NIS2-Meldepflicht in Deutschland: Fristen, erhebliche Vorfälle und Meldewege

Das gestufte Meldesystem im Überblick

Die häufige Bezeichnung „vier Stufen“ umfasst eine frühe Erstmeldung, eine Folgemeldung, einen nur auf Anforderung erforderlichen Zwischenbericht und eine Abschlussmeldung. Nicht jeder Vorfall führt deshalb zu vier nacheinander fälligen Standardformularen.

Geltungsbereich der Tabelle: allgemeines deutsches Verfahren nach § 32; die zusätzlichen 24-Stunden-Mitteilungen für Vertrauensdienste folgen darunter gesondert.

Quelle der Fristen und Inhalte: § 32 Abs. 1 Satz 1 Nr. 1–4 BSIG. „Unverzüglich“ erlaubt kein grundloses Ausschöpfen der Stundenfristen. „Ein Monat“ ist keine pauschale Frist von 30 Tagen.

Synthetisches Beispiel für das allgemeine BSIG-Verfahren: Wird der erhebliche Vorfall am Freitag, 25. September 2026, um 10 Uhr bekannt, liegen die Höchstgrenzen bei Samstag, 26. September, 10 Uhr und Montag, 28. September, 10 Uhr. Eine Erstmeldung am Freitag um 12 Uhr setzt die 72 Stunden nicht neu in Gang. § 32 enthält keine allgemeine Wochenendpause. Beginnen Sie nicht erst am folgenden Arbeitstag mit der Bewertung und Eskalation.

Wenn der Vorfall nach einem Monat noch läuft

Dauert der Vorfall einen Monat nach Übermittlung der Folgemeldung noch an, verlangt § 32 Abs. 2 Satz 1 zu diesem Zeitpunkt eine Fortschrittsmeldung statt der Abschlussmeldung. Nach Satz 2 ist die Abschlussmeldung dem BSI „nach abschließender Bearbeitung“ des Vorfalls vorzulegen. Der deutsche Absatz nennt für diese spätere Abschlussmeldung keine zusätzliche zahlenmäßig bestimmte Monatsfrist.

Das ist von Art. 23 Abs. 4 Buchst. e der EU-Richtlinie zu unterscheiden: Dort wird die Abschlussmeldung bei einem fortdauernden Vorfall spätestens einen Monat nach dessen Behandlung verlangt. Die Richtlinienfrist wird hier nicht als identischer deutscher Gesetzeswortlaut ausgegeben. Für Ihren Ablauf heißt das: Den Monatstermin auch bei laufender Bearbeitung einhalten, den Abschluss der Bearbeitung dokumentieren und anschließend die Abschlussmeldung vorbereiten und übermitteln. Als organisatorische Empfehlung sollte dies ohne vermeidbare Verzögerung erfolgen. Daraus wird weder eine weitere deutsche Monatsfrist noch ein im Gesetz stehendes „sofort“ gemacht. § 32 Abs. 2 BSIG, Art. 23 Abs. 4 Buchst. e NIS2.

Besonderheit bei Vertrauensdiensten

Vertrauensdiensteanbieter dürfen für ihre sektoralen Mitteilungen nicht allgemein 72 Stunden einplanen. Neben dem BSIG enthält die unmittelbar geltende eIDAS-Verordnung eigene Mitteilungspflichten. Sie betreffen qualifizierte beziehungsweise nichtqualifizierte Anbieter bei der Erbringung der jeweiligen Vertrauensdienste – nicht jede Firma, die Zertifikate, elektronische Signaturen oder E-Mail nutzt.

Auslöser sind Sicherheitsverletzungen beziehungsweise Sicherheitsverstöße oder Störungen bei der Diensterbringung oder den jeweils genannten Betriebsmaßnahmen, die erhebliche Auswirkungen auf den Vertrauensdienst oder die darin gespeicherten personenbezogenen Daten haben. Das ist ein eigener Tatbestand, nicht bloß eine umbenannte BSIG-Meldung.

Die zweite Vorschrift verwendet im deutschen Text gerade nicht denselben Kenntniswortlaut wie Art. 19a. Erfassen Sie deshalb Ereignis- und Kenntniszeitpunkt getrennt und veranlassen Sie die einschlägigen Mitteilungen unverzüglich, sobald die Tatsachen bekannt sind; planen Sie keine pauschale zusätzliche 24-Stunden-Wartezeit ab Kenntnis ein. Diese Darstellung entscheidet keine Verschuldens- oder Sanktionsfrage für einen erst später entdeckten Vorfall. eIDAS, Art. 19a Abs. 1 Buchst. b und Art. 24 Abs. 2 Unterabs. 1 Buchst. fb.

In Deutschland weist § 2 Abs. 1 VDG die Aufsicht für die dort bezeichneten Signatur-, Siegel-, Zeitstempel- und Einschreibedienste sowie zugehörige Bewahrungsdienste der Bundesnetzagentur zu. Für Erstellung, Überprüfung und Validierung von Website-Authentifizierungszertifikaten ist das BSI zuständig. Die BSIG-Aufgaben bleiben nach Abs. 2 davon unberührt. Legen Sie im Meldeplan je Dienst den zuständigen Empfänger und den eigenen Übermittlungsweg fest; eine Meldung an die gemeinsame BSIG-Meldestelle belegt nicht automatisch die Mitteilung an alle eIDAS-Empfänger. § 2 VDG.

Davon zu trennen ist Art. 23 Abs. 4 Unterabs. 2 NIS2: Er verlangt für erhebliche Vorfälle mit Auswirkungen auf Vertrauensdienste bereits die ausführlichere Meldung nach Buchst. b binnen 24 Stunden ab Kenntnis. § 32 BSIG formuliert diese Verkürzung nicht ausdrücklich. Die Richtlinie wird hier weder in den deutschen Wortlaut hineingelesen noch allein als unmittelbar belastende Pflichtgrundlage behandelt. Die eigenständigen eIDAS-Mitteilungen gelten unabhängig von dieser Umsetzungsdifferenz. Für die Praxis werden beide Pflichtstränge im Vorfallplan getrennt geführt; 72 Stunden sind keine allgemeine Freigabe zum Abwarten. Art. 23 Abs. 4 NIS2, § 32 BSIG.

Was ist ein erheblicher Sicherheitsvorfall?

Die Einordnung hat zwei Schritte. Zunächst muss ein Sicherheitsvorfall vorliegen: ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten tatsächlich beeinträchtigt. Eine bloße Schwachstelle oder ein folgenlos abgewehrter Versuch ist nicht schon deshalb ein solcher Vorfall. Anschließend ist dessen Erheblichkeit zu prüfen. § 2 Nr. 1, 11, 38 und 40 BSIG.

Nach § 2 Nr. 11 genügt eine der dort genannten Folgen oder möglichen Folgen: schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung beziehungsweise erhebliche materielle oder immaterielle Schäden für andere Personen. Der Schaden muss noch nicht vollständig eingetreten oder beziffert sein. Die allgemeine deutsche Definition enthält keinen für sämtliche Einrichtungen geltenden festen Euro-Mindestbetrag.

Zusätzliche Kriterien für bestimmte digitale Dienste

Für die in Art. 1 der Durchführungsverordnung (EU) 2024/2690 genannten digitalen Dienste und Vertrauensdienste gelten deren Kriterien. Dazu gehören beispielsweise DNS-, Cloud- und Rechenzentrumsdienste sowie Managed Service Provider; ein gewöhnlicher Nutzer eines Cloud- oder Maildienstes fällt dadurch nicht automatisch selbst in diese Anbietergruppe.

Art. 3 nennt mehrere eigenständige Erheblichkeitsfälle. Einer betrifft direkte finanzielle Verluste von mehr als 500.000 Euro oder mehr als 5 % des Gesamtjahresumsatzes des vorangegangenen Geschäftsjahrs, wobei der niedrigere Schwellenwert maßgeblich ist. Andere Fälle betreffen etwa Geschäftsgeheimnisse, schwere Gesundheitsschäden oder bestimmte erfolgreiche unbefugte Zugriffe. Hinzu kommen wiederholte Vorfälle nach Art. 4 und dienstespezifische Kriterien der Art. 5–14. Für DNS-Dienste nennt Art. 5 beispielsweise vollständige Nichtverfügbarkeit von mehr als 30 Minuten. Die Euroregel ist deshalb weder ein universeller Grenzwert noch die einzige Meldeschwelle. DVO (EU) 2024/2690, Art. 1, 3–5.

Das BSI verwendet die Kriterien des Art. 3 Abs. 1 auch als Orientierung für andere Einrichtungen: Bei ihrer Erfüllung kann nach seinen Hinweisen von Erheblichkeit ausgegangen werden. Diese Verwaltungshinweise machen die gesamte Verordnung nicht automatisch auf jede Branche anwendbar und geben unterhalb der Werte keine allgemeine Entwarnung. BSI: Hinweise zur NIS2-Meldepflicht.

Wann liegt Kenntnis vor?

Ein unklarer Alarm und die Kenntnis eines erheblichen Vorfalls sind nicht dasselbe. Verdächtige Ereignisse müssen aber zeitnah bewertet werden. Für die von der Durchführungsverordnung erfassten Einrichtungen erläutert Erwägungsgrund 31 die Kenntnis anhand einer Anfangsbewertung, nach der mit hinreichender Gewissheit ein erheblicher Vorfall festgestellt wird. Er erlaubt kein Hinauszögern dieser Bewertung.

Das BSI erläutert den deutschen Beginn dahin, dass die Kenntnis eines Mitarbeitenden innerhalb seiner Arbeitszeit genügt; eine Information oder Freigabe der Geschäftsleitung ist danach nicht erst der Startpunkt. Das ist eine behördliche Auslegung, kein wörtlicher Zusatz des § 32. Organisieren Sie deshalb kurze Eskalationswege und halten Sie fest, wann welche belastbaren Erkenntnisse vorlagen. Die Formulierung zur Arbeitszeit begründet keine generelle Fristpause für die Einrichtung am Wochenende. BSI-Meldehinweise, DVO, Erwägungsgrund 31.

Wie und wo wird gemeldet?

Gesetzlicher Empfänger ist die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. § 32 Abs. 1 Satz 2 knüpft den Beginn der Verpflichtung frühestens an die Einrichtung des Meldewegs. Eine fehlende Registrierung verschiebt eine bereits bestehende Meldepflicht nicht.

Bei grenzüberschreitenden digitalen Anbietern gehört die Zuständigkeitsprüfung davor: § 60 enthält insbesondere Regeln zur EU-Hauptniederlassung und zu Vertretern von Anbietern ohne EU-Niederlassung. Die deutsche Meldestelle ist deshalb nicht automatisch für jeden Dienst mit deutschen Kunden zuständig. § 60 BSIG.

Nach den aktuell gelesenen BSI-Hinweisen ist für NIS2-Registrierung und Vorfallmeldung das BSI-Portal vorgesehen. Ist eine Einrichtung noch nicht registriert, verweist das BSI auf das MIP-Onlineformular für Meldungen ohne Registrierung. Betreiber kritischer Anlagen und Bundesbehörden sollen ihre etablierten MIP-Prozesse übergangsweise weiter nutzen. Maßgeblich ist die Zuordnung des eigenen Meldefalls; aus mehreren angebotenen Wegen folgt keine Aufforderung zu unnötigen Doppelmeldungen. BSI: Registrierung und Meldewege, BSI-Meldepflicht.

Prüfen Sie Zugang, Berechtigung, Vertretung und den von der Behörde vorgesehenen Weg vor einem Vorfall. Ein allgemeines Kontaktformular, eine Schwachstellenmeldung oder eine Nachricht an den Datenschutzbeauftragten ersetzt nicht automatisch die erforderliche Meldung an die zuständige Stelle.

Registrierung und Vorfallmeldung sind unterschiedliche Aufgaben

Die Registrierung nach § 33 Abs. 1 ist grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit erforderlich. Die erste Frist 6. März 2026 betrifft Einrichtungen, die schon am 6. Dezember 2025 erfasst waren. Spätere Betroffenheit löst eine eigene Frist aus. Für bestimmte digitale Einrichtungsarten sind außerdem die Angaben des § 34 zu beachten.

Bei kritischen Anlagen reicht es nicht, den heute angezeigten § 33 isoliert zu lesen: § 66 hält Teile der früheren Fassung bis zum Inkrafttreten der dort bezeichneten KRITIS-Verordnung anwendbar. Dazu gehören die zusätzlichen Registrierungsangaben und die bisherige Regel zu jährlichen Änderungen bestimmter Versorgungs- und Komponentendaten; andere Änderungen sind grundsätzlich unverzüglich, spätestens zwei Wochen nach Kenntnis, mitzuteilen. Die neue KRITIS-Systematik ist keine allgemeine Aussetzung bestehender NIS2-Registrierung. §§ 33, 34, 66 BSIG.

Was eine einsatzfähige Meldungsvorbereitung enthält

Führen Sie ein Vorfalljournal mit Zeitpunkten, Erkenntnisstand und Entscheidungen. Erfassen Sie betroffene Dienste, bekannte oder mögliche Auswirkungen, Ansprechpartner, bereits getroffene Maßnahmen und offene Fragen. Für Betreiber kritischer Anlagen verlangt § 32 Abs. 3 zusätzliche Angaben zur betroffenen Anlage und kritischen Dienstleistung.

Unterscheiden Sie bestätigte Tatsachen von Arbeitshypothesen. Reichen Sie die gesetzlich erforderlichen Informationen nach dem jeweiligen Kenntnisstand ein und ergänzen Sie sie im weiteren Verfahren. Laut BSI sind Korrekturen durch Aktualisierung beziehungsweise Folgemeldungen vorzunehmen; ein unvollständiger Erkenntnisstand ist kein Grund, die erste Meldung bis zum Ende der Analyse zurückzuhalten. Der hier empfohlene Aufbau des Journals ist eine Arbeitshilfe, keine zusätzliche gesetzliche Formularliste.

Welche anderen Meldungen können hinzukommen?

Bei einer Verletzung personenbezogener Daten prüft der Verantwortliche zusätzlich Art. 33 DSGVO: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsicht, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist voraussichtlich ausgeschlossen. Auftragsverarbeiter informieren den Verantwortlichen unverzüglich. Bei voraussichtlich hohem Risiko kann außerdem die Benachrichtigung der betroffenen Personen nach Art. 34 erforderlich sein. DSGVO, Art. 33–34.

Für DORA-Finanzunternehmen bestehen andere Meldefolgen und Fristbezüge. Weder die DSGVO noch DORA darf durch einfaches Kopieren der BSIG-Tabelle abgearbeitet werden. Eine gemeinsame interne Fallakte kann helfen; die Rechtsgrundlagen, Schwellen, Empfänger und Übermittlungen bleiben getrennt zu prüfen.

Welche Folgen kann eine unterlassene oder verspätete Meldung haben?

§ 65 Abs. 2 Nr. 4 und 5 erfasst Meldeverstöße. Für die betreffenden Tatbestände sieht Abs. 5 Satz 1 Nr. 1 Höchstrahmen bis 10 Mio. Euro bei besonders wichtigen und bis 7 Mio. Euro bei wichtigen Einrichtungen vor. Bei einem Unternehmen mit mehr als 500 Mio. Euro weltweitem Gesamtumsatz greifen für die erfassten Fälle die Umsatzrahmen nach Abs. 6–8 von bis zu 2 % beziehungsweise 1,4 %. Das sind keine automatischen Bußgelder nach jedem Vorfall. Für Registrierungsverstöße gilt ein anderer Rahmen. § 65 BSIG.

Was ein Außencheck zur Einordnung beiträgt

Ein Web-, E-Mail- oder API-Außencheck kann ausgewählte öffentlich beobachtbare Konfigurationen erfassen. Er ist keine kontinuierliche Vorfallerkennung, kein forensischer Nachweis und kein vollständiges Lagebild Ihrer Einrichtung. Ein fehlender Header oder DNS-Eintrag belegt keinen meldepflichtigen Angriff; ein guter Score schließt einen solchen ebenso wenig aus.

Trennen Sie in Ihrer Fallakte technische Beobachtung, daraus abgeleitetes Risiko und festgestelltes Ereignis. Ergänzen Sie interne Protokolle, Informationen betroffener Dienstleister und die tatsächlichen Auswirkungen. Die Meldeentscheidung beruht auf diesem Sachverhalt und dem anwendbaren Recht, nicht auf einer Punktzahl.

Die Meldekette vor dem Ernstfall prüfen

Gehen Sie mit den Zuständigen einen synthetischen Vorfall durch: Wer bewertet die Erheblichkeit? Wann beginnt die Uhr? Wer kann auch bei Abwesenheit melden? Wo liegen Zugang und sichere Kommunikationsmöglichkeit? Wer ergänzt Informationen und hält den Abschluss nach?

Dokumentieren Sie festgestellte Lücken und schließen Sie sie. Eine Selbstauskunft über vorhandene Prozesse bestätigt noch keinen funktionierenden Meldeweg. Die NIS2-Checkliste ordnet die weiteren Maßnahmen; der Ratgeber zur Geschäftsleitungsverantwortung erklärt Umsetzung, Aufsicht und Delegation.