NIS2-Meldepflicht: Das 4-Stufen-Meldesystem
Bei erheblichen Sicherheitsvorfällen ist binnen 24 Stunden die frühe Erstmeldung an das BSI fällig — nicht erst nach 72 Stunden. So funktioniert das vollständige Meldesystem nach §32 BSIG.
Das 4-Stufen-Meldesystem im Überblick
Das NIS2UmsuCG etabliert ein gestuftes Meldesystem für erhebliche Sicherheitsvorfälle. Die erste Frist beträgt 24 Stunden — nicht 72, wie vielfach falsch dargestellt. Die Meldung selbst schuldet die Einrichtung (§32 BSIG); die Geschäftsleitung trägt nach §38 BSIG die Umsetzungs- und Überwachungspflicht und haftet bei schuldhafter Verletzung der eigenen Einrichtung auf Schadensersatz.
Frühe Erstmeldung
24 StundenVerdacht auf rechtswidrige/böswillige Handlung? Grenzüberschreitende Auswirkungen möglich? Erste Einschätzung des Vorfalls.
Meldung über den Sicherheitsvorfall
72 StundenBestätigung oder Aktualisierung der frühen Erstmeldung, erste Bewertung inkl. Schweregrad, Auswirkungen und Indicators of Compromise (IoCs).
Zwischenmeldung
Auf Ersuchen des BSIUpdates zum laufenden Vorfall nach Bedarf. Das BSI kann jederzeit Zwischenmeldungen anfordern.
Abschlussmeldung
1 Monat nach Stufe 2Detaillierte Beschreibung des Vorfalls, Bedrohungsart, Ursachenanalyse, ergriffene Abhilfemaßnahmen. Ist der Vorfall nach einem Monat noch nicht bewältigt: Fortschrittsmeldung; die Abschlussmeldung folgt nach der Bewältigung des Vorfalls.
Was ist ein „erheblicher Sicherheitsvorfall"?
Nicht jeder Vorfall löst die Meldepflicht aus. Meldepflichtig sind nur erhebliche Sicherheitsvorfälle — Vorfälle, die:
Schwerwiegende Betriebsstörung
Der Vorfall verursacht oder kann schwerwiegende Betriebsstörungen der Dienste verursachen.
Finanzielle Verluste
Der Vorfall verursacht oder kann erhebliche finanzielle Verluste für die betroffene Einrichtung verursachen.
Schaden bei Dritten
Der Vorfall beeinträchtigt oder kann durch erheblichen materiellen oder immateriellen Schaden andere Personen beeinträchtigen.
Wie und wo melden?
Die Meldung erfolgt über das BSI-Portal. Die Meldepflicht gilt seit dem 6. Dezember 2025 — unabhängig davon, ob Ihre Einrichtung bereits beim BSI registriert ist.
BSI-Meldeportal
Meldungen erfolgen über portal.bsi.bund.de. Das BSI stellt Online-Formulare auch für noch nicht registrierte Einrichtungen bereit.
Registrierung erforderlich
Die Registrierung erfolgt über „Mein Unternehmenskonto“ (mein-unternehmenskonto.de) mit ELSTER-Organisationszertifikat. Für die Registrierung gilt eine Frist von drei Monaten (§33 Abs. 1 BSIG); sie endete am 6. März 2026.
Verstöße
Verstöße gegen die Meldepflicht können mit einem Bußgeld von bis zu 2 Mio. EUR gegen die Einrichtung geahndet werden (§65 BSIG). Die Meldepflicht gilt ab dem ersten Tag.
Frühzeitige Erkennung durch automatisches Monitoring
Wolf-Agents prüft Ihre Systeme alle 6 Stunden und alarmiert bei Verschlechterungen — ein Baustein zur frühzeitigen Erkennung von Sicherheitsvorfällen.
Monitoring ist ein Erkennungsbeitrag — kein vollständiges Incident-Response-System. Für die 24h-Meldepflicht benötigen Sie zusätzlich dokumentierte Meldeprozesse, definierte Rollen und getestete Eskalationswege.
Ist Ihre Incident-Response-Readiness ausreichend?
Prüfen Sie mit dem NIS2-Readiness-Check, ob Ihr Unternehmen auf die Meldepflichten vorbereitet ist. Alle 10 Maßnahmen finden Sie in der vollständigen NIS2-Checkliste.