NIS2 Meldepflicht: Meldefristen, Meldeinhalte und Meldeweg zum BSI

Die NIS2 Meldepflicht verpflichtet besonders wichtige und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle zu melden. In Deutschland regelt das § 32 BSIG, der Art. 23 der NIS2-Richtlinie umsetzt und seit dem 6. Dezember 2025 gilt. Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK, praktisch über das BSI-Portal: frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Meldung mit erster Bewertung binnen 72 Stunden, auf Ersuchen des BSI Zwischenmeldungen und spätestens einen Monat nach der 72-Stunden-Meldung die Abschlussmeldung. Ziel ist ein aktuelles Lagebild, mit dem das BSI andere Einrichtungen warnen kann.

§ 32 BSIG kennt vier Meldearten: 1. Frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, mit der Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind. 2. Meldung unverzüglich, spätestens 72 Stunden nach Kenntniserlangung, mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren. 3. Zwischenmeldung, wenn das BSI darum ersucht. 4. Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall dann noch an, wird eine Fortschrittsmeldung fällig und die Abschlussmeldung folgt nach Abschluss der Bearbeitung.

Meldepflichtig sind erhebliche Sicherheitsvorfälle. Nach § 2 Nr. 11 BSIG ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Ein bereits eingetretener Schaden ist also nicht Voraussetzung. Für DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsdienste, CDN, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste gelten die Kriterien der Durchführungsverordnung (EU) 2024/2690; andere Sektoren können sich nach Hinweis des BSI an deren Art. 3 Abs. 1 orientieren. Beinahevorfälle sind nicht meldepflichtig, können aber freiwillig gemeldet werden.

In Deutschland geht die Meldung an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, praktisch über das BSI-Portal. Einrichtungen, die noch nicht registriert sind, melden über ein Online-Formular im Melde- und Informationsportal (MIP) des BSI; Betreiber kritischer Anlagen und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege. Melden kann jede berechtigte Mitarbeiterin und jeder berechtigte Mitarbeiter, auch ein beauftragter Dienstleister; die Verantwortung bleibt bei der Einrichtung. Das BSI bestätigt den Eingang in der Regel binnen 24 Stunden. Betrifft ein Vorfall weitere EU-Staaten, leitet das BSI als zentrale Anlaufstelle die Meldung an deren Anlaufstellen weiter und unterrichtet die ENISA.

Wer eine Meldung nach § 32 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgibt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 4 und 5 BSIG). Der Bußgeldrahmen beträgt bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Liegt der weltweite Gesamtumsatz über 500 Millionen Euro, sind bis zu 2 Prozent beziehungsweise 1,4 Prozent dieses Umsatzes möglich. Daneben kann das BSI Anordnungen treffen; befolgt eine besonders wichtige Einrichtung sie trotz Fristsetzung nicht, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen und der Geschäftsleitung die Tätigkeit vorübergehend untersagen.

Betrifft ein erheblicher Sicherheitsvorfall auch personenbezogene Daten, laufen zwei Meldepflichten nebeneinander: die NIS2-Meldung an das BSI mit der ersten Stufe binnen 24 Stunden und die Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO binnen 72 Stunden. Beide haben eigene Adressaten und Inhalte, eine Meldung ersetzt die andere nicht. Bei hohem Risiko für die Betroffenen kommt die Benachrichtigung nach Art. 34 DSGVO hinzu. Praktisch heißt das: ein gemeinsamer interner Ablauf, der beide Meldungen aus denselben Fakten speist, wobei die NIS2-Erstmeldung zuerst hinausgeht.

Mit der Kenntniserlangung: Nach dem BSI ist das der Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Weder der Eintritt des Vorfalls noch der Abschluss der Analyse ist maßgeblich. Das BSI betont "Schnelligkeit vor Vollständigkeit": Die frühe Erstmeldung darf vorläufig sein, Angaben werden mit der 72-Stunden-Meldung oder weiteren Folgemeldungen ergänzt. Eine abgegebene Meldung kann nicht zurückgezogen, wohl aber korrigiert werden.

Frühe Erstmeldung (24 Stunden): Einstufung des Vorfalls, vorläufige Beschreibung von Störung, Auswirkung und vermuteter Ursache, Zeitpunkte, betroffene Sektoren, Verdacht auf böswilliges Handeln und auf grenzüberschreitende Auswirkungen, getroffene Maßnahmen, Kontaktdaten. Meldung nach 72 Stunden: Bestätigung oder Aktualisierung dieser Angaben, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren, Angaben zu Strafverfolgung und Maßnahmen. Abschlussmeldung: ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung oder Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen. Betreiber kritischer Anlagen geben zusätzlich die betroffene Anlage und die kritische Dienstleistung an.

Das kann das BSI anordnen: Es kann besonders wichtige und wichtige Einrichtungen verpflichten, die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des Dienstes beeinträchtigen könnte (§ 35 Abs. 1 BSIG). Einrichtungen aus Finanzwesen, Sozialversicherung und Grundsicherung für Arbeitsuchende, digitaler Infrastruktur, Verwaltung von IKT-Diensten und digitalen Diensten müssen potenziell betroffene Empfänger außerdem von sich aus über erhebliche Cyberbedrohungen und mögliche Abhilfemaßnahmen informieren (§ 35 Abs. 2 BSIG). Vertragliche Meldepflichten gegenüber Kunden, Versicherern oder Partnern kommen hinzu und sind gesondert zu prüfen.

Nicht nach § 32 BSIG. § 28 Abs. 6 BSIG nimmt Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA von den Meldepflichten des BSIG aus. Sie melden schwerwiegende IKT-bezogene Vorfälle nach den Vorgaben von DORA. Eine zusätzliche Meldung nach § 32 BSIG an das BSI ist für diese Unternehmen nicht vorgesehen.

Gemeldet wird in Deutschland über das BSI-Portal, vor der Registrierung über das Online-Formular im MIP, nicht über eigene Software. Werkzeuge wie SIEM, Ticketsystem oder eine Plattform für Incident Management helfen, die Angaben für die Meldung schnell zusammenzutragen: Zeitpunkte, betroffene Systeme, Maßnahmen, Kompromittierungsindikatoren. Entscheidend ist, dass diese Werkzeuge die Pflichtangaben der Meldestufen abbilden, Fristen ab der Kenntniserlangung überwachen und jede Meldung nachvollziehbar dokumentieren. Für den Zugang zum BSI-Portal braucht jede meldende Person ein ELSTER-Organisationszertifikat.