Meldepflicht
Definition
Die Meldepflicht nach NIS2UmsuCG verpflichtet betroffene Einrichtungen, erhebliche Sicherheitsvorfälle innerhalb strenger gesetzlicher Fristen an das BSI zu melden. Das dreistufige Meldesystem unterscheidet zwischen einer Frühwarnung innerhalb von 24 Stunden, einer vollständigen Meldung innerhalb von 72 Stunden und einem abschließenden Bericht nach spätestens einem Monat. Ziel ist es, das BSI in die Lage zu versetzen, schnell und koordiniert zu reagieren, andere betroffene Stellen zeitnah zu warnen und systemische Risiken zu erkennen, bevor sie sich auf weitere Einrichtungen ausbreiten. Nicht-Meldung ist kein Kavaliersdelikt: Sie kann zu Bußgeldern führen, die die Kosten der Meldeerfüllung weit übersteigen.
Rechtsgrundlage
Die Meldepflicht ist in § 32 BSIG geregelt und unterscheidet zwischen erheblichen Sicherheitsvorfällen, die zwingend gemeldet werden müssen, und bedeutenden Bedrohungen, die freiwillig gemeldet werden können. Frühwarnungen müssen innerhalb von 24 Stunden, vollständige Meldungen innerhalb von 72 Stunden nach Feststellung des Vorfalls an das BSI übermittelt werden. Ein vollständiger Abschlussbericht ist spätestens einen Monat nach dem Vorfall einzureichen. Das BSI hat gemäß § 33 BSIG eine zentrale elektronische Meldestelle eingerichtet und stellt Meldeformulare bereit.
Praktische Implikation
Betroffene Einrichtungen müssen vor dem ersten Vorfall klare interne Meldeprozesse definieren und proben: Wer stellt fest, dass ein meldepflichtiger Vorfall vorliegt? Wer übermittelt die Meldung an das BSI? Welche internen Sofortmaßnahmen sind parallel einzuleiten? Empfehlenswert ist ein Incident-Response-Playbook, das diese Abläufe für häufige Angriffsszenarien wie Ransomware, DDoS-Angriffe oder Datenpannen vorskizziert. Die 24-Stunden-Frist lässt keinen Spielraum für improvisierte Entscheidungen und erfordert vorab geübte, vollständig dokumentierte und getestete Prozesse mit klaren Verantwortlichkeiten. Alle drei Meldestufen sollten als Vorlagen im Meldeportal vorbereitet und mit zuständigen Personen kommuniziert sein, bevor ein Ernstfall eintritt.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen