- Welche Fristen gelten für die NIS2-Meldepflicht?
- § 32 BSIG sieht drei Stufen vor: eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; eine Meldung unverzüglich, spätestens binnen 72 Stunden; und eine Abschlussmeldung spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Alle Fristen knüpfen an die Kenntniserlangung an, nicht an den Zeitpunkt des Vorfalls selbst.
- Was muss in die 24-Stunden-Meldung?
- Sehr wenig — und das ist beabsichtigt. Anzugeben ist, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob grenzüberschreitende Auswirkungen möglich sind. Eine Ursachenanalyse wird zu diesem Zeitpunkt ausdrücklich nicht verlangt. Wer auf Gewissheit wartet, verletzt die Frist ohne Not.
- Welche Vorfälle sind meldepflichtig?
- Meldepflichtig sind erhebliche Sicherheitsvorfälle. Das BSIG verwendet den Begriff, ohne ihn an dieser Stelle zu definieren; maßgeblich sind schwerwiegende Betriebsstörungen, finanzielle Verluste sowie erhebliche Auswirkungen auf andere natürliche oder juristische Personen. Weil die Einstufung im Ernstfall unter Zeitdruck erfolgen muss, sollte sie vorab anhand eigener Schwellenwerte festgelegt und dokumentiert sein.
- Ab wann läuft die Frist?
- Ab Kenntniserlangung. Nicht ab dem Zeitpunkt des Angriffs, nicht ab Abschluss der Analyse und nicht ab der Freigabe durch die Geschäftsleitung. Deshalb gehört der Zeitpunkt der Kenntniserlangung dokumentiert — er ist der einzige Beleg dafür, dass die Frist gewahrt wurde.
- Was passiert nach der Abschlussmeldung?
- Der Vorgang ist gegenüber der Aufsicht abgeschlossen, intern beginnt die Auswertung. Die Abhilfemaßnahmen aus dem Abschlussbericht gehören in die Maßnahmenverfolgung, die Erkenntnisse in die Fortschreibung der Risikoanalyse. Ein Vorfall ohne dokumentierte Lehren erhöht die Wahrscheinlichkeit des nächsten.
- Wer meldet — Geschäftsleitung oder IT?
- Das Gesetz adressiert die Einrichtung, nicht eine bestimmte Rolle. In der Praxis meldet eine vorab benannte, meldeberechtigte Person aus dem Sicherheits- oder IT-Bereich, mit Vertretungsregelung. Die Geschäftsleitung ist unverzüglich zu informieren — ihre Freigabe darf die Meldung jedoch nicht verzögern.
