Kritis Vorfallmeldung

/kritis-resilienz:kritis-vorfallmeldung

Zweck

Der Skill steuert die Meldung eines Vorfalls an einer kritischen Anlage unter Zeitdruck. Er klärt zuerst, welche Meldepflichten parallel laufen — KRITIS-DachG, BSIG/NIS2, DSGVO und sektorspezifische Pflichten sind eigenständig und verdrängen einander nicht — und liefert dann die Fristenkette und den Meldungsentwurf.

Eingaben

• Beschreibung des Vorfalls: Art, Ursache soweit bekannt, betroffene Anlage und Dienstleistung
• Zeitpunkt der Kenntnis — nicht des Eintritts
• Auswirkungen: Zahl und Anteil der Betroffenen, betroffenes Gebiet, Dauer bisher und voraussichtlich
• Ob der Vorfall andauert
• Ob zugleich ein IT-Sicherheitsvorfall (BSIG/NIS2) oder eine Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) vorliegt
• Sektorspezifische Meldepflichten (EnWG, AtG, WHG, StörfallV, TKG, LuftSiG u. a.)
• Ob eine Bereichsausnahme nach § 4 Abs. 2 greift

Sub-Agent-Architektur

Der Researcher beschafft § 18 KRITISDachG, die Verordnung nach § 18, das BSIG, Art. 33 DSGVO und die sektorspezifischen Meldenormen. Der Drafter erstellt die Meldelagekarte und den Meldungsentwurf. Der Reviewer rechnet die 24-Stunden- und die Monatsfrist nach, prüft die Pflichtinhalte des Abs. 2 und kontrolliert, dass keine parallele Meldepflicht übersehen wurde.

Ablauf

1. Meldelage klären — welche Pflichten laufen parallel

Dieser Schritt steht vor allem anderen. § 18 Abs. 1 S. 4 KRITISDachG stellt ausdrücklich klar: Meldepflichten aufgrund sonstiger gesetzlicher Vorgaben bleiben unberührt.

Ein Sabotageakt an einem Umspannwerk, der zugleich die Leitwarte kompromittiert und Kundendaten offenlegt, löst alle vier Pflichten aus. Die Meldungen sind inhaltlich abzustimmen, aber getrennt zu erstatten.

Vorschaltprüfung: Für Betreiber, die unter eine Bereichsausnahme des § 4 Abs. 2 KRITISDachG fallen — insbesondere DORA-Finanzunternehmen und den Sektor Informationstechnik und Telekommunikation —, gilt § 18 nicht; ihre Meldepflichten folgen dann DORA bzw. dem BSIG.

2. Fristenkette des § 18 Abs. 1 KRITISDachG

Die Frist läuft ab Kenntnis, nicht ab Eintritt des Vorfalls und nicht ab abgeschlossener Ursachenanalyse. „Unverzüglich" bedeutet ohne schuldhaftes Zögern; die 24 Stunden sind die Höchstgrenze, nicht der Regelzeitpunkt. Wer auf vollständige Aufklärung wartet, meldet zu spät — die Erstmeldung enthält nach Abs. 2 ausdrücklich nur die zum Zeitpunkt verfügbaren Informationen.

3. Pflichtinhalte der Meldung (§ 18 Abs. 2 KRITISDachG)

Die Meldungen müssen die zu ihrem Zeitpunkt verfügbaren Informationen enthalten, die erforderlich sind, damit Art, Ursache und mögliche — auch grenzüberschreitende — Auswirkungen und Folgen des Vorfalls ermittelt und nachvollzogen werden können. Insbesondere anzugeben sind:

1. die Anzahl und der Anteil der von dem Vorfall Betroffenen,
2. die bisherige und voraussichtliche Dauer des Vorfalls,
3. das betroffene Gebiet.

Die Erstmeldung ist damit bewusst als Lagemeldung konzipiert. Unsicherheiten werden als solche gekennzeichnet und in der Aktualisierung nachgeführt — nicht durch Verzögerung der Meldung aufgelöst.

4. Grenzüberschreitende Auswirkungen

Abs. 2 nennt ausdrücklich auch grenzüberschreitende Auswirkungen. Betrifft der Vorfall Dienstleistungen in oder für andere Mitgliedstaaten, ist das in der Meldung darzustellen; für Einrichtungen von besonderer Bedeutung für Europa gelten zusätzlich § 9 und § 10 KRITISDachG.

5. Nachbereitung

• § 19 KRITISDachG — Unterstützung der Betreiber durch die Behörden, auch freiwillige Angebote.
• § 13 KRITISDachG — Der Vorfall ist in Risikoanalyse und Resilienzplan zurückzuspiegeln; Ziel Abs. 1 Nr. 4 (zügige Wiederherstellung) wird am realen Ereignis gemessen (/kritis-resilienz:kritis-resilienzpflichten).
• § 21 KRITISDachG — Berichtspflichten.
• § 20 KRITISDachG — Die Geschäftsleitung trägt Umsetzungs- und Überwachungspflicht; ein Meldeversäumnis ist zugleich ein Governance-Thema (/kritis-resilienz:kritis-governance-haftung).

6. Sanktionen (§ 24 KRITISDachG)

Der Bußgeldkatalog des § 24 Abs. 1 knüpft an Registrierungs-, Anordnungs-, Audit- und Duldungspflichten an; die Rahmen reichen von 100.000 EUR bis 1.000.000 EUR (Abs. 2). Verwaltungsbehörde ist nach Abs. 3 in den Fällen des Abs. 1 Nr. 1 und Nr. 2 lit. a das BBK, im Übrigen die nach § 3 Abs. 2 S. 1 zuständige Behörde. Ob und in welchem Umfang ein Verstoß gegen die Meldepflicht des § 18 bußgeldbewehrt ist, ist am geltenden Wortlaut des § 24 Abs. 1 zu prüfen und nicht zu unterstellen [unverifiziert – prüfen].

Deterministische Berechnung

Die 24-Stunden-Frist läuft stundengenau ab Kenntnis und kennt keine Wochenend- oder Feiertagsverschiebung. Der Rechner in ../../../scripts/legal_calc/ macht nur die Arithmetik; der Kenntniszeitpunkt ist eine Tatsachenfeststellung und zu dokumentieren:

# § 18 Abs. 1 S. 1 KRITISDachG: ausführlicher Bericht binnen 1 Monat ab Kenntnis am 12.05.2026
python -m scripts.legal_calc.cli frist --ereignis 12.05.2026 --menge 1 --einheit monate --land BY

# Parallel: 72-Stunden-Frist des Art. 33 DSGVO ab Kenntnis
python -m scripts.legal_calc.cli frist --ereignis 12.05.2026 --menge 3 --einheit tage --land BY

Die 24-Stunden-Erstmeldung wird nicht kalendarisch gerechnet, sondern als Uhrzeit dokumentiert: Kenntnis am 12.05.2026 um 21:40 Uhr bedeutet Meldung spätestens am 13.05.2026 um 21:40 Uhr — und wegen „unverzüglich" regelmäßig deutlich früher.

Quellen

Statute

• § 4 KRITISDachG, § 9, § 10, § 13, § 18, § 19, § 20, § 21, § 24 KRITISDachG
• BSIG; Richtlinie (EU) 2022/2555 (NIS2) — EUR-Lex
• Art. 33, 34 DSGVO — EUR-Lex
• Richtlinie (EU) 2022/2557 (CER) — EUR-Lex
• Verordnung (EU) 2022/2554 (DORA), Art. 19 — EUR-Lex
• Verordnung nach § 18 KRITISDachG [unverifiziert – prüfen]

Kommentare und Literatur

• Kommentierungen zum KRITIS-Dachgesetz (Erscheinungsstand prüfen) [unverifiziert – prüfen]
• Gitter/Kipker, IT-Sicherheitsrecht (Meldepflichten im Vergleich).
• BBK und BSI, Hinweise zur gemeinsamen Meldestelle.

Rechtsprechung

Zu § 18 KRITISDachG existiert keine Rechtsprechung. Für den Begriff „unverzüglich" ist auf die allgemeine Judikatur zu § 121 BGB zurückzugreifen; jede Entscheidung ist vor Verwendung zu verifizieren [unverifiziert – prüfen].

Ausgabeformat

KRITIS-VORFALLMELDUNG — <Betreiber / Anlage> — <Datum>

I.   Vorschaltprüfung
     Bereichsausnahme § 4 Abs. 2:  [greift — § 18 nicht anwendbar / greift nicht]

II.  Meldelage (parallele Pflichten)
     § 18 KRITISDachG → BBK:       [ja — Fristen unten / nein]
     BSIG / NIS2 → BSI:            [ja / nein]
     Art. 33 DSGVO → Aufsicht:     [ja — 72 h / nein]
     Sektorrecht:                  <Norm, Behörde, Frist>
     Hinweis: § 18 Abs. 1 S. 4 - sonstige Meldepflichten bleiben unberührt

III. Fristenkette § 18 Abs. 1
     Kenntnis am:                  <Datum, Uhrzeit>
     Erstmeldung spätestens:       <Datum, Uhrzeit>  (24 h; „unverzüglich" = früher)
     Andauernder Vorfall:          [ja — Aktualisierung / nein]
     Ausführlicher Bericht bis:    <Datum>  (1 Monat ab Kenntnis)

IV.  Pflichtinhalte § 18 Abs. 2
     Art des Vorfalls:             <…>
     Ursache (soweit bekannt):     <…>   [Unsicherheit gekennzeichnet]
     Nr. 1 Anzahl und Anteil der Betroffenen: <…>
     Nr. 2 bisherige / voraussichtliche Dauer: <…>
     Nr. 3 betroffenes Gebiet:     <…>
     Grenzüberschreitende Auswirkungen: [ja — Darstellung / nein]

V.   Nachbereitung
     Rückspiegelung in § 12 / § 13: <Risikoanalyse, Resilienzplan, Ziel Abs. 1 Nr. 4>
     Berichtspflichten § 21:       <…>
     Governance § 20:              <Dokumentation der Geschäftsleiterbefassung>

VI.  Sanktionsrisiko § 24
     Einschlägiger Tatbestand:     <am Wortlaut geprüft>
     Rahmen:                       <100.000 / 200.000 / 500.000 / 1.000.000 EUR>
     Zuständige Bußgeldbehörde:    [BBK / Sektorbehörde nach § 3 Abs. 2 S. 1]

VII. Risiko: 🟢 / 🟡 / 🔴 <Begründung>
VIII.Quellenverzeichnis

Formulierungshilfe — Erstmeldung nach § 18 Abs. 1 KRITISDachG (Gerüst)

Erstmeldung eines Vorfalls nach § 18 Absatz 1 KRITIS-Dachgesetz

Betreiber:              <Name, Anschrift, Kontakt>
Kritische Anlage:       <Bezeichnung, Sektor, kritische Dienstleistung>
Registrierungs-Nr.:     <…>
Kenntnis des Vorfalls:  <Datum, Uhrzeit>
Meldung erstattet:      <Datum, Uhrzeit>

1. Art des Vorfalls
   <Kurzbeschreibung; als vorläufig gekennzeichnet>
2. Ursache
   <soweit bekannt; ausdrücklich als noch nicht abschließend geklärt>
3. Auswirkungen
   a) Anzahl und Anteil der Betroffenen: <…>
   b) Bisherige Dauer / voraussichtliche Dauer: <…>
   c) Betroffenes Gebiet: <…>
   d) Grenzüberschreitende Auswirkungen: <ja/nein, ggf. Staaten>
4. Ergriffene und geplante Maßnahmen
   <…>
5. Andauernder Vorfall
   [ja - Aktualisierung folgt / nein]
6. Weitere Meldungen
   <BSI nach BSIG / Datenschutzaufsicht nach Art. 33 DSGVO / Sektorbehörde>

Ansprechpartner rund um die Uhr: <Name, Telefon, E-Mail>

Risiken / typische Fehler

• Auf Ursachenklärung gewartet. Die Erstmeldung enthält nach § 18 Abs. 2 nur die verfügbaren Informationen; die 24 Stunden laufen ab Kenntnis.
• 24 Stunden als Regelzeitpunkt behandelt. § 18 Abs. 1 S. 1 verlangt unverzüglich; 24 Stunden sind die Höchstgrenze.
• Nur an das BSI gemeldet. Die KRITIS-Meldung geht an das BBK über die gemeinsame Meldestelle; die BSIG-Meldung bleibt daneben bestehen.
• Parallele Meldepflichten übersehen. § 18 Abs. 1 S. 4 lässt sonstige Pflichten ausdrücklich unberührt — DSGVO, BSIG und Sektorrecht sind getrennt zu erfüllen.
• Aktualisierung bei andauerndem Vorfall unterlassen (§ 18 Abs. 1 S. 2).
• Monatsbericht vergessen. § 18 Abs. 1 S. 3 verlangt ihn spätestens einen Monat nach Kenntnis.
• Pflichtangaben des Abs. 2 unvollständig — Anzahl und Anteil, Dauer und betroffenes Gebiet sind ausdrücklich benannt.
• Grenzüberschreitende Auswirkungen nicht dargestellt.
• Bußgeldrisiko unterstellt statt am Wortlaut des § 24 Abs. 1 geprüft.
• Rechtsprechung erfunden. Zu § 18 KRITISDachG gibt es keine; jede Entscheidung ist zu belegen oder als [unverifiziert – prüfen] zu kennzeichnen.