NIS2 Vorfall melden: 24h-, 72h- und Monatsfrist richtig einhalten

Mit dem Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes ist die Meldung von Sicherheitsvorfällen für betroffene Unternehmen keine Kür mehr, sondern eine gesetzliche Pflicht mit harten Fristen. Das Tückische: Die kürzeste Frist beträgt nur 24 Stunden – und sie beginnt nicht, wenn die IT-Abteilung Zeit hat, sondern sobald ein erheblicher Vorfall bekannt wird. Wer die Meldekette nicht vorab geübt hat, verliert genau die Stunden, die zählen.

Dieser Artikel erklärt, welche Vorfälle meldepflichtig sind, welche drei Fristen gelten und wie KMU sich organisatorisch so aufstellen, dass die Meldung im Ernstfall nicht zur zweiten Krise wird.

Wann ist ein Vorfall „erheblich"?

Meldepflichtig sind „erhebliche Sicherheitsvorfälle". Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche Schäden beeinträchtigen kann. In der Praxis fallen darunter etwa Ransomware-Befall, größere Datenabflüsse, Ausfälle kritischer Dienste oder erfolgreiche Angriffe auf zentrale Systeme. Wichtig: Es kommt auf das Schadenspotenzial an, nicht erst auf den eingetretenen Schaden.

Die drei Fristen im Überblick

NIS2 sieht ein gestuftes Meldeverfahren an das BSI vor:

• Innerhalb von 24 Stunden – die Frühwarnung. Eine erste, knappe Meldung, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht und ob grenzüberschreitende Auswirkungen möglich sind. Hier geht es um Schnelligkeit, nicht um Vollständigkeit.
• Innerhalb von 72 Stunden – die Vorfallsmeldung. Eine erste Bewertung des Vorfalls inklusive Schweregrad, Auswirkungen und – soweit verfügbar – Kompromittierungsindikatoren.
• Innerhalb eines Monats – der Abschlussbericht. Eine ausführliche Darstellung mit Ursachenanalyse, ergriffenen Maßnahmen und Bewertung der Auswirkungen. Dauert der Vorfall noch an, ist ein Zwischenbericht fällig.

Diese Fristen sind nicht verhandelbar und gelten ab Kenntnis des Vorfalls. Genau deshalb entscheidet die Vorbereitung über die Einhaltbarkeit.

Was KMU jetzt organisatorisch brauchen

Drei Dinge entscheiden, ob die 24-Stunden-Frist realistisch ist. Erstens eine klare Meldekette: Wer entscheidet, dass ein Vorfall „erheblich" ist? Wer übermittelt die Meldung? Wer ist Stellvertreter im Urlaubsfall? Zweitens funktionierende Erkennung: Eine Frist ab Kenntnis nützt nichts, wenn ein Angriff tagelang unbemerkt bleibt – ohne kontinuierliches Monitoring fällt ein Vorfall oft erst auf, wenn der Schaden längst entstanden ist. Drittens vorbereitete Meldevorlagen, damit unter Stress nicht bei null begonnen wird.

Ein Managed-Detection-&-Response-Service mit 24/7-SOC erkennt erhebliche Vorfälle in Echtzeit – die Voraussetzung dafür, dass die NIS2-Uhr überhaupt rechtzeitig zu laufen beginnt. Valyros unterstützt zusätzlich bei der forensischen Erstbewertung, die ihr für die 72-Stunden-Meldung braucht. Mehr dazu unter Managed Detection & Response und NIS2-Compliance.

Meldevorlagen-Set: NIS2-konform von 24h bis Monatsbericht

Um KMU den Einstieg zu erleichtern, bieten wir ein kostenloses Meldevorlagen-Set an: Vorgefertigte Templates für die 24-Stunden-Frühwarnung, die 72-Stunden-Vorfallsmeldung und den Monats-Abschlussbericht – direkt verwendbar und an die Meldefelder des BSI angelehnt. Meldevorlagen anfordern.

Nächste Schritte: Prüfen Sie in einem kostenfreien Erstgespräch, ob Ihre Meldekette NIS2-tauglich ist und wie Sie die 24-Stunden-Frist sicher einhalten. NIS2-Compliance jetzt prüfen lassen.