borghei /nis2:meldepflicht-24h
Zweck
Die NIS2-Meldepflicht hat drei kaskadierende Fristen (24h / 72h / 1 Monat). Eine versäumte Frist ist persönlich haftungsrelevant für die Geschäftsleitung (Art. 20 NIS2). Dieser Skill orchestriert die Meldungen und liefert die Vorlagen.
Eingaben
- Klassifizierung der Einrichtung (wesentlich / wichtig — Anhang I/II)
- Art des Vorfalls (Cyberangriff / Systemausfall / Datenleck / Lieferkettenvorfall)
- Zeitpunkt der Kenntniserlangung
- Betroffene Dienste und potenzielle grenzüberschreitende Auswirkungen
- Vorab informierte Stellen (BSI, andere Aufsicht, Strafverfolgung)
Ablauf
1. Erheblichkeitsschwelle (Art. 23 Abs. 3 NIS2)
Vorfall ist meldepflichtig, wenn er
- schwerwiegende Betriebsstörungen oder erhebliche finanzielle Verluste verursacht oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle/immaterielle Schäden betreffen kann.
2. 24-Stunden-Frühwarnung
An die zuständige Behörde (in DE: BSI über das Online-Meldeportal), enthält:
- Verdacht auf rechtswidrige oder bösartige Handlung
- Grenzüberschreitende Auswirkungen
- Status: Frühwarnung („Initial notification")
3. 72-Stunden-Erstmeldung
Vollständige Vorfallmeldung mit:
- Bewertung der Schwere
- Bewertung des Risikos
- Ggf. Indikatoren der Kompromittierung (IoCs)
4. Zwischenbericht
Auf Verlangen der Behörde, kein statischer Termin. Sinnvoll bei länger andauernden Vorfällen.
5. Endbericht (innerhalb 1 Monat ab Erstmeldung)
- Detaillierte Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen
- Art der zugrunde liegenden Bedrohung oder Ursache
- Eingeleitete und laufende Abhilfemaßnahmen
- Ggf. grenzüberschreitende Auswirkungen
6. Verzahnung mit DSGVO Art. 33 / 34
Wenn personenbezogene Daten betroffen: zusätzliche DSGVO-Meldung an LfDI/BfDI binnen 72 h sowie ggf. Betroffenenbenachrichtigung Art. 34.
7. Strafverfolgung
Bei Verdacht auf Cyberstraftat (z. B. §§ 202a, 202c, 303a, 303b StGB): Anzeige an ZAC (Zentrale Ansprechstelle Cybercrime) erwägen.
Quellen
Statute
- Richtlinie (EU) 2022/2555 (NIS2) — Art. 20, 21, 23, Anhang I/II
- NIS2UmsuCG (deutsches Umsetzungsgesetz, im Gesetzgebungsverfahren befindlich Stand 2026-05)
- BSI – NIS2-Hinweise — Anlaufstelle für die Meldungen
- Art. 33 DSGVO für die DSGVO-Verzahnung
Sekundärliteratur
- Eckhardt, NIS2, 1. Aufl. 2024
- Voigt/Schmitz, Cybersicherheitsrecht, 2. Aufl. 2024
Ausgabeformat
NIS2-MELDUNG — <Vorfall-ID> — <Datum>
I. Einordnung der Einrichtung [wesentlich / wichtig]
II. Erheblichkeit (Art. 23 Abs. 3) [✅ / ❌]
III. Meldekaskade
24h-Frühwarnung Frist: <Datum + 24h> Status: <abgesetzt / offen>
72h-Erstmeldung Frist: <Datum + 72h> Status: <…>
Endbericht Frist: <Datum + 1M> Status: <…>
IV. Inhalte je Meldestufe <Schablonen-Verweise>
V. DSGVO-Verzahnung [N/A / 72h-Meldung erforderlich]
VI. Strafrechtliche Anzeige [N/A / erwägen — § 202a StGB usw.]
Eskalationspfad: <Geschäftsleitung wann / wie>
Nächster Schritt: <…>
Risiken / typische Fehler
- 24h-Frist beginnt mit Kenntniserlangung, nicht mit "Bestätigung". Verzögerungstaktiken kosten Haftung.
- Vergessene DSGVO-Verzahnung bei personenbezogenen Daten — doppelte Meldepflicht.
- Geschäftsleitung nicht eingebunden — NIS2 verlangt explizit Schulung und Verantwortlichkeit der Leitung (Art. 20).
- Lieferantenvorfall ignoriert — auch Sicherheitsvorfälle bei IT-Dienstleistern können meldepflichtig sein (Art. 21 Abs. 2 lit. d).
- „Bösartige Handlung" zu zögerlich angekreuzt — bei Verdacht (nicht erst bei Beweis) ankreuzen.