Erheblicher Sicherheitsvorfall
Definition
Ein erheblicher Sicherheitsvorfall im Sinne des NIS2UmsuCG ist ein Sicherheitsvorfall, der entweder erhebliche Betriebsstörungen bei der Erbringung von Diensten verursacht hat oder andere Einrichtungen oder Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Als Kriterien für die Erheblichkeit gelten insbesondere: Anzahl betroffener Nutzer, Dauer des Vorfalls, geografische Verbreitung, Auswirkungen auf kritische Dienste, wirtschaftlicher Schaden sowie Reputationsschäden. Die Unterscheidung zwischen erheblichen und nicht erheblichen Vorfällen ist zentral für die Meldepflicht gegenüber dem BSI, da nur erhebliche Vorfälle den strengen Meldefristen unterliegen.
Rechtsgrundlage
Der Begriff des erheblichen Sicherheitsvorfalls ist in § 2 Nr. 5 BSIG legaldefiniert und wird durch die Kriterien des Art. 23 Abs. 3 NIS-2-Richtlinie (EU) 2022/2555 konkretisiert. Das BSI hat ergänzende Leitlinien zur Erheblichkeitsbewertung veröffentlicht, die typische Szenarien und Schwellenwerte beschreiben. Für erhebliche Vorfälle gelten gemäß § 32 BSIG gestaffelte Meldefristen: Erstmeldung innerhalb von 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussbericht nach einem Monat. Die ENISA hat auf EU-Ebene ebenfalls Leitlinien zur Einheitlichkeit der Erheblichkeitsbewertung erarbeitet, an denen sich das BSI orientiert.
Praktische Implikation
Einrichtungen sollten interne Kriterien und Entscheidungsbäume zur Klassifizierung von Sicherheitsvorfällen entwickeln, bevor ein Vorfall eintritt. Unklare Fälle sollten im Zweifel als erheblich behandelt werden, da eine unterlassene Meldepflicht bußgeldbewehrt ist. Der Incident-Response-Prozess muss die Erheblichkeitsbewertung als formellen Schritt mit dokumentierter Begründung enthalten. Zusätzlich zur BSI-Meldung können bei besonders schwerwiegenden Vorfällen Informationspflichten gegenüber betroffenen Nutzern und weiteren Behörden entstehen. Die Dokumentation der Erheblichkeitsbewertung einschließlich der herangezogenen Kriterien und der verantwortlichen Entscheider ist für spätere BSI-Prüfungen essenziell. Regelmäßige Tabletop-Übungen, in denen das Meldeverfahren durchgespielt wird, helfen, die Abläufe zu festigen und im Ernstfall die Fristen einzuhalten.
Verwandte Begriffe
Verwandte Inhalte
Leistungen
Checklisten
Glossar
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen