Wer unter die NIS2-Richtlinie fällt, trägt nicht nur technische Pflichten, sondern auch konkrete Meldepflichten gegenüber staatlichen Behörden. Gerade bei einem Sicherheitsvorfall zählt jede Stunde: Die NIS2-Meldepflicht schreibt vor, wann, wo und wie ein Vorfall gemeldet werden muss. Wer diese Anforderungen unterschätzt oder den Meldeprozess nicht vorbereitet hat, riskiert empfindliche Sanktionen, auch wenn der Vorfall selbst technisch gut bewältigt wurde.
Dieser Beitrag erklärt, welche Behörden zuständig sind, wie die Meldefristen konkret aussehen, welche Vorfälle überhaupt gemeldet werden müssen und wie Unternehmen intern die Voraussetzungen schaffen, um im Ernstfall handlungsfähig zu bleiben.
Zuständige Behörden je nach Sektor und Unternehmenstyp
Die NIS2-Meldestelle in Deutschland ist grundsätzlich das Bundesamt für Sicherheit in der Informationstechnik (BSI). Für die meisten betroffenen Unternehmen ist das BSI die primäre Anlaufstelle für die NIS2-Meldung bei erheblichen Sicherheitsvorfällen.
Allerdings gibt es sektorspezifische Besonderheiten. Unternehmen in regulierten Bereichen wie dem Finanzsektor, dem Gesundheitswesen oder der Energieversorgung können zusätzlich an sektorspezifische Aufsichtsbehörden berichten müssen. Die Bundesnetzagentur spielt etwa im Energie- und Telekommunikationsbereich eine Rolle, während im Finanzbereich die BaFin eigene Meldepflichten kennt, die parallel zu den NIS2-Anforderungen gelten können. Unternehmen sollten daher nicht nur prüfen, ob sie NIS2-pflichtig sind, sondern auch, welche weiteren Regulierungsrahmen für ihre Branche relevant sind.
Für Betreiber kritischer Anlagen und besonders wichtige Einrichtungen gelten teils strengere Anforderungen als für wichtige Einrichtungen. Das BSI hat für beide Kategorien eigene Meldeportale und Prozessabläufe eingerichtet, die im Vorfeld bekannt sein müssen.
Fristen und Stufen der NIS2-Meldepflicht
Die NIS2-Richtlinie sieht ein gestuftes Meldesystem vor, das klare zeitliche Grenzen setzt. Diese Fristen gelten ab dem Zeitpunkt, zu dem das Unternehmen Kenntnis von einem erheblichen Vorfall erlangt hat.
- Frühwarnung innerhalb von 24 Stunden: Eine erste Meldung muss dem BSI innerhalb von 24 Stunden übermittelt werden. Diese Frühwarnung muss noch keine vollständige Analyse enthalten, aber Angaben zur Art des Vorfalls und zu einem ersten Lagebild.
- Erstmeldung innerhalb von 72 Stunden: Spätestens 72 Stunden nach Kenntnisnahme folgt eine detailliertere Meldung mit einer ersten Bewertung des Schweregrads, der betroffenen Systeme und möglicher grenzüberschreitender Auswirkungen.
- Abschlussbericht nach einem Monat: Innerhalb von einem Monat nach der Erstmeldung ist ein vollständiger Abschlussbericht einzureichen, der den Vorfall, die Ursachen, die ergriffenen Maßnahmen und die Lessons Learned dokumentiert.
Diese Fristen sind nicht theoretisch. Wer im Ernstfall keine vorbereiteten Prozesse hat, wird kaum in der Lage sein, innerhalb von 24 Stunden eine strukturierte Meldung abzusetzen, während gleichzeitig die Incident Response läuft.
Welche Vorfälle tatsächlich meldepflichtig sind
Nicht jede Störung löst eine NIS2-Meldepflicht aus. Meldepflichtig sind ausschließlich erhebliche Sicherheitsvorfälle, also solche, die spürbare Auswirkungen auf die Erbringung von Diensten haben oder haben könnten.
Als Anhaltspunkte für die Erheblichkeit gelten unter anderem: eine signifikante Anzahl betroffener Nutzer oder Systeme, erhebliche finanzielle Verluste, ein längerer Ausfall kritischer Dienste sowie Vorfälle mit potenziellen Auswirkungen auf andere Unternehmen oder die öffentliche Sicherheit. Auch ein erfolgreicher Ransomware-Angriff, der den Betrieb auch nur teilweise lahmlegt, fällt in diese Kategorie.
Vorfälle, die zwar intern Aufwand verursachen, aber keine messbaren Auswirkungen auf Dienste oder Kunden haben, müssen in der Regel nicht gemeldet werden. Die Abgrenzung ist im Einzelfall nicht trivial und erfordert eine dokumentierte Bewertungsmethodik, die im Voraus festgelegt sein sollte.
Meldeprozess intern vorbereiten und dokumentieren
Ein funktionierender Meldeprozess entsteht nicht im Moment des Vorfalls. Er muss vorab definiert, getestet und allen relevanten Personen bekannt sein.
Verantwortlichkeiten klar zuweisen
Wer trifft die Entscheidung, ob ein Vorfall meldepflichtig ist? Wer verfasst die Frühwarnung? Wer kommuniziert mit dem BSI? Diese Rollen müssen namentlich benannt und vertreten sein. In vielen mittelständischen Unternehmen liegt diese Verantwortung beim IT-Leiter oder einem externen Informationssicherheitsbeauftragten.
Meldevorlagen und Eskalationspfade bereithalten
Vorbereitete Meldevorlagen für die 24-Stunden-Frühwarnung und die 72-Stunden-Erstmeldung sparen im Ernstfall wertvolle Zeit. Eskalationspfade müssen dokumentiert sein, einschließlich Kontaktdaten für das BSI-Meldeportal und interner Benachrichtigungsketten. Regelmäßige Übungen, auch als Tabletop-Exercise, helfen dabei, den Prozess zu festigen.
Parallel dazu sollte die interne Dokumentation von Vorfällen so strukturiert sein, dass sie die Anforderungen des Abschlussberichts bereits abdeckt. Wer Logs, Zeitstempel und Maßnahmen von Beginn an systematisch erfasst, hat beim Abschlussbericht erheblich weniger Aufwand.
Konsequenzen bei Verstößen gegen die Meldepflicht
Die NIS2-Richtlinie sieht empfindliche Sanktionen für Verstöße vor. Für besonders wichtige Einrichtungen können Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes.
Entscheidend ist, dass Sanktionen nicht nur bei einem Vorfall selbst, sondern explizit auch bei Verstößen gegen die Meldepflicht greifen. Ein Unternehmen, das einen erheblichen Vorfall nicht oder zu spät meldet, kann also unabhängig vom technischen Schaden zur Verantwortung gezogen werden. Darüber hinaus können Behörden bei wiederholten oder schwerwiegenden Verstößen auch Geschäftsführern persönlich Verantwortung zuweisen.
Die Meldepflicht ist damit kein bürokratisches Randthema, sondern ein eigenständiges Haftungsrisiko, das in der Unternehmensführung bewusst adressiert sein muss.
So unterstützt UBESAFE bei der NIS2-Meldepflicht
UBESAFE macht die NIS2-Umsetzung für Unternehmen beherrschbar, von der ersten Betroffenheitsprüfung bis zum laufenden Betrieb. Beim Thema Meldepflicht bedeutet das konkret:
- Analyse, ob das Unternehmen als wichtige oder besonders wichtige Einrichtung eingestuft wird und welche Meldepflichten daraus folgen
- Aufbau eines dokumentierten Meldeprozesses mit klaren Verantwortlichkeiten, Eskalationspfaden und praxistauglichen Vorlagen
- Einrichtung technischer Grundlagen wie 24/7-Monitoring, SIEM und Schwachstellen-Scanning, die eine schnelle Erkennung und Bewertung von Vorfällen ermöglichen
- Durchführung eines NIS2-Audits mit GAP-Analyse, das den aktuellen Reifegrad bewertet und konkrete Handlungsschritte ableitet
- Begleitung durch einen externen Informationssicherheitsbeauftragten, der im Ernstfall sofort handlungsfähig ist
Der anschließende Managed Service sorgt dafür, dass Prozesse nicht einmalig eingerichtet und dann vergessen werden, sondern kontinuierlich überprüft und angepasst werden. Interessierte Unternehmen können mit einem kostenlosen Erstgespräch starten und direkt klären, wo der eigene Handlungsbedarf liegt.