Warum NIS2 Meldepflichten verschärft

Unter der alten NIS-Richtlinie meldeten Unternehmen Sicherheitsvorfälle oft erst nach Wochen oder gar nicht. Die Folge: Behörden konnten weder warnen noch koordinieren. Angriffe breiteten sich über Branchengrenzen hinweg aus, ohne dass jemand die Muster erkannte.

NIS2 macht Schluss damit. Artikel 23 der Richtlinie (EU 2022/2555) definiert ein dreistufiges Meldesystem mit festen Fristen. Das Ziel ist nicht Bürokratie. Es geht darum, dass das BSI als zentrale Meldestelle frühzeitig von Angriffen erfährt und andere betroffene Unternehmen warnen kann.

Die Praxis zeigt, warum das wichtig ist: Bei großflächigen Ransomware-Kampagnen wie WannaCry oder NotPetya vergingen oft Tage, bis das Ausmaß sichtbar wurde. Jede Stunde ohne Meldung bedeutete mehr betroffene Organisationen. NIS2 will diesen Zeitraum auf maximal 24 Stunden für die erste Warnung verkürzen.

Die drei Meldestufen im Detail

Stufe 1: Frühwarnung innerhalb von 24 Stunden

Sobald ein Unternehmen einen erheblichen Sicherheitsvorfall erkennt, muss es innerhalb von 24 Stunden eine Frühwarnung an das BSI senden. Diese erste Meldung muss keine vollständige Analyse enthalten. Gefordert ist ein Minimum:

Die 24-Stunden-Frist beginnt ab dem Zeitpunkt, an dem das Unternehmen den Vorfall erkennt. Nicht ab dem Zeitpunkt, an dem er stattfand. Das ist ein wichtiger Unterschied: Ein Angriff, der wochenlang unentdeckt bleibt, löst die Frist erst bei Entdeckung aus.

In der Praxis bedeutet das: Wer keine Systeme zur Erkennung von Vorfällen betreibt, kann sich nicht darauf berufen, nichts bemerkt zu haben. Die Pflicht zur Erkennung ergibt sich aus den Sicherheitsanforderungen nach Artikel 21.

Stufe 2: Vorfallmeldung innerhalb von 72 Stunden

Innerhalb von 72 Stunden nach Erkennung muss eine ausführlichere Meldung folgen. Diese aktualisiert die Frühwarnung und enthält:

72 Stunden klingt nach viel Zeit. In der Realität eines laufenden Sicherheitsvorfalls ist das knapp. Teams sind mit Eindämmung und Wiederherstellung beschäftigt. Parallel eine strukturierte Meldung zu erstellen, erfordert vorbereitete Prozesse und Vorlagen.

Stufe 3: Abschlussbericht innerhalb von einem Monat

Spätestens einen Monat nach der Vorfallmeldung ist ein Abschlussbericht fällig. Dieser enthält:

Ist der Vorfall nach einem Monat noch nicht abgeschlossen, reicht zunächst ein Zwischenbericht. Der Abschlussbericht wird nachgereicht, sobald die Aufarbeitung beendet ist.

Artikel 23 Absatz 4 NIS2: „Die betroffenen Einrichtungen übermitteln dem CSIRT oder gegebenenfalls der zuständigen Behörde eine Frühwarnung unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem sie von dem erheblichen Sicherheitsvorfall Kenntnis erlangt haben."

Was als erheblicher Vorfall gilt

Nicht jede Störung löst die Meldepflicht aus. NIS2 definiert einen Vorfall als erheblich, wenn er:

In der Praxis bedeutet das: Ein Ransomware-Angriff, der Produktionssysteme verschlüsselt, ist eindeutig meldepflichtig. Ein fehlgeschlagener Phishing-Versuch ohne Auswirkung in der Regel nicht. Ein erfolgreicher Phishing-Angriff, bei dem Zugangsdaten erbeutet wurden, liegt im Graubereich und erfordert eine dokumentierte Bewertung.

Die Durchführungsverordnung der EU-Kommission (noch in Arbeit) wird weitere Kriterien definieren, zum Beispiel Schwellenwerte für die Anzahl betroffener Nutzer oder die Dauer einer Betriebsunterbrechung. Bis dahin empfiehlt sich: im Zweifel melden. Eine unnötige Meldung hat keine negativen Konsequenzen. Eine versäumte Meldung schon.

An wen wird gemeldet?

In Deutschland ist das BSI (Bundesamt für Sicherheit in der Informationstechnik) die zuständige Behörde. Das BSI betreibt das nationale CSIRT (Computer Security Incident Response Team) und nimmt die Meldungen über ein eigenes Meldeportal entgegen.

Nach Eingang der Frühwarnung kann das BSI Unterstützung anbieten. Das reicht von technischen Empfehlungen bis zur Koordination mit anderen betroffenen Einrichtungen. Das BSI kann auch Warnungen an die Öffentlichkeit oder an bestimmte Sektoren herausgeben.

Wichtig: Die Meldung an das BSI ersetzt nicht andere Meldepflichten. Wenn personenbezogene Daten betroffen sind, bleibt die DSGVO-Meldepflicht (72 Stunden an die zuständige Datenschutzbehörde) parallel bestehen. Ebenso bleiben branchenspezifische Meldepflichten bestehen, etwa im Finanzsektor (BaFin) oder im Energiesektor.

Das bedeutet: Ein Ransomware-Angriff mit Datenabfluss kann drei parallele Meldungen erfordern. An das BSI (NIS2), an die Datenschutzbehörde (DSGVO) und an die Branchenaufsicht. Wer diese Prozesse nicht vorab definiert hat, verliert im Ernstfall wertvolle Stunden.

Sanktionen bei Verstößen

NIS2 unterscheidet bei Bußgeldern zwischen wesentlichen und wichtigen Einrichtungen:

Die Meldepflicht ist kein isolierter Prüfpunkt. Wer keine Meldung abgibt, zeigt gleichzeitig, dass kein funktionierender Incident-Response-Prozess existiert. Das verschärft die Bewertung bei einer Aufsichtsprüfung erheblich.

Hinzu kommt die persönliche Haftung der Geschäftsführung. NIS2 nimmt Leitungsorgane in die Pflicht, die Umsetzung der Sicherheitsmaßnahmen zu genehmigen und zu überwachen. Dazu gehört auch der Meldeprozess.

Abgrenzung zur DSGVO-Meldepflicht

Die Verwechslung von NIS2- und DSGVO-Meldepflicht ist einer der häufigsten Fehler. Beide haben eine 72-Stunden-Frist, aber sie unterscheiden sich grundlegend:

Ein Vorfall kann beide Meldepflichten auslösen. Beispiel: Ein Angriff, bei dem Kundendaten exfiltriert werden, betrifft sowohl die DSGVO (personenbezogene Daten) als auch NIS2 (erheblicher Sicherheitsvorfall). In diesem Fall sind zwei separate Meldungen an unterschiedliche Behörden erforderlich.

Vorbereitung: Was Sie jetzt tun sollten

Die Meldepflicht funktioniert nur, wenn der interne Prozess steht, bevor der Vorfall eintritt. Folgende Schritte sind notwendig:

1. Incident-Response-Plan erstellen

Definieren Sie, wer im Unternehmen Vorfälle erkennt, bewertet und meldet. Legen Sie klare Zuständigkeiten fest: Wer entscheidet über die Erheblichkeit? Wer formuliert die Meldung? Wer gibt sie frei? Dokumentieren Sie den gesamten Prozess schriftlich und machen Sie ihn für alle relevanten Personen zugänglich.

2. Bewertungsmatrix für Vorfälle

Nicht jeder Vorfall ist meldepflichtig. Erstellen Sie Kriterien, anhand derer Ihr Team innerhalb von Minuten entscheidet, ob ein Vorfall die Erheblichkeitsschwelle überschreitet. Relevante Faktoren: Anzahl betroffener Systeme, Art des Datenverlusts, Dauer der Betriebsunterbrechung, Anzahl betroffener Personen, finanzielle Auswirkungen.

3. Meldevorlagen vorbereiten

Im Ernstfall zählt jede Stunde. Vorausgefüllte Templates für Frühwarnung, Vorfallmeldung und Abschlussbericht beschleunigen den Prozess erheblich. Halten Sie die BSI-Kontaktdaten und Zugangsdaten zum Meldeportal griffbereit. Idealerweise kennen mehrere Personen im Unternehmen den Zugang — nicht nur die IT-Leitung.

4. Regelmäßig üben

Ein Incident-Response-Plan, der nie getestet wurde, funktioniert im Ernstfall nicht. Simulieren Sie mindestens einmal jährlich einen meldepflichtigen Vorfall. Messen Sie, ob Ihr Team die 24-Stunden-Frist für die Frühwarnung tatsächlich einhalten kann. Dokumentieren Sie die Ergebnisse und passen Sie den Prozess an.

5. Parallele Meldepflichten klären

Prüfen Sie vorab, welche Meldepflichten neben NIS2 für Ihr Unternehmen gelten. DSGVO, branchenspezifische Vorgaben, vertragliche Pflichten gegenüber Kunden oder Versicherern. Erstellen Sie eine Übersicht: Welcher Vorfall löst welche Meldung an welche Stelle aus?

Eine Plattform wie Titan kann den gesamten Meldeprozess strukturieren: von der ersten Erkennung über die Bewertung bis zum Abschlussbericht. Jeder Schritt wird nachvollziehbar protokolliert — für interne Audits und für die Dokumentation gegenüber dem BSI.