkten finanziellen Verlust von mehr als 500.000 € oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist (Art. 3 Abs. 1 lit. a). Für andere Einrichtungen kann eine Rechtsverordnung nach § 56 Abs. 5 BSIG die Begriffsbestimmung konkretisieren. Banken und andere Finanzunternehmen nach DORA melden nicht nach § 32 BSIG (§ 28 Abs. 6 BSIG), sondern nach DORA an die BaFin.

Stufe 1: Frühwarnung binnen 24 Stunden

Die erste Meldung muss laut Art. 23 Abs. 4 lit. a) NIS2 folgende Inhalte umfassen:

• Vermutung, ob der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde
• Vermutung, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte

Der Detailgrad ist bewusst niedrig gehalten, die Frühwarnung dient der schnellen Sensibilisierung des BSI und ggf. der Information anderer betroffener Aufsichtsbehörden auf EU-Ebene. Komplette Forensik ist nicht erforderlich.

Was das BSI-Portal in der Erstmeldung abfragt (laut BSI-Anleitung zur Meldung, Stand Oktober 2026; das Gesetz verlangt davon nur die beiden Angaben oben):

• Beschreibung: Störung, Auswirkung, erwartete Dauer, vermutete oder tatsächliche Ursache, ob eine Beeinträchtigung verhindert wurde
• Lageeinschätzung in den Ampelstufen Rot, Orange, Gelb und Grau
• Zeitangaben: Eintritt, Kenntniserlangung, ob die Störung anhält, letzter Sachstand
• Ausbreitung: grenzüberschreitende Wirkung, geografische Ausbreitung, betroffene Sektoren und Einrichtungen
• Ursache: Verdacht auf böswillige Handlung, ob der Vorfall unter Kontrolle ist, ob externe Dienstleister hinzugezogen wurden
• Maßnahmen, Erkennungsweg und interne Vorgangsnummer
• meldende Person mit Kontaktdaten

Die 72-Stunden-Meldung heißt im Portal Folgemeldung. Sie wird nicht neu angelegt, sondern als Aktualisierung des Vorfalls unter „Meine Sicherheitsvorfälle" abgegeben; das Formular ist mit den Angaben der Erstmeldung vorausgefüllt.

Stufe 2: Vorfallsmeldung binnen 72 Stunden

Die Vorfallsmeldung folgt unverzüglich, spätestens 72 Stunden nach Kenntniserlangung (Art. 23 Abs. 4 lit. b NIS2, § 32 Abs. 1 Nr. 2 BSIG). Gesetzlich vorgeschrieben sind:

• Bestätigung oder Aktualisierung der Angaben aus der frühen Erstmeldung
• eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen
• gegebenenfalls Kompromittierungsindikatoren (Indicators of Compromise, IOCs), etwa IP-Adressen, Hashes, Pfade

Für die interne Vorbereitung sinnvoll, gesetzlich aber nicht einzeln vorgeschrieben: ergriffene Eindämmungsmaßnahmen, zeitlicher Verlauf (Beginn, Entdeckung, Erstmaßnahmen), Zahl betroffener Nutzer, vermuteter Angriffsvektor.

Sinnvolle Inhalte für die 72-Stunden-Meldung (Muster):

• Art des Vorfalls
• Betroffene Dienste und Systeme
• Anzahl betroffener Nutzer (Größenordnung)
• Geografische Verteilung (DE / EU / global)
• Schaden in € (geschätzt)
• Ergriffene Maßnahmen (Liste)
• Status (Eindämmung läuft / abgeschlossen / Eskalation)

Stufe 3: Abschlussbericht binnen eines Monats

Spätestens einen Monat nach der 72h-Meldung folgt der Abschlussbericht (Art. 23 Abs. 4 lit. d NIS2, in Deutschland § 32 Abs. 1 Nr. 4 BSIG). Er soll eine vollständige Aufarbeitung des Vorfalls dokumentieren:

• Eingehende Beschreibung des Vorfalls inkl. Schwere und Auswirkungen
• Art der Bedrohung oder Grundursache, die den Vorfall wahrscheinlich ausgelöst hat
• Bisherige und laufende Eindämmungs- und Risikominderungsmaßnahmen
• Sofern relevant: grenzüberschreitende Auswirkungen

Dauert der Vorfall zu diesem Zeitpunkt noch an, ist statt der Abschlussmeldung eine Fortschrittsmeldung vorzulegen; die Abschlussmeldung folgt nach abschließender Bearbeitung des Vorfalls (Art. 23 Abs. 4 lit. e NIS2, § 32 Abs. 2 BSIG). Unabhängig davon kann das BSI eine Zwischenmeldung über relevante Statusaktualisierungen verlangen (§ 32 Abs. 1 Nr. 3 BSIG).

Beispiel-Template (Verkürzt)

=== NIS2-FRÜHWARNUNG (24h-Meldung) ===

Meldepflichtige Einrichtung: [Unternehmen]
Sektor: [Anhang I/II, z.B. Anhang I, IKT-Dienste-Management]
Vorfalls-ID intern: [INC-2026-001]
Zeitpunkt Kenntnisnahme (UTC): [YYYY-MM-DD HH:MM]
Erste Vermutung Vorfallsart: [Ransomware / DDoS / Datenleck / unbekannt]

Erste Auswirkungs-Indikation:
- Betroffener Dienst: [z.B. Online-Banking-Portal]
- Betroffene Kunden (Größenordnung): [< 1.000 / 1.000-10.000 / > 10.000 / unbekannt]
- Geografie: [DE / EU / global / unbekannt]

Indikation böswilliger Akt: [ja / nein / unklar]
Indikation grenzüberschreitend: [ja / nein / unklar]

Ansprechpartner technisch: [Name, Telefon, E-Mail]
Ansprechpartner organisatorisch: [Name, Telefon, E-Mail]

Das ist eine kondensierte Arbeitsvorlage. Eine Fassung, die den Text aus Ihren Angaben erzeugt und fehlende Felder als Lücke markiert, bietet der NIS2-Melde-Assistent; Anleitung zur Anmeldung im Artikel BSI-Portal: Wie meldet man einen NIS2-Vorfall mit MUK und ELSTER?.

Die verbindliche Ausgestaltung des Meldeverfahrens und der Meldungsinhalte legt das BSI fest und veröffentlicht sie auf seiner Internetseite (§ 32 Abs. 4 BSIG).

Praxis: Vorbereitung im IR-Playbook

In der Praxis sollten Teams diese Schritte vorbereiten:

1. Zugang zum BSI-Portal sichern, Selbstregistrierung abgeschlossen, Anmeldedaten an mehreren Stellen redundant verfügbar
2. Templates lokal vorhalten, die drei Meldestufen als Textbausteine mit Pflicht-Platzhaltern
3. Forensik-Bereitschaft klären, externe Forensik-Dienstleister vorab vertraglich anbinden, damit nicht in der Krise verhandelt werden muss
4. Kommunikationsmatrix, wer informiert wann das BSI, wer die Geschäftsleitung, wer die Kunden, wer ggf. Aufsichtsräte
5. Übung mindestens jährlich, Tabletop-Exercise mit simuliertem Vorfall, bei der alle drei Meldestufen einmal ausgefüllt werden

FAQ

Was passiert bei einem Fehlalarm?

Wenn sich nach der 24h-Frühwarnung herausstellt, dass kein erheblicher Vorfall vorliegt, sollte das in der Folgemeldung klargestellt werden; die frühe Erstmeldung beruht ausdrücklich auf Vermutungen. Wie das Portal solche Fälle abbildet, legt das BSI fest. Ein lieber zu viel als zu wenig gemeldeter Fall ist im Zweifel besser, weil Schweigen bei einem echten Vorfall sanktioniert wird.

Müssen wir auch private Personen informieren?

Bei Vorfällen mit personenbezogenen Daten gilt zusätzlich die DSGVO-Meldepflicht (Art. 33/34 DSGVO), getrennt von der NIS2-Meldung. Die beiden Pflichten sind nicht deckungsgleich: NIS2 zielt auf Cybersicherheit, die DSGVO auf den Schutz personenbezogener Daten. Bei Doppelbetroffenheit sind beide Meldungen abzugeben, bei der jeweils zuständigen Stelle (BSI bzw. Datenschutzaufsicht). Nach BSIG kann das BSI zudem anordnen, die Empfänger der Dienste über einen erheblichen Sicherheitsvorfall zu unterrichten (§ 35 Abs. 1 BSIG). Einrichtungen aus Sektoren wie digitale Infrastruktur, Verwaltung von IKT-Diensten und digitale Dienste müssen potenziell betroffene Empfänger bei einer erheblichen Cyberbedrohung über mögliche Abhilfemaßnahmen informieren (§ 35 Abs. 2 BSIG).

Was, wenn der Vorfall noch nicht klar zugeordnet ist?

Genau dafür ist die Frühwarnung gedacht. „Wir vermuten Ransomware, finale Analyse läuft" ist eine vollständig zulässige Aussage in der 24h-Meldung. Klarheit darf in der 72h-Vorfallsmeldung folgen, und gegebenenfalls korrigiert werden, wenn die Erstvermutung sich nicht bestätigt.

Können wir die Meldung auch outsourcen?

Die rechtliche Pflicht bleibt bei der betroffenen Einrichtung, sie kann sich nicht durch Beauftragung Dritter befreien. Die tatsächliche Erstellung und Übermittlung der Meldung kann an einen externen Dienstleister (z.B. einen SOC-Provider oder einen IT-Security-Anwalt) delegiert werden. Wichtig: die Verantwortung der Geschäftsleitung nach Art. 20 NIS2 und § 38 BSIG bleibt davon unberührt.

Wo finde ich das aktuelle BSI-Meldeformular?

Das BSI veröffentlicht die Zugangswege im Themenbereich für meldepflichtige Unternehmen, die Einzelheiten zum Meldeverfahren legt es nach § 32 Abs. 4 BSIG fest. Das NIS2UmsuCG ist am 6.12.2025 in Kraft getreten (BGBl. 2025 I Nr. 301); die Meldepflicht gilt nach § 32 Abs. 1 Satz 2 BSIG frühestens ab Einrichtung des Meldewegs. Betreiber von Energieversorgungsnetzen und -anlagen im Anwendungsbereich des EnWG melden nach § 5d Abs. 3 EnWG an dieselbe Meldestelle. DORA-Finanzunternehmen sind von § 32 BSIG ausgenommen (§ 28 Abs. 6 BSIG) und melden schwerwiegende IKT-bezogene Vorfälle nach DORA an die BaFin.