Meldepflichten nach NIS-2

Die Meldepflichten nach NIS-2 sind in Deutschland in § 32 des BSI-Gesetzes (BSIG) geregelt, das mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz neu gefasst wurde. Sie gelten für besonders wichtige und wichtige Einrichtungen und richten sich an eine gemeinsame Meldestelle des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe. Gemeldet wird nicht jede Störung, sondern nur ein erheblicher Sicherheitsvorfall.

Erheblich ist ein Vorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann. Für bestimmte digitale Anbieter, etwa Cloud- und Rechenzentrumsdienste, DNS-Anbieter, Online-Marktplätze und Vertrauensdiensteanbieter, gilt nach Angaben des BSI die genauere Definition der Durchführungsverordnung (EU) 2024/2690. Für alle übrigen Sektoren zieht das BSI die Kriterien aus Art. 3 Abs. 1 dieser Verordnung als Maßstab heran.

Drei Stufen, drei Fristen

Das Gesetz staffelt die Meldung, damit die Behörde früh informiert ist, ohne dass das Unternehmen sofort alles wissen muss:

• Frühe Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis des Vorfalls. Anzugeben ist vor allem, ob ein rechtswidriger oder böswilliger Angriff vermutet wird und ob der Vorfall über Grenzen hinweg wirken kann.
• Meldung über den Vorfall: unverzüglich, spätestens 72 Stunden nach Kenntnis. Sie bestätigt oder aktualisiert die Erstmeldung und enthält eine erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls mit Kompromittierungsindikatoren.
• Abschlussmeldung: spätestens einen Monat nach der 72-Stunden-Meldung, mit ausführlicher Beschreibung, wahrscheinlicher Ursache, getroffenen und laufenden Abhilfemaßnahmen. Dauert der Vorfall dann noch an, tritt eine Fortschrittsmeldung an ihre Stelle; die Abschlussmeldung folgt nach dem Ende der Bearbeitung.

Auf Ersuchen des BSI kommen Zwischenmeldungen hinzu. Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung machen. Gemeldet wird über das BSI-Portal, das das BSI im Januar 2026 freigeschaltet hat; wer noch nicht registriert ist, nutzt laut BSI ein Online-Formular im Melde- und Informationsportal als Ausweichweg.

Warum die Meldepflicht Chefsache ist

Die Fristen laufen ab Kenntnis, nach der Auslegung des BSI ab dem Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter während der Arbeitszeit vom Vorfall erfährt. Damit entscheidet nicht die Geschäftsleitung, wann die Uhr zu laufen beginnt, sondern die Organisation. Wer keinen Weg hat, auf dem ein Verdacht binnen Stunden bis zur verantwortlichen Stelle gelangt, verliert die erste Frist, bevor überhaupt jemand entschieden hat.

Verstöße sind bußgeldbewehrt. Wer nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig meldet, handelt nach § 65 BSIG ordnungswidrig. Der Bußgeldrahmen reicht bei besonders wichtigen Einrichtungen bis 10 Millionen Euro, bei wichtigen Einrichtungen bis 7 Millionen Euro. Bei Unternehmen mit mehr als 500 Millionen Euro Jahresumsatz können es bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes sein. Hinzu kommt die Überwachungspflicht der Geschäftsleitung nach § 38 BSIG: Ein funktionierender Meldeprozess gehört zu den Risikomanagementmaßnahmen, deren Umsetzung sie überwachen muss.

Die Meldung an das BSI ersetzt keine anderen Pflichten. Sind personenbezogene Daten betroffen, verlangt Art. 33 der Datenschutz-Grundverordnung eine eigene Meldung an die Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden. Zudem kann das BSI nach § 35 BSIG anordnen, dass Kunden unterrichtet werden. Einrichtungen aus Sektoren wie digitale Infrastruktur, Finanzwesen oder digitale Dienste müssen ihre Kunden bei erheblichen Cyberbedrohungen zudem über mögliche Abhilfemaßnahmen informieren, soweit deren Interesse überwiegt.

Wie eine Meldung in der Praxis abläuft

Das BSI rät ausdrücklich: Schnelligkeit vor Vollständigkeit. Meldungen lassen sich nicht zurückziehen, aber durch Folgemeldungen korrigieren. Dienstleister dürfen zur Abgabe ermächtigt werden, die Verantwortung bleibt aber bei der Einrichtung.

Ein denkbares Szenario: Am Freitagabend bemerkt ein Mitarbeiter in der Buchhaltung verschlüsselte Dateien auf einem Netzlaufwerk und meldet das dem IT-Bereitschaftsdienst. Ab diesem Moment läuft die 24-Stunden-Frist. Fällt am Samstag die E-Mail aus, braucht das Krisenteam einen vorab festgelegten Ausweichweg, Zugangsdaten zum BSI-Portal, die nicht im verschlüsselten Netz liegen, und eine Person, die über die Meldung entscheiden darf. Parallel prüft die Datenschutzbeauftragte, ob Kundendaten betroffen sind und die Aufsicht informiert werden muss.

Abgrenzung der Meldewege

Worauf es bei der Vorbereitung ankommt

• Erheblichkeit vorab festlegen: Kriterien für erhebliche Vorfälle so konkret beschreiben, dass das Bereitschaftsteam nachts nicht erst juristisch prüfen muss.
• Meldeweg außerhalb der eigenen IT: Zugang zum BSI-Portal, Kontaktlisten und Vorlagen so ablegen, dass sie auch bei einem Ausfall der eigenen Systeme erreichbar sind.
• Entscheidungsbefugnis klären: Wer gibt die Meldung frei, wer vertritt, und wann wird die Geschäftsleitung informiert?
• Dienstleister vertraglich einbinden: Fristen und Informationspflichten von IT-Dienstleistern an die eigenen Meldefristen koppeln, denn deren Kenntnis kann die eigene Uhr starten.
• Üben und dokumentieren: Den Ablauf mindestens einmal im Jahr durchspielen und das Ergebnis festhalten; das stützt auch den Nachweis der Überwachungspflicht.

Quellen

• BSIG: § 32 Meldepflichten
• BSIG: § 65 Bußgeldvorschriften
• BSI: NIS-2-Meldepflicht
• BSI: BSI-Portal freigeschaltet, Pressemitteilung Januar 2026
• EU: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)

*** Keine Rechtsberatung. Dieser Eintrag ordnet rechtliche Rahmenbedingungen strategisch ein und ersetzt keine Rechtsberatung im Einzelfall.