NIS2-Meldepflicht:
Die 24-Stunden-Regel erklärt

Die Meldepflicht ist einer der Punkte, an denen NIS2 sehr konkret wird. Sie betrifft nicht das Tagesgeschäft, sondern den schlechtesten Tag: den Sicherheitsvorfall. Und genau dann ist keine Zeit, Prozesse erst zu erfinden.

Zuerst registrieren, dann melden

Der wichtigste Punkt vorweg, weil er oft übersehen wird: Eine Meldung läuft über dasselbe BSI-Portal wie die Registrierung (portal.bsi.bund.de, Anmeldung mit dem ELSTER-Organisationszertifikat). Das heißt: Wer im Ernstfall zügig melden will, muss vorher registriert sein. Sich erst während eines laufenden Angriffs registrieren zu wollen, kostet genau die Zeit, die Ihnen die 24-Stunden-Frist nicht lässt. Die Registrierung ist deshalb kein Schritt für „irgendwann später", sondern die Grundvoraussetzung Ihrer Meldefähigkeit. Wie sie funktioniert, lesen Sie in NIS2-Fristen und BSI-Registrierung.

Die drei Stufen der Meldung (§ 32 BSIG)

Bei einem erheblichen Sicherheitsvorfall ist gestaffelt zu melden:

• Binnen 24 Stunden nach Kenntnis: die frühe Erstmeldung. Sie ist bewusst niedrigschwellig, es geht um schnelle Information, nicht um die vollständige Analyse (§ 32 Abs. 1 Satz 1 Nr. 1).
• Binnen 72 Stunden: eine ausführlichere Meldung mit erster Bewertung, Schweregrad und Indikatoren (Nr. 2).
• Binnen eines Monats: die Abschlussmeldung mit Ursachen, Auswirkungen und ergriffenen Maßnahmen (Nr. 4). Dazwischen kann das BSI Zwischenmeldungen verlangen (Nr. 3).

Warum 24 Stunden in der Praxis sportlich sind

24 Stunden klingen nach viel, sind es aber nicht, wenn parallel ein Angriff läuft, Systeme ausfallen und alle improvisieren. Ohne klare Vorbereitung vergeht die erste Stunde mit der Frage, wer überhaupt zuständig ist. Deshalb steht und fällt die Meldefähigkeit mit dem, was vorher festgelegt wurde:

• Sind Sie bereits beim BSI registriert? Ohne Registrierung ist keine Meldung möglich.
• Wer entscheidet, dass gemeldet wird, und wer meldet tatsächlich?
• Liegen die BSI-Zugänge und Meldewege griffbereit?
• Gibt es eine Alarmierungskette, die auch nachts und am Wochenende funktioniert?
• Ist der Prozess einmal geübt worden, etwa in einer Tabletop-Übung?

Was die Meldepflicht mit Bußgeldern zu tun hat

Die Meldepflicht ist kein Papiertiger. Ein Verstoß ist nach § 65 Abs. 2 Nr. 4 BSIG eigenständig bußgeldbewehrt, also zusätzlich zum Vorfall selbst. Wer nicht oder zu spät meldet, riskiert damit eine zweite Sanktion, vermeidbar durch einen sauberen Prozess.

So werden Sie meldefähig

Meldefähigkeit ist Teil eines schlanken Notfallmanagements: ein dokumentierter Incident-Response-Plan mit klaren Rollen, integriertem BSI-Meldeprozess und einer geübten Alarmierungskette. Das ist gut investierte Vorbereitung, die im Ernstfall Ruhe und Handlungssicherheit schafft.

Häufige Fragen

Wie schnell muss ein Sicherheitsvorfall gemeldet werden?

Die frühe Erstmeldung an das BSI erfolgt binnen 24 Stunden nach Kenntnis (§ 32 Abs. 1 Satz 1 Nr. 1 BSIG), eine ausführlichere Meldung binnen 72 Stunden, die Abschlussmeldung binnen eines Monats.

Muss ich vor einer Meldung beim BSI registriert sein?

Ja. Meldung und Registrierung laufen über dasselbe BSI-Portal. Ohne vorherige Registrierung können Sie im Ernstfall nicht zügig melden, deshalb ist sie die Grundvoraussetzung der Meldefähigkeit.

Was gilt als erheblicher Sicherheitsvorfall?

Vereinfacht ein Vorfall, der den Betrieb der Dienste schwerwiegend stört oder stören kann oder andere erheblich beeinträchtigt. Die genaue Schwelle ergibt sich aus dem BSIG.

Was passiert, wenn ich die Meldefrist versäume?

Ein Verstoß gegen die Meldepflicht ist eigenständig bußgeldbewehrt (§ 65 Abs. 2 Nr. 4 BSIG), zusätzlich zum Vorfall selbst.

Wie wir Notfallplan und Meldeprozess pragmatisch aufsetzen, lesen Sie unter NIS2-Compliance. Einen Überblick über alle Fristen gibt der Beitrag NIS2-Fristen und BSI-Registrierung.

Dieser Beitrag dient der Orientierung und ist keine Rechtsberatung.