NIS2-Vorfallmeldung: Die Fristen von 24 Stunden, 72 Stunden und 1 Monat erklärt
Unter NIS2 ist die Vorfallmeldung weder optional noch flexibel. Bei einem erheblichen Vorfall haben Sie 24 Stunden für Ihre Erstmeldung — nicht 24 Geschäftsstunden. Vierundzwanzig Stunden ab dem Moment, in dem Sie Kenntnis erlangen.
Die drei Meldestufen
NIS2 Zeitplan für die Vorfallmeldung
Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Stufe 1: Frühwarnung — innerhalb von 24 Stunden
- Ob der Vorfall vermutlich durch böswillige Handlungen verursacht wurde
- Ob grenzüberschreitende Auswirkungen möglich sind
- Sie benötigen noch keine vollständige Analyse
Stufe 2: Vorfallmeldung — innerhalb von 72 Stunden
- Erste Bewertung von Schwere und Auswirkung
- Kompromittierungsindikatoren (IoCs) soweit verfügbar
- Update der Frühwarnung
Stufe 3: Abschlussbericht — innerhalb von 1 Monat
- Detaillierte Beschreibung des Vorfalls
- Ursachenanalyse
- Angewendete und laufende Gegenmaßnahmen
Was ist ein "erheblicher Vorfall"?
Handelt es sich um einen erheblichen Vorfall nach NIS2?
Hat der Vorfall erhebliche Betriebsunterbrechungen oder finanzielle Schäden verursacht oder könnte dies eintreten?
Hat der Vorfall andere Organisationen oder Personen betroffen oder könnte dies eintreten?
Dies ist wahrscheinlich kein erheblicher Vorfall — überwachen und dokumentieren Sie ihn für interne Zwecke.
Dies qualifiziert sich als erheblicher Vorfall — leiten Sie sofort die NIS2-Meldeverfahren ein.
Hat der Vorfall zu erheblichem Datenverlust oder einer Verletzung der Vertraulichkeit geführt?
Hat der Vorfall erhebliche Betriebsunterbrechungen oder finanzielle Schäden verursacht oder könnte dies eintreten?
Hat der Vorfall andere Organisationen oder Personen betroffen oder könnte dies eintreten?
Hat der Vorfall zu erheblichem Datenverlust oder einer Verletzung der Vertraulichkeit geführt?
Dies ist wahrscheinlich kein erheblicher Vorfall — überwachen und dokumentieren Sie ihn für interne Zwecke.
Dies qualifiziert sich als erheblicher Vorfall — leiten Sie sofort die NIS2-Meldeverfahren ein.
Beispiele erheblicher Vorfälle: Ransomware, Datenschutzverletzung, DDoS mit längerer Nichtverfügbarkeit, Lieferkettenkompromittierung.
Im Zweifelsfall: Melden. Übermeldung ist keine Verletzung. Untermeldung schon.
An wen melden Sie?
| Land | Aufsichtsbehörde | CSIRT |
|---|---|---|
| Deutschland | BSI | CERT-Bund |
| Belgien | CCB | CERT.be |
| Niederlande | RDI (erwartet) | NCSC-NL |
| Frankreich | ANSSI | CERT-FR |
| Italien | ACN | CSIRT Italia |
| Spanien | CCN-CERT / INCIBE | CCN-CERT / INCIBE-CERT |
| Polen | NASK (erwartet) | CERT Polska |
Ihren Meldeprozess aufbauen
Vorbereitung
- Behörden und CSIRT identifizieren, auf Meldeportalen registrieren
- Vorausgefüllte Meldevorlagen erstellen
- Rollen und Eskalationswege definieren
Während des Vorfalls
| Zeit | Aktion |
|---|---|
| T+0 | Vorfall erkannt — Frist läuft |
| T+1h | Erste Bewertung: potenziell erheblich? |
| T+4h | Geschäftsführung informieren |
| T+24h | FRIST: Frühwarnung einreichen |
| T+72h | FRIST: Vorfallmeldung einreichen |
| T+1 Monat | FRIST: Abschlussbericht einreichen |
Sanktionen
Nicht-Meldung innerhalb der Fristen ist eine eigenständige Verletzung mit eigenen Sanktionen — zusätzlich zu Strafen für den Sicherheitsvorfall selbst.
Häufige Fragen
"Was, wenn wir unsicher sind?"
Melden. Übermeldung ist keine Verletzung.
"Was ist mit DSGVO-Meldungen?"
Separate Verpflichtungen. NIS2-Meldung ersetzt nicht die DSGVO-Meldung und umgekehrt.
Starten Sie mit einem kostenlosen Quickscan
Unser kostenloser NIS2-Quickscan beinhaltet eine Bewertung Ihrer Vorfallmelde-Bereitschaft.
Lesen Sie auch
Noch eine Frage?
Antworten werden auf Basis unserer Artikel generiert und sind keine Rechtsberatung. Geben Sie keine persönlichen oder vertraulichen Daten ein.