Wer unter die NIS2-Richtlinie fällt, steht bei einem Sicherheitsvorfall unter Zeitdruck. Die Meldepflicht nach NIS2 ist keine abstrakte Anforderung, sondern ein konkreter Prozess mit festen Fristen, definierten Inhalten und klaren Zuständigkeiten. Wer diese Anforderungen nicht kennt oder intern nicht vorbereitet ist, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden, die sich kaum reparieren lassen.
Die NIS2-Richtlinie gilt seit 2023 EU-weit und verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen dazu, erhebliche Cybersicherheitsvorfälle unverzüglich an die zuständigen nationalen Behörden zu melden. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Anlaufstelle. Was genau gemeldet werden muss, in welchen Fristen und was intern dafür vorhanden sein muss, erklärt dieser Beitrag.
Die drei Meldestufen und ihre Fristen im Überblick
Das NIS2-Meldesystem ist dreistufig aufgebaut. Jede Stufe hat eine eigene Frist und einen eigenen Informationsumfang, der von der betroffenen Organisation erwartet wird.
- Frühwarnung (24 Stunden): Innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls muss eine erste Meldung erfolgen. Zu diesem Zeitpunkt reicht eine knappe Erstinformation: Handelt es sich vermutlich um einen böswilligen Angriff, und hat der Vorfall grenzüberschreitende Auswirkungen?
- Erstmeldung (72 Stunden): Spätestens 72 Stunden nach Bekanntwerden folgt eine ausführlichere Meldung mit einer ersten Bewertung des Vorfalls, der betroffenen Systeme und der eingeleiteten Maßnahmen.
- Abschlussbericht (einen Monat): Innerhalb eines Monats nach der Erstmeldung ist ein vollständiger Abschlussbericht einzureichen. Dieser enthält eine detaillierte Beschreibung des Vorfalls, der Ursachen, der Auswirkungen und der ergriffenen Gegenmaßnahmen.
Diese Fristen gelten ab dem Moment, in dem die Organisation Kenntnis von dem Vorfall erlangt, nicht ab dem tatsächlichen Eintrittszeitpunkt. Das bedeutet: Wer einen Vorfall intern spät erkennt, hat trotzdem weniger Zeit für die Reaktion.
Was als meldepflichtiger Vorfall gilt
Nicht jede Störung oder jedes Sicherheitsereignis löst automatisch eine NIS2-Meldepflicht aus. Entscheidend ist, ob ein Vorfall als „erheblich“ einzustufen ist. Die Richtlinie definiert dafür mehrere Kriterien, die einzeln oder in Kombination zutreffen können.
Ein Vorfall gilt als erheblich, wenn er zu einer schwerwiegenden Betriebsstörung der betroffenen Dienste geführt hat oder führen kann, erhebliche finanzielle Verluste verursacht, oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden betroffen hat. Dazu zählen etwa Ransomware-Angriffe mit Systemausfällen, Datenverluste mit Auswirkungen auf Kundendaten oder DDoS-Angriffe, die kritische Dienste unterbrechen.
Schwieriger einzuschätzen sind Vorfälle an der Grenze dieser Kriterien: ein Phishing-Angriff ohne erfolgreiche Kompromittierung, ein kurzer Systemausfall ohne Datenverlust. Hier braucht es eine dokumentierte interne Bewertungslogik, damit Entscheidungen nachvollziehbar und konsistent getroffen werden. Wer diese NIS2-Anforderungen systematisch aufbereitet hat, kann im Ernstfall schnell und sicher entscheiden.
Interne Voraussetzungen für fristgerechte Meldungen
24 Stunden sind wenig. Wer in diesem Zeitfenster eine strukturierte Meldung abgeben will, muss die Prozesse lange vorher aufgebaut haben.
Erkennung und Eskalation
Die erste Voraussetzung ist technische Sichtbarkeit: Sicherheitsvorfälle müssen erkannt werden, bevor sie gemeldet werden können. Das setzt ein funktionierendes Monitoring voraus, idealerweise mit SIEM-Systemen und 24/7-Alarmierung. Ohne diese Grundlage kann die interne Erkennungszeit so lang werden, dass die gesetzlichen Fristen kaum noch einzuhalten sind.
Klare Zuständigkeiten und Kommunikationswege
Wer meldet an wen, und wer entscheidet über die Einstufung als „erheblich“? Diese Fragen müssen vorab beantwortet und dokumentiert sein. Ein Incident-Response-Plan legt fest, welche Rollen im Ernstfall aktiv werden, wer die Kommunikation mit dem BSI übernimmt, und welche internen Genehmigungen für eine Meldung erforderlich sind. Ohne diese Strukturen entstehen Verzögerungen genau dann, wenn keine Zeit dafür ist.
Dokumentation und Nachvollziehbarkeit
Alle Schritte im Umgang mit einem Vorfall müssen lückenlos dokumentiert werden, von der ersten Erkennung über die Bewertung bis zur Meldung. Diese Dokumentation dient nicht nur der Behördenkommunikation, sondern auch dem internen Lernen und der Nachweisführung gegenüber Aufsichtsbehörden.
Folgen bei Fristversäumnis oder fehlerhafter Meldung
NIS2 ist keine Empfehlung. Wer Meldepflichten verletzt, riskiert empfindliche Sanktionen. Für wesentliche Einrichtungen sieht die Richtlinie Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gelten 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes als Obergrenze.
Neben den finanziellen Konsequenzen können Behörden bei schwerwiegenden Verstößen auch operative Maßnahmen anordnen, etwa die vorübergehende Aussetzung von Diensten oder die Abberufung von Führungskräften. Besonders heikel: Geschäftsführer und Vorstände haften in bestimmten Fällen persönlich für die Einhaltung der NIS2-Pflichten. Das ist eine direkte Verantwortung, die nicht an die IT-Abteilung delegiert werden kann.
Fehlerhafte Meldungen, also Meldungen, die unvollständig, falsch oder zu spät eingereicht werden, können ähnliche Konsequenzen haben wie ausgebliebene Meldungen. Die Qualität der Kommunikation mit dem BSI zählt.
Meldepflichten als Teil eines ganzheitlichen NIS2-Programms
Meldeprozesse lassen sich nicht isoliert aufbauen. Sie sind das Ergebnis eines funktionierenden Informationssicherheitsmanagementsystems, das Risikoerkennung, technische Schutzmaßnahmen, organisatorische Prozesse und klare Governance miteinander verbindet.
Wer NIS2 nur als Meldeverpflichtung betrachtet, greift zu kurz. Die Richtlinie verlangt ein kontinuierliches Sicherheitsniveau, das regelmäßig überprüft und dokumentiert wird. Dazu gehören Schwachstellenmanagement, Patchmanagement, Lieferkettensicherheit und ein strukturiertes Risikomanagement. Meldeprozesse funktionieren nur dann zuverlässig, wenn diese Grundlagen stehen.
Für viele mittelständische Unternehmen bedeutet das eine erhebliche organisatorische Herausforderung, besonders wenn interne IT-Ressourcen knapp sind und kein dediziertes Sicherheitsteam vorhanden ist. In solchen Fällen kann ein externer Informationssicherheitsbeauftragter (ISB) oder CISO die Lücke schließen, indem er Governance, Meldeprozesse und technische Maßnahmen koordiniert, ohne dass das Unternehmen eigene Spezialisten aufbauen muss.
So unterstützt UBESAFE bei der NIS2-Meldepflicht
UBESAFE macht die NIS2-Umsetzung beherrschbar, von der ersten Betroffenheitsprüfung bis zum laufenden Betrieb. Gerade beim Aufbau von Meldeprozessen zeigt sich, wie eng technische und organisatorische Maßnahmen zusammenhängen. UBESAFE verbindet beides aus einer Hand.
- NIS2-Audit mit GAP-Analyse: Bewertung des aktuellen Reifegrades, Identifikation fehlender Prozesse und Dokumentation des Handlungsbedarfs
- Aufbau von Meldeprozessen: Definition von Eskalationswegen, Zuständigkeiten, Meldevorlagen und Entscheidungslogiken für die Vorfallsbewertung
- Technische Maßnahmen: 24/7-Monitoring, SIEM, Schwachstellen-Scan und Patchmanagement als Grundlage für rechtzeitige Vorfallserkennung
- Managed Service: Kontinuierliche Überwachung, regelmäßige Reviews und Anpassung an neue Anforderungen, damit NIS2-Konformität dauerhaft erhalten bleibt
- Externer ISB/CISO: Strategische Steuerung und operative Unterstützung ohne eigenes Spezialistenteam
Ob als vollumfängliches Paket oder als gezielte Ergänzung bestehender Strukturen: UBESAFE liefert die Komponenten, die für eine rechtssichere und praxistaugliche NIS2-Umsetzung gebraucht werden. Wer den eigenen Stand kennen möchte, kann mit einem kostenlosen Erstaudit starten und sich ein konkretes Bild der offenen Punkte verschaffen.