Die Meldepflicht ist der Teil von NIS2, der im Ernstfall am meisten Druck macht — weil die erste Frist sehr kurz ist und ausgerechnet dann läuft, wenn im Betrieb ohnehin Ausnahmezustand herrscht. Die gute Nachricht: Der Ablauf ist klar geregelt, und man kann ihn vorbereiten. Dieser Beitrag erklärt die drei Stufen und zeigt, was Sie vorher festlegen sollten.
Die drei Stufen der Meldung
Die Fristen bauen aufeinander auf und haben unterschiedliche Zwecke. Wichtig zu verstehen: Die 24-Stunden-Meldung ist bewusst nur ein Signal, keine fertige Analyse.
- Frühwarnung (24 Stunden): ein kurzes Signal an das BSI, dass ein erheblicher Vorfall vorliegt — mehr nicht. Eine vollständige Ursachenanalyse ist ausdrücklich nicht verlangt. Lieber vorläufig und rechtzeitig melden und später aktualisieren, als die Frist zu reißen.
- Vollständige Meldung (72 Stunden): die inhaltliche Meldung mit erster Bewertung — was ist passiert, was ist betroffen, welche Maßnahmen laufen.
- Abschlussbericht (1 Monat): der Rückblick, wenn der Vorfall verarbeitet ist — Ursache, Ablauf, ergriffene Maßnahmen. Ist der Vorfall früher abgeschlossen, geht der Bericht früher raus.
Wann ist ein Vorfall „erheblich“?
Meldepflichtig sind nicht alle Störungen, sondern erhebliche Sicherheitsvorfälle — grob: solche, die den Betrieb der Dienste ernsthaft stören können oder zu spürbaren Schäden führen. Die genaue Abgrenzung liefert das BSI in seinen Vorgaben. Im Zweifel gilt der praktische Grundsatz: Eine Frühwarnung zu viel ist unproblematisch, eine zu wenig kann teuer werden.
Wie Sie sich vorbereiten
- Zugang klären: BSI-Portal-Registrierung und Zugangsdaten bereithalten, bevor sie gebraucht werden.
- Rollen benennen: Erkennung, Entscheidung, Meldung — mit Vertretung, denn Vorfälle halten sich nicht an Bürozeiten.
- Ablaufblatt erstellen: eine Seite, die den Weg von „Vorfall bemerkt“ bis „Frühwarnung abgesetzt“ beschreibt.
- Einmal üben: den Ablauf trocken durchspielen, damit im Ernstfall Routine statt Ratlosigkeit herrscht.
- Mit dem Notfallplan verzahnen: die Meldung ist ein Baustein des größeren Incident-Response- und Wiederanlaufplans, kein Einzelstück — wie er entsteht, zeigt der Beitrag zu den NIS2-Maßnahmen nach Artikel 21.
So wird aus einer bedrohlich kurzen Frist eine abgehakte Formalie. Der Aufwand vorher ist gering — der Unterschied im Ernstfall ist groß.
Kostenloser Download
NIS2-Checkliste für KMU als PDF
Neun Seiten zum Ausfüllen: Betroffenheit klären, Basis-Maßnahmen mit Punktwert bewerten, Meldepflicht vorbereiten, Pflichten der Geschäftsleitung belegen. Kostenlos gegen Newsletter-Anmeldung.
Frage zu diesem Artikel?
Schreiben Sie mir — ich antworte persönlich, in der Regel innerhalb eines Werktags.