NIS2-Meldepflicht: erhebliche Sicherheitsvorfälle richtig melden

Die Meldung ist eine eigene Pflicht neben der Bewältigung des Vorfalls selbst. Wie Sie Vorfälle technisch und organisatorisch bewältigen, gehört zu den Maßnahmen nach § 30 BSIG (Nr. 2, Vorfallbewältigung).

Wer muss melden?

Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG). Die Pflicht gilt seit dem 06.12.2025 und hängt nicht an der Registrierung. Betreiber kritischer Anlagen geben zusätzlich die Art der Anlage, die kritische Dienstleistung und die Auswirkungen darauf an (§ 32 Abs. 3).

Für einige Einrichtungen gilt § 32 nach § 28 Abs. 5 bis 7 nicht, etwa für TK-Anbieter (TK-Anbieter unter NIS2 und TKG), bestimmte Energieunternehmen und Finanzunternehmen unter DORA. Die Ausnahmen und ihre Grenzen, etwa wenn weitere Tätigkeiten nach Anlage 1 oder 2 hinzukommen, erklärt die Betroffenheitsprüfung.

Wann ist ein Sicherheitsvorfall erheblich?

Erheblich ist nach § 2 Nr. 11 BSIG ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Was das konkret heißt, hängt von der Einrichtungsart ab:

Die Kriterien aus Art. 3 Abs. 1 DVO, von denen eines genügt:

• direkter finanzieller Verlust von mehr als 500.000 € oder 5 % des Jahresumsatzes im Vorjahr, je nachdem, was niedriger ist,
• Abfluss von Geschäftsgeheimnissen, verursacht oder möglich,
• Tod oder schwere Gesundheitsschädigung einer Person, verursacht oder möglich,
• erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der schwerwiegende Betriebsstörungen verursachen kann.

Wiederholte Vorfälle zählen zusammen, wenn sie in sechs Monaten mindestens zweimal mit derselben offensichtlichen Ursache aufgetreten sind und zusammen die Verlustschwelle überschreiten (Art. 4 DVO). Geplante Wartung und ihre geplanten Folgen sind kein erheblicher Vorfall (Art. 3 Abs. 2 DVO). Eine eigene deutsche Verordnung zur Erheblichkeit sieht § 56 Abs. 4 BSIG vor; in den von uns geprüften Quellen ist keine erlassene genannt.

Welche Meldestufen und Fristen gelten?

Drei Pflichtstufen, eine Zwischenmeldung auf Ersuchen und bei andauernden Vorfällen eine Fortschrittsmeldung:

Drei Punkte, die man leicht falsch rechnet:

• Die Monatsfrist läuft ab der 72-Stunden-Meldung, nicht ab Kenntnis des Vorfalls. Wer die Meldung früher abgibt, hat auch einen früheren Termin für die Abschlussmeldung.
• Für die Abschlussmeldung nach einer Fortschrittsmeldung nennt das BSIG keine Frist. Sie ist nach abschließender Bearbeitung vorzulegen. Die Richtlinie sieht dafür einen Monat nach Behandlung des Vorfalls vor (Art. 23 Abs. 4 Buchst. e); das taugt als Orientierung, ersetzt aber nicht den deutschen Wortlaut. Beliebig spät darf sie trotzdem nicht kommen: Eine nicht rechtzeitige Abschlussmeldung nach § 32 Abs. 2 Satz 2 ist bußgeldbewehrt (§ 65 Abs. 2 Nr. 5). Legen Sie sie deshalb ohne Verzögerung nach abschließender Bearbeitung vor.
• Die Fristen sind Höchstfristen. Das BSI betont, sie sollten nicht ausgereizt werden. Als Kenntniserlangung versteht es den Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit von einem erheblichen Sicherheitsvorfall erfährt.

Das BSI bestätigt den Eingang einer Meldung unverzüglich und nach Möglichkeit binnen 24 Stunden und bietet auf Ersuchen Orientierungshilfe oder operative Beratung (§ 36 Abs. 1). Die Richtlinie hält fest, dass die bloße Meldung keine höhere Haftung begründet (Art. 23 Abs. 1). Das BSIG enthält dazu keine eigene Regel; welche Folgen eine Meldung im Einzelfall hat, ist rechtlich zu prüfen.

Wie und wo wird gemeldet?

Gemeldet wird über das BSI-Portal. Wer betroffen, aber noch nicht im Portal registriert ist, meldet laut BSI über ein Online-Formular im Melde- und Informationsportal (MIP); Betreiber kritischer Anlagen und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege. Für die Anmeldung im BSI-Portal ist ein ELSTER-Organisationszertifikat nötig, siehe NIS2-Registrierung.

• Wer meldet: Laut BSI kann grundsätzlich jeder Mitarbeitende melden; für die meldeberechtigten Personen muss der Zugang zur Meldestelle eingerichtet sein. Dienstleister können zur Meldung ermächtigt werden, die Verantwortung für Vorfall und Inhalt bleibt bei der Einrichtung.
• Schnelligkeit vor Vollständigkeit: Eine Meldung kann nicht storniert werden. Falsches oder Fehlendes wird über Folgemeldungen korrigiert und ergänzt.
• Dokumentation: Über die Meldung hinaus besteht keine Dokumentationspflicht; das BSI hält es aber für sinnvoll, Meldungen zu dokumentieren und auszuwerten.
• Nach der Meldung: Das BSI kann anordnen, die Empfänger der Dienste über den Vorfall zu unterrichten (§ 35 Abs. 1), oder nach Anhörung verlangen, die Öffentlichkeit zu informieren (§ 36 Abs. 2). Es erwartet interne Wege, um geeignete Ansprechpersonen auch außerhalb der Geschäftszeiten zu erreichen.

Wer eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgibt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 4 und 5 BSIG). Der Höchstbetrag liegt bei besonders wichtigen Einrichtungen bei 10 Mio. €, bei wichtigen bei 7 Mio. €; bei einem Gesamtumsatz über 500 Mio. € kann er bis 2 % bzw. 1,4 % des Gesamtumsatzes reichen. Die übrigen Tatbestände stehen in der Übersicht der NIS2-Pflichten. Nach dem KRITIS-Dachgesetz besteht laut BBK derzeit noch keine Meldepflicht; Ereignisse, die ausschließlich IT-Sicherheitsvorfälle sind, nimmt dessen § 2 Nr. 9 ohnehin aus.

Meldeprozess: Rollen und Zeitleiste

Das Gesetz legt Fristen fest, keine Organisation. Die folgende Rollenverteilung ist unsere Empfehlung für Einrichtungen mit kleiner IT; jede Rolle braucht eine benannte Vertretung.

Die Zeitleiste trennt gesetzliche Fristen von internen Zielzeiten. Die Zielzeiten sind Empfehlungen, die Sie an Ihre Lage anpassen.

Beispiel: Verschlüsselung am Freitagvormittag

Fiktives Beispiel, kein Kunde. Ein Lebensmittelhersteller mit 300 Beschäftigten ist als wichtige Einrichtung eingestuft (Anlage 2, industrielle Produktion von Lebensmitteln). Am Freitag, 13.11.2026, um 10:15 Uhr bemerkt eine Mitarbeiterin, dass Dateien auf einem Fileserver verschlüsselt sind.

• 10:15 Uhr: interne Meldung an die IT-Bereitschaft. Die IT trennt den Server vom Netz und findet Hinweise auf einen Zugang über ein kompromittiertes Konto.
• 11:30 Uhr: Die Vorfallverantwortliche bewertet: erfolgreicher, mutmaßlich böswilliger, unbefugter Zugriff, der die Produktionsplanung stören kann. Mit Art. 3 Abs. 1 Buchst. e DVO als Orientierung stuft sie den Vorfall als erheblich ein und informiert die Geschäftsführung.
• 13:00 Uhr: frühe Erstmeldung über das BSI-Portal mit Verdacht auf böswillige Handlung; grenzüberschreitende Auswirkungen sind nicht erkennbar. Gesetzlich spätestens: Samstag, 14.11.2026, 10:15 Uhr.
• Montag, 16.11.2026, 09:00 Uhr: Meldung mit erster Bewertung, Schweregrad, betroffenen Systemen und Kompromittierungsindikatoren. Gesetzlich spätestens: Montag, 10:15 Uhr.
• Mittwoch, 16.12.2026: ein Monat nach der Meldung (eigene Berechnung). Die Wiederherstellung der Produktionsplanung läuft noch, deshalb geht eine Fortschrittsmeldung an das BSI.
• Januar 2027: Nach abschließender Bearbeitung folgt die Abschlussmeldung mit Ursache, Abhilfemaßnahmen und Auswirkungen.

Was im Beispiel funktioniert hat: Zwei Personen hatten Zugang zum BSI-Portal, die Erheblichkeit wurde anhand vorbereiteter Kriterien entschieden, und die Erstmeldung ging ab, bevor alle Fakten feststanden.

Meldeübung: so testen Sie den Ablauf

Eine Meldeübung prüft, ob Rollen, Zugänge und Fristen im Ernstfall funktionieren. Den folgenden Ablauf empfehlen wir mindestens einmal im Jahr und nach jedem Wechsel in einer der Rollen. Wichtig: In der Übung wird keine Meldung an das BSI abgegeben, denn abgegebene Meldungen lassen sich nicht stornieren. Geübt wird mit einer internen Kopie der Formularinhalte.

Drei typische Lücken

Diese Seite gibt allgemeine Informationen. Ob ein konkreter Vorfall erheblich ist, ist im Einzelfall zu bewerten und im Zweifel rechtlich zu prüfen. Wenn Sie wissen wollen, wie belastbar Ihr Meldeprozess neben den übrigen Pflichten ist, ist die NIS2-Gap-Analyse der strukturierte Einstieg.