Was muss in die NIS2-Meldung an das BSI?

Was zählt als „erheblicher Sicherheitsvorfall"

Art. 23 Abs. 3 NIS2 definiert einen Vorfall als erheblich, wenn er

• erhebliche Betriebsstörungen oder erhebliche finanzielle Verluste für die betroffene Einrichtung verursacht oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann.

Das BSI konkretisiert diese Schwelle in seinen Meldewegen für regulierte Unternehmen sektorspezifisch. Ein Ausfall des Online-Banking-Portals eines kleinen Regionalinstituts kann erheblich sein, ein gleichartiger Ausfall in einer Konzerntochter mit Backup-Routing unter Umständen nicht.

Stufe 1: Frühwarnung binnen 24 Stunden

Die erste Meldung muss laut Art. 23 Abs. 4 lit. a) NIS2 folgende Inhalte umfassen:

• Vermutung, ob der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde
• Vermutung, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte
• Andere relevante Erstinformationen, soweit bereits verfügbar

Der Detailgrad ist bewusst niedrig gehalten — die Frühwarnung dient der schnellen Sensibilisierung des BSI und ggf. der Information anderer betroffener Aufsichtsbehörden auf EU-Ebene. Komplette Forensik ist nicht erforderlich.

Pflichtfelder im Frühwarnungs-Template (BSI-Portal):

Stufe 2: Vorfallsmeldung binnen 72 Stunden

Die ausführliche Meldung folgt binnen 72 Stunden nach Kenntnisnahme (Art. 23 Abs. 4 lit. b) NIS2). Sie enthält:

• Aktualisierte Bewertung der Erstangaben aus Stufe 1
• Indikatoren der Beeinträchtigung (Indicators of Compromise, IOCs) — IP-Adressen, Hashes, Pfade
• Maßnahmen, die zur Eindämmung getroffen wurden
• Zeitlicher Verlauf: wann begann der Vorfall, wann wurde er entdeckt, wann wurden Erstmaßnahmen ergriffen
• Auswirkungsabschätzung: Anzahl betroffener Nutzer, Datenarten, Dauer der Beeinträchtigung
• Sofern bereits bekannt: vermutete Bedrohungsakteure, Angriffsvektor

Strukturierte Felder im 72h-Template:

• Vorfallskategorie (NIS2-Klassifikationsschema, vom BSI vorgegeben)
• Betroffene Dienste und Systeme
• Anzahl betroffener Nutzer (Größenordnung)
• Geografische Verteilung (DE / EU / global)
• Schaden in € (geschätzt)
• Ergriffene Maßnahmen (Liste)
• Status (Eindämmung läuft / abgeschlossen / Eskalation)

Stufe 3: Abschlussbericht binnen eines Monats

Spätestens einen Monat nach der 72h-Meldung folgt der Abschlussbericht (Art. 23 Abs. 4 lit. c) NIS2). Er soll eine vollständige Aufarbeitung des Vorfalls dokumentieren:

• Eingehende Beschreibung des Vorfalls inkl. Schwere und Auswirkungen
• Art der Bedrohung oder Grundursache, die den Vorfall wahrscheinlich ausgelöst hat
• Bisherige und laufende Eindämmungs- und Risikominderungsmaßnahmen
• Sofern relevant: grenzüberschreitende Auswirkungen

Wenn der Vorfall nach einem Monat noch nicht abschließend bewertet werden kann, ist ein Zwischenbericht abzugeben mit Fortschritts-Stand. Ein finaler Abschlussbericht folgt dann nach Aufklärung.

Beispiel-Template (Verkürzt)

=== NIS2-FRÜHWARNUNG (24h-Meldung) ===

Meldepflichtige Einrichtung: [Unternehmen, NIS2-Registrierungs-ID]
Sektor: [Anhang I/II — z.B. Anhang I, IKT-Dienste-Management]
Vorfalls-ID intern: [INC-2026-001]
Zeitpunkt Kenntnisnahme (UTC): [YYYY-MM-DD HH:MM]
Erste Vermutung Vorfallsart: [Ransomware / DDoS / Datenleck / unbekannt]

Erste Auswirkungs-Indikation:
- Betroffener Dienst: [z.B. Online-Banking-Portal]
- Betroffene Kunden (Größenordnung): [< 1.000 / 1.000-10.000 / > 10.000 / unbekannt]
- Geografie: [DE / EU / global / unbekannt]

Indikation böswilliger Akt: [ja / nein / unklar]
Indikation grenzüberschreitend: [ja / nein / unklar]

Ansprechpartner technisch: [Name, Telefon, E-Mail]
Ansprechpartner organisatorisch: [Name, Telefon, E-Mail]

Das ist die kondensierte Variante. Das BSI-Portal verlangt darüber hinaus strukturierte Auswahl-Felder, die hier nicht alle abgebildet werden.

Praxis: Vorbereitung im IR-Playbook

In der Praxis sollten Teams diese Schritte vorbereiten:

1. Zugang zum BSI-Portal sichern — Selbstregistrierung abgeschlossen, Anmeldedaten an mehreren Stellen redundant verfügbar
2. Templates lokal vorhalten — die drei Meldestufen als Textbausteine mit Pflicht-Platzhaltern
3. Forensik-Bereitschaft klären — externe Forensik-Dienstleister vorab vertraglich anbinden, damit nicht in der Krise verhandelt werden muss
4. Kommunikationsmatrix — wer informiert wann das BSI, wer die Geschäftsleitung, wer die Kunden, wer ggf. Aufsichtsräte
5. Übung mindestens jährlich — Tabletop-Exercise mit simuliertem Vorfall und tatsächlichem Klick durch das Meldeformular

FAQ

Was passiert bei einem Fehlalarm?

Wenn sich nach der 24h-Frühwarnung herausstellt, dass kein erheblicher Vorfall vorliegt, wird in der 72h-Meldung ein „Rücknahme-Vermerk" gesetzt. Das BSI akzeptiert das ausdrücklich — die Frühwarnung ist als vorläufig konzipiert. Ein lieber zu viel als zu wenig gemeldeter Fall ist im Zweifel besser, weil Schweigen bei einem echten Vorfall sanktioniert wird.

Müssen wir auch private Personen informieren?

Bei Datenschutz-relevanten Vorfällen tritt zusätzlich die DSGVO-Meldepflicht (Art. 33/34 DSGVO) ein — getrennt von der NIS2-Meldung. Die beiden Meldepflichten sind nicht deckungsgleich: NIS2 zielt auf Cybersicherheit, DSGVO auf den Schutz personenbezogener Daten. Bei Doppelbetroffenheit sind beide Meldungen abzugeben, beim jeweils zuständigen Stelle (BSI vs. Datenschutzaufsicht).

Was, wenn der Vorfall noch nicht klar zugeordnet ist?

Genau dafür ist die Frühwarnung gedacht. „Wir vermuten Ransomware, finale Analyse läuft" ist eine vollständig zulässige Aussage in der 24h-Meldung. Klarheit darf in der 72h-Vorfallsmeldung folgen — und gegebenenfalls korrigiert werden, wenn die Erstvermutung sich nicht bestätigt.

Können wir die Meldung auch outsourcen?

Die rechtliche Pflicht bleibt bei der betroffenen Einrichtung — sie kann sich nicht durch Beauftragung Dritter befreien. Die tatsächliche Erstellung und Übermittlung der Meldung kann an einen externen Dienstleister (z.B. einen SOC-Provider oder einen IT-Security-Anwalt) delegiert werden. Wichtig: die Verantwortung der Geschäftsleitung nach Art. 20 NIS2 bleibt davon unberührt.

Wo finde ich das aktuelle BSI-Meldeformular?

Das BSI veröffentlicht Formulare und Zugangswege im Themenbereich Meldewege für regulierte Unternehmen. Der konkrete Zugang zum NIS2-Portal wird im Rahmen der Selbstregistrierung freigeschaltet. Seit Inkrafttreten des NIS2UmsuCG am 6.12.2025 (BGBl. 2025 I Nr. 301) sind die NIS2-Meldewege aktiv; für KRITIS-Betreiber laufen sektorspezifische Übergangsregelungen.