NIS2-Meldepflicht: 24 Stunden ab Kenntnis — die eine Pflicht, die direkt im Bußgeldkatalog steht

Es ist Freitag, 19:40 Uhr, als Ihr IT-Dienstleister anruft: Verschlüsselung auf drei Servern, Ausfall unklar, Angriff wahrscheinlich. In diesem Moment läuft eine Uhr, die Sie nicht sehen — denn Paragraf 32 BSIG gibt Ihnen ab der Kenntnis eines erheblichen Sicherheitsvorfalls 24 Stunden für die frühe Erstmeldung ans BSI. Nicht ab der forensischen Bestätigung, nicht ab Montagfrüh: ab Kenntnis. Und anders als die Geschäftsleitungspflicht des Paragraf 38, die wir gestern zerlegt haben, steht diese Pflicht wörtlich im Bußgeldkatalog.

Dieser Beitrag geht die Meldearchitektur so durch, wie das Gesetz sie gebaut hat: welche Vorfälle nach Paragraf 2 Nummer 11 BSIG „erheblich“ sind, die Kaskade von bis zu vier Meldungen nach Paragraf 32, die drei Wege, auf denen eine Meldung die gemeinsame Meldestelle erreicht, die zweite und dritte Uhr, die parallel starten — die DSGVO-Meldung und die Kunden-Unterrichtung nach Paragraf 35 — und was die versäumte Frist nach Paragraf 65 kostet. Für jede wichtige und besonders wichtige Einrichtung nach Paragraf 28 BSIG ist das der Paragraph, den man vor dem ersten Vorfall kennen sollte, nicht währenddessen.

Die Kaskade: eine Pflicht, bis zu vier Meldungen

Paragraf 32 Absatz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zur Meldung an eine gemeinsame Meldestelle, die das BSI und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtet haben. Die Pflicht entfaltet sich in Stufen, und die erste Stufe ist bewusst dünn: Innerhalb von 24 Stunden nach Kenntniserlangung steht die frühe Erstmeldung — mit dem einzigen Inhalt, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. Das Gesetz verlangt einen Verdacht, keine Ursache — für die Antwort braucht niemand eine Forensik.

Innerhalb von 72 Stunden folgt die Meldung zum Sicherheitsvorfall: Sie bestätigt oder aktualisiert die Erstmeldung und ergänzt eine erste Bewertung — Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren. Auf Ersuchen des Bundesamtes folgen Zwischenmeldungen zu relevanten Statusänderungen. Einen Monat nach der Vorfallsmeldung ist die Abschlussmeldung fällig: ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung beziehungsweise ihrer Ursache, getroffene und laufende Abhilfemaßnahmen sowie etwaige grenzüberschreitende Auswirkungen. Läuft der Vorfall zu diesem Zeitpunkt noch, tritt nach Paragraf 32 Absatz 2 eine Fortschrittsmeldung an die Stelle; die Abschlussmeldung folgt nach der Bearbeitung. Betreiber kritischer Anlagen schulden nach Absatz 3 eine weitere Ebene: Art der betroffenen Anlage, die kritische Dienstleistung und die Auswirkungen des Vorfalls auf sie.

Was „erheblich“ heißt — die Schwelle liegt niedriger als gedacht

Paragraf 2 Nummer 11 BSIG definiert den erheblichen Sicherheitsvorfall über zwei alternative Beine. Bein eins: Der Vorfall verursacht — oder kann verursachen — schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung. Bein zwei: Er beeinträchtigt — oder kann beeinträchtigen — andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden. Das operative Wort ist kann. Eine Ransomware-Detonation, die ein erreichbares Backup traf, hat den Ausfall noch nicht verursacht — aber sie kann ihn verursachen, und die Uhr läuft bereits.

Zwei Abgrenzungen halten die Definition ehrlich. Der Beinahevorfall des Paragraf 2 Nummer 1 — das Ereignis, dessen Eintritt erfolgreich verhindert wurde — ist nach Paragraf 32 nicht meldepflichtig. Für ihn hält Paragraf 5 BSIG den freiwilligen Weg gesetzlich offen — auf Wunsch anonym, auch für Beinahevorfälle und Unternehmen außerhalb des Anwendungsbereichs — und Paragraf 30 Absatz 7 garantiert, dass aus einer freiwilligen Meldung keine zusätzlichen Pflichten erwachsen. Und eine Anlagenstörung ohne Dienst- oder Drittdimension bleibt unter der Schwelle; das Bein verlangt die Betriebsstörung der Dienste oder den finanziellen Verlust, nicht die bloße Anwesenheit von Schadsoftware.

Wohin die Meldung geht — drei Wege zu einer Meldestelle

Die Meldestelle ist eine gemeinsame von BSI und BBK, und Paragraf 32 Absatz 1 Satz 2 knüpfte die Pflicht an die Einrichtung des Meldewegs — eine Klausel, die inzwischen Vergangenheit ist: Der Weg steht seit dem Inkrafttreten des Gesetzes am 6. Dezember 2025. Nach den Hinweisen des BSI zur Meldepflicht teilt sich der Weg nach dem eigenen Stand: Wer im BSI-Portal registriert ist, meldet dort; wer von NIS2 betroffen, aber noch nicht registriert ist, nutzt ein Online-Formular im Melde- und Informationsportal (MIP); Betreiber kritischer Anlagen und Bundesbehörden bleiben übergangsweise auf ihren bisherigen MIP-Wegen. Die Portal-Dokumentation ergänzt, dass freiwillige Vorfallsmeldungen und anonyme Schwachstellenmeldungen für alle offenstehen.

Wer melden darf, ist weiter gefasst als die meisten erwarten: Grundsätzlich kann jede Mitarbeiterin und jeder Mitarbeiter melden, in einer Einrichtung können mehrere Personen meldeberechtigt sein, und die Einrichtung kann Unternehmen oder Dienstleister zur stellvertretenden Meldung ermächtigen — die Verantwortung für Vorfall und Meldungsinhalt bleibt trotzdem beim Betreiber. Zwei nachgelagerte Mechanismen verdienen Notiz: Nach Paragraf 32 Absatz 5 stellt das BSI eingegangene Meldungen den zuständigen Bundesaufsichtsbehörden unverzüglich zur Verfügung, und nach Absatz 6 kann es Unterstützungsangebote zur Behebung machen. Das BSI quittiert Meldungen und verarbeitet sie sanitisiert in Lageprodukten — die Meldung informiert die nationale Lage, sie verschwindet nicht still.

Die zweite Uhr: Datenschutz — und die dritte: die eigenen Kunden

Ein erheblicher Vorfall mit personenbezogenen Daten startet eine zweite Uhr unter einem anderen Gesetz. Artikel 33 DSGVO verlangt die Meldung einer Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde — anderer Auslöser (personenbezogene Daten statt Dienststörung), anderer Empfänger (die Landesdatenschutzbeauftragte statt des BSI), andere Frist. Beide Uhren laufen parallel; keine ersetzt die andere. Was das BSIG ergänzt, ist ein Schutz vor doppelter Ahndung: Paragraf 65 Absatz 11 untersagt eine zweite Geldbuße nach dem BSIG, wenn eine DSGVO-Aufsicht dasselbe Verhalten bereits gebüßt hat.

Die dritte Uhr zeigt auf die eigenen Dienstempfänger. Nach Paragraf 35 Absatz 1 BSIG kann das BSI besonders wichtigen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall zu unterrichten — das Gesetz erlaubt ausdrücklich die Unterrichtung per Veröffentlichung auf der eigenen Website. Paragraf 35 Absatz 2 geht für fünf digitalnahe Sektoren weiter — Finanzwesen, Leistungen der Sozialversicherung und Grundsicherung, digitale Infrastruktur, Verwaltung von IKT-Diensten, digitale Dienste: Dort müssen Einrichtungen potenziell betroffene Empfänger aktiv über erhebliche Cyberbedrohungen und die ihnen offenen Abhilfemaßnahmen informieren, wenn die Empfängerinteressen überwiegen. Ein Verstoß dagegen steht im selben Spitzen-Bußgeldrahmen wie die Meldepflicht selbst.

Was die versäumte Frist kostet — und wer die Buße verhängt

Gestern haben wir gezeigt, dass Paragraf 38 — die Geschäftsleitungspflicht — im Bußgeldkatalog gar nicht auftaucht. Paragraf 32 ist der Gegenfall. Paragraf 65 Absatz 2 Nummer 4 und 5 BSIG ahnden die Meldung nach Paragraf 32 Absatz 1 und die Abschlussmeldung nach Absatz 2, die nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erfolgen — vorsätzlich oder fahrlässig begangen. Ein vergessener Samstag ist keine Entschuldigung, die der Katalog kennt.

Der Rahmen ist der Spitzenrahmen des Gesetzes nach Paragraf 65 Absatz 5 Nummer 1: bis zu zehn Millionen Euro für besonders wichtige, bis zu sieben Millionen für wichtige Einrichtungen, und oberhalb von 500 Millionen Euro Weltjahresumsatz bis zu zwei beziehungsweise 1,4 Prozent davon. Paragraf 65 Absatz 9 hält die Buße bei der Einrichtung, indem er die Umlenkung auf das handelnde Organ ausschließt. Und Paragraf 65 Absatz 10 nennt die Verwaltungsbehörde: das BSI selbst — dasselbe Amt, das die Meldung entgegennimmt, entscheidet über die Buße für ihr Ausbleiben. Die Meldepflicht ist mit anderen Worten der Punkt, an dem der Vorfall zweimal teuer wird: einmal im Betrieb, einmal auf dem Papier.

Vor dem Vorfall: fünf Festlegungen, die nicht in den Ernstfall gehören

Keiner der Mechanismen oben ist schwer in einer ruhigen Woche. Alle sind schwer am Freitag um 19:40 Uhr. Und alle hängen an einer Voraussetzung, die das Gesetz längst als eigene Pflicht formuliert hat: Paragraf 30 Absatz 2 Nummer 2 BSIG macht die Bewältigung von Sicherheitsvorfällen zum Pflicht-Maßnahmenbereich — wer den Vorfall nicht bemerken kann, scheitert an zwei Normen gleichzeitig, und beide stehen im Bußgeldkatalog. Fünf Festlegungen gehören in den Kalender der Geschäftsleitung, nicht in den Incident:

Das Muster sollte bekannt vorkommen — es ist dieselbe Architektur wie unter Paragraf 38: Die Pflicht wird in der Dokumentation erfüllt oder gar nicht. Der Unterschied ist, dass diese von Anfang an bußgeldbewehrt ist — und dass ihre Fristen sich in Stunden messen.

Der ehrliche Rest: Was Paragraf 32 nicht verlangt

Drei Leerstellen beruhigen die Pflicht. Das Gesetz verlangt keine fertige Forensik in 24 Stunden — die Erstmeldung fragt einen Verdacht, nicht mehr. Es verlangt keine Vollständigkeit — die 72-Stunden-Meldung existiert gerade, um die erste zu korrigieren und zu erweitern. Und es verlangt keine Meldung für Beinahevorfälle — das verhinderte Ereignis des Paragraf 2 Nummer 1 bleibt außerhalb der Pflicht, wie lehrreich es intern auch war. Was das Gesetz nicht verzeiht, ist das Fehlen einer Kette: Wer keinen Weg hat, auf dem eine Entdeckung zur Meldung wird, hat den Verstoß im Voraus organisiert.

Wer nur einen Satz aus diesem Beitrag mitnimmt: Unter NIS2 ist nicht der Vorfall die Frist — die Kenntnis ist es. Die 24 Stunden, die über das Bußgeld entscheiden, laufen, während Sie noch abwägen, ob es ernst ist. Bauen Sie die Uhr, bevor Sie sie brauchen.

Häufige Fragen zur NIS2-Meldepflicht