KRITIS Meldepflichten Behördenkommunikation

KRITIS-Betreiber müssen erhebliche IT-Sicherheitsvorfälle in einem dreistufigen Verfahren an das BSI melden. Die Frühwarnung muss innerhalb von

24 Stunden nach Kenntnisnahme erfolgen — die Frist beginnt mit dem Erkennen, nicht mit dem Abschluss der Analyse. Nach

72 Stunden folgt eine detaillierte Folgemeldung mit erster Bewertung. Spätestens nach einem Monat ist ein Abschlussbericht einzureichen, bei andauernden Vorfällen eine Fortschrittsmeldung. Bei der Frühwarnung gilt: Geschwindigkeit geht vor Vollständigkeit. Fehlende Details können in den Folgemeldungen nachgereicht werden.

Ein IT-Sicherheitsvorfall ist meldepflichtig, wenn er die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der IT-Systeme erheblich beeinträchtigt oder beeinträchtigen könnte. Nach der EU-Durchführungsverordnung 2024/2690 gelten konkrete Schwellenwerte: finanzielle Verluste ab 500.000 Euro, Offenlegung von Geschäftsgeheimnissen oder Gefährdung der Gesundheit. Auch Störungen, die noch keinen tatsächlichen Ausfall verursacht haben, aber das Potenzial dazu haben, müssen gemeldet werden. Im Zweifelsfall empfiehlt das BSI eine vorsorgende Meldung.

Die Meldung erfolgt über das BSI Melde- und Informationsportal (MIP) unter portal.bsi.bund.de. KRITIS-Betreiber nutzen dort Online-Formulare für die Erst-, Folge- und Abschlussmeldung. Die Formulare stehen auch vor Abschluss der NIS2-Registrierung bereit. Alternativ können Meldungen per S/MIME- oder PGP-verschlüsselter E-Mail oder telefonisch über die 24/7-Erreichbarkeit des BSI eingereicht werden. Jede Meldung muss Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen enthalten.

Die KRITIS-Meldepflicht nach BSIG richtet sich an Betreiber kritischer Infrastrukturen oberhalb definierter Schwellenwerte. Die NIS2-Meldepflicht nach dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) erweitert den Kreis auf besonders wichtige und wichtige Einrichtungen — etwa 30.000 Unternehmen in Deutschland. Beide nutzen das BSI-Meldeportal und folgen dem 24h/72h/1-Monat-Schema. NIS 2 bringt zusätzlich strengere Bußgelder (bis

10 Millionen Euro), eine Registrierungspflicht bis März

2026 und erweiterte Anforderungen an Lieferkettensicherheit.

Verstöße gegen die KRITIS-Meldepflicht können Bußgelder bis zu 50.000 Euro nach IT-SiG auslösen. Unter NIS 2 steigen die Strafen erheblich: bis zu

10 Millionen Euro oder

2 Prozent des weltweiten Jahresumsatzes. Neben den direkten Bußgeldern drohen verschärfte BSI-Prüfungen, zusätzliche Auflagen und erhöhte Berichtspflichten. Indirekt wirken sich Verstöße auf Cyber-Versicherungsprämien, Kundenvertrauen und ESG-Bewertungen aus. Eine strukturierte Vorbereitung mit automatisierten Meldeverfahren reduziert diese Risiken deutlich.