Die zunehmende Professionalisierung von Cyberkriminellen und die Häufung schwerwiegender Angriffe auf kritische Infrastrukturen machen Cybersicherheit zu einer der zentralen Herausforderungen für Unternehmen und Behörden. Die europäische NIS2-Richtlinie reagiert auf diese Entwicklung: Sie schafft EU-weit einheitliche Mindeststandards, verschärft die Sicherheitsanforderungen und definiert klare Meldepflichten, damit Risiken frühzeitig erkannt und Schäden begrenzt werden. In Deutschland wurde die Richtlinie mit dem NIS2-Umsetzungsgesetz in das BSI-Gesetz (BSIG) überführt; zuständige Meldestelle ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Dieser Beitrag erläutert, welche Cybergefahren besonders relevant sind, welche Vorfälle meldepflichtig sind und welche Fristen im Ernstfall gelten.
Cybergefahren im Fokus der NIS2
Die Bedrohungslage ist vielfältig: Ransomware-Angriffe legen ganze Produktionslinien lahm, gezielte Phishing-Kampagnen kompromittieren Zugangsdaten, und über Schwachstellen in der Lieferkette dringen Angreifer indirekt in kritische Systeme ein. Besonders gefährlich sind moderne Angriffsmethoden, die Schwachstellen automatisiert ausnutzen, sich lateral im Netzwerk bewegen und erst spät entdeckt werden.
Häufig bleiben Angreifer über längere Zeit unbemerkt im Netzwerk und leiten große Datenmengen ab, bevor der Angriff überhaupt erkannt wird. Betroffen sind oft personenbezogene Daten, Zugangsdaten, Betriebsgeheimnisse oder sicherheitskritische Informationen. Solche Vorfälle erreichen in der Praxis häufig die Schwelle eines meldepflichtigen erheblichen Sicherheitsvorfalls.
NIS2 folgt dem Grundsatz, dass keine Organisation davon ausgehen kann, nicht Ziel eines Angriffs zu werden. Entscheidend ist vielmehr, Angriffe frühzeitig zu erkennen, Auswirkungen zu begrenzen und Sicherheitsvorfälle transparent zu melden, damit Behörden und betroffene Einrichtungen gemeinsam reagieren können.
Was gilt als meldepflichtiger Vorfall?
Meldepflichtig sind erhebliche Sicherheitsvorfälle. Ein Sicherheitsvorfall gilt als erheblich, wenn er
- schwerwiegende Betriebsstörungen der erbrachten Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Typische Beispiele sind Angriffe, die die Verfügbarkeit von IT-Systemen stören, Daten exfiltrieren oder die Integrität betrieblicher Abläufe gefährden.
Je komplexer moderne Angriffe sind, desto schwerer lässt sich in der frühen Phase einschätzen, wie groß der Schaden tatsächlich ist. Deshalb sieht NIS2 eine zeitnahe, gestufte Meldung vor – die erste Meldung erfolgt bereits, bevor alle Details bekannt sind.
Die Meldefristen – was Unternehmen wann tun müssen
| Frist | Meldung | Wesentlicher Inhalt |
|---|---|---|
| Spätestens 24 Stunden | Frühe Erstmeldung (Frühwarnung) | Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen |
| Spätestens 72 Stunden | Meldung des Sicherheitsvorfalls | Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen, ggf. Kompromittierungsindikatoren |
| Auf Anfrage | Zwischenmeldung | Relevante Statusaktualisierungen |
| Spätestens 1 Monat nach der 72-Stunden-Meldung | Abschlussmeldung (bzw. Fortschrittsmeldung, falls der Vorfall noch andauert) | Ausführliche Beschreibung, Ursache, getroffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Die frühe Erstmeldung innerhalb von 24 Stunden
Spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall muss eine erste Meldung an die zuständige Behörde – in Deutschland das BSI – erfolgen. Diese Frühwarnung dient dazu, Hinweise auf potenziell weitreichende Angriffe schnell zu bündeln. Sie enthält die Angabe, ob ein Verdacht auf eine rechtswidrige oder böswillige Handlung besteht und ob der Vorfall grenzüberschreitende Auswirkungen haben könnte. Erste Hinweise auf Datenabfluss oder den möglichen Verlust sensibler Informationen sollten bereits hier mitgeteilt werden. Gerade bei Ransomware-Wellen oder systematischen Angriffskampagnen ist ein schnelles Lagebild entscheidend, um weitere Einrichtungen zu schützen.
Die Vorfallmeldung nach 72 Stunden
Innerhalb von 72 Stunden nach Kenntniserlangung folgt eine ausführlichere Meldung. Unternehmen beschreiben zu diesem Zeitpunkt, was über Art, Ursache und Auswirkungen des Angriffs bekannt ist, und geben eine erste Bewertung des Schweregrads ab. Sinnvoll ist es, bereits darzulegen, welche Daten betroffen sind, wie groß das Ausmaß eines möglichen Abflusses ist und welche technischen Analysen durchgeführt wurden. In dieser Phase wird häufig deutlich, wie tief Angreifer bereits in die Systeme eingedrungen sind.
Die Abschlussmeldung innerhalb eines Monats
Spätestens einen Monat nach der 72-Stunden-Meldung ist eine Abschlussmeldung einzureichen. Sie dient der vollständigen Ursachenanalyse: Unternehmen legen dar, wie der Angriff ablief, welche Schwachstellen ausgenutzt wurden, welche Daten letztlich betroffen waren und welche Maßnahmen zur Wiederherstellung und Prävention umgesetzt wurden. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung und die Abschlussmeldung nach Abschluss der Bearbeitung vorzulegen. Gerade bei immer ausgefeilteren Angriffen ist dieser Schritt zentral für die Weiterentwicklung der eigenen Cyberresilienz.
Warum die Meldevorschriften so wichtig sind
Cyberangriffe betreffen längst nicht mehr nur einzelne Unternehmen – sie können ganze Versorgungsbereiche und damit das öffentliche Leben beeinträchtigen. NIS2 setzt daher auf Transparenz und Kooperation: Die Meldepflichten sollen sicherstellen, dass Angriffswellen früh erkannt und systemische Risiken besser eingeschätzt werden.
Auch die Unternehmen selbst profitieren: Eine klar definierte Meldekette verbessert die interne Reaktionsfähigkeit und fördert eine Kultur, in der Sicherheitsvorfälle ernst genommen und professionell bearbeitet werden.
Laufende Zusammenarbeit mit den Behörden
Im Verlauf eines Vorfalls können die Behörden weitere Informationen, Zwischenstände oder zusätzliche Sicherheitsmaßnahmen verlangen. Die Kooperationspflicht ist kontinuierlich und endet nicht mit der Erstmeldung.
Weitere Melde- und Informationspflichten
Neben der Meldung an das BSI können je nach Art des Vorfalls weitere Pflichten bestehen.
Meldung von Datenschutzverletzungen nach DSGVO
- Sind personenbezogene Daten betroffen, ist die Verletzung in der Regel innerhalb von 72 Stunden zusätzlich der zuständigen Datenschutz-Aufsichtsbehörde zu melden (Art. 33 DSGVO).
- Besteht ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen – etwa bei geleakten Passwörtern, Gesundheits- oder Finanzdaten –, sind auch die Betroffenen unverzüglich zu informieren (Art. 34 DSGVO).
Mehr dazu erfahren Sie auf unserer Seite Datenschutz gemäß DSGVO.
Information von Kunden und Partnern
Kann ein erheblicher Sicherheitsvorfall die Erbringung der Dienste beeinträchtigen, sind die Empfänger dieser Dienste gegebenenfalls unverzüglich zu unterrichten. Das gilt besonders bei Lieferkettenangriffen, kompromittierten Zugangsdaten oder einem Datenabfluss, der mehrere Organisationen betreffen könnte. Darüber hinaus können vertragliche Informationspflichten gegenüber Kunden und Partnern bestehen.
Sofortmaßnahmen ergreifen und dokumentieren
NIS2 verlangt nicht nur eine Meldung, sondern auch angemessene Maßnahmen zur Bewältigung von Sicherheitsvorfällen. Dazu zählen die Isolierung betroffener Systeme, die sofortige technische Analyse, Eindämmung und Monitoring, Kommunikationsmaßnahmen sowie die Wiederherstellung kritischer Dienste. Eine saubere Dokumentation erleichtert sowohl die Meldungen als auch den späteren Nachweis gegenüber der Behörde.
Praxistipps: So bereiten Sie Ihre Meldekette vor
- Kriterien festlegen, wann ein Vorfall als „erheblich“ einzustufen ist, und Verantwortlichkeiten für die Bewertung benennen.
- Einen Melde- und Eskalationsprozess mit Zuständigkeiten, Vertretungen und Kontaktdaten dokumentieren – inklusive DSGVO-Meldung.
- Vorlagen für Erstmeldung, 72-Stunden-Meldung und Abschlussmeldung vorbereiten.
- Den Ablauf regelmäßig in Notfallübungen trainieren.
Unterstützung beim Aufbau finden Sie unter Risikomanagement und Notfallmanagement. Im akuten Ernstfall hilft Ihnen unsere Seite Cyber-Notfall weiter.
Fazit
NIS2 ist ein zentraler Baustein für mehr Cybersicherheit in Europa. Die gestuften Meldepflichten – 24 Stunden, 72 Stunden, ein Monat – schaffen klare Abläufe, die im Ernstfall entscheidend sind, um Schäden zu begrenzen: im eigenen Unternehmen ebenso wie im größeren gesellschaftlichen Kontext.
Wer seine Prozesse frühzeitig anpasst, Mitarbeitende sensibilisiert und die Meldekette einübt, erfüllt nicht nur die gesetzlichen Pflichten, sondern ist auch besser gegen immer raffiniertere Cyberangriffe geschützt.
NIS2-Pflichten mit mabs-compliance umsetzen
Sie möchten wissen, ob Ihr Unternehmen unter NIS2 fällt, oder Ihren Meldeprozess rechtssicher aufsetzen? Auf unserer Seite NIS2 – Pflichten umsetzen und in unserem Whitepaper zu NIS2 finden Sie weitere Informationen. Sprechen Sie uns gerne an – wir unterstützen Sie bei Betroffenheitsprüfung, Risikomanagement und Incident-Response-Prozessen.