Regulierung & Compliance
NIS2-Meldepflicht
24/72-Stunden-Fristen & meldepflichtige Vorfälle
NIS2 verpflichtet betroffene Einrichtungen, erhebliche Sicherheitsvorfälle fristgerecht zu melden. Dieser Überblick erklärt, was meldepflichtig ist, welche Fristen gelten und warum frühe Erkennung entscheidend ist. Zum Gesamtthema: NIS2 Compliance.
Welche Fristen gelten?
Bei erheblichen Vorfällen gilt ein dreistufiges Verfahren gegenüber dem BSI: Frühwarnung in 24 Stunden, Vorfallmeldung in 72 Stunden, Abschlussbericht in einem Monat. Die Frist läuft ab Kenntnis – weshalb frühe Erkennung über die Einhaltbarkeit entscheidet.
Welche Vorfälle sind meldepflichtig?
Meldepflichtig sind „erhebliche" Sicherheitsvorfälle. Als erheblich gilt ein Vorfall insbesondere dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Auch die Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit wichtiger Dienste zählt dazu.
Die gestaffelten Fristen im Detail
NIS2 sieht ein dreistufiges Meldeverfahren an das BSI vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine vollständigere Vorfallmeldung innerhalb von 72 Stunden sowie ein Abschlussbericht innerhalb eines Monats. Auf Anforderung können Zwischenberichte verlangt werden; bei noch andauernden Vorfällen tritt der Abschlussbericht einen Monat nach Bewältigung an diese Stelle.
Was in die jeweilige Meldung gehört
Die 24-Stunden-Frühwarnung nennt, ob ein Verdacht auf rechtswidrige/böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind. Die 72-Stunden-Meldung ergänzt eine erste Bewertung von Schweregrad, Auswirkungen und – soweit verfügbar – Kompromittierungsindikatoren. Der Abschlussbericht beschreibt Ursache, Maßnahmen und tatsächliche Auswirkungen.
Die eigentliche Herausforderung: Vorfälle früh erkennen
Die 24-Stunden-Uhr läuft ab Kenntnis des Vorfalls – doch viele Angriffe bleiben lange unbemerkt. Wer kompromittierte Zugangsdaten, Leaks oder Angriffsvorbereitungen erst spät entdeckt, gerät unter Zeitdruck. Kontinuierliches Monitoring der eigenen digitalen Angriffsfläche verkürzt die Zeit bis zur Kenntnis – und damit das Risiko von Fristverstößen.
Rechtlicher Rahmen in Deutschland
Die Meldepflichten der NIS2-Richtlinie (Art. 23) sind in Deutschland durch das NIS2-Umsetzungsgesetz im BSIG verbindlich geregelt (in Kraft seit 6. Dezember 2025). Meldungen erfolgen an das BSI als zuständige Behörde, zunehmend über standardisierte Meldewege.
Häufige Fragen zur NIS2-Meldepflicht
Welche Fristen gelten für die NIS2-Meldepflicht?
Drei gestaffelte Fristen nach Kenntnis eines erheblichen Vorfalls: Frühwarnung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Bei andauernden Vorfällen folgt der Abschlussbericht einen Monat nach Bewältigung.
Welche Vorfälle müssen gemeldet werden?
Erhebliche Sicherheitsvorfälle – also solche, die schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden bei Dritten verursachen können. Nicht jeder kleine Vorfall ist meldepflichtig, wohl aber jeder mit potenziell gravierenden Auswirkungen.
An wen wird gemeldet?
In Deutschland an das BSI als zuständige Behörde. Das NIS2-Umsetzungsgesetz regelt die Meldewege im BSIG; betroffene Einrichtungen sollten den Meldeprozess vorab einüben, damit er im Ernstfall fristgerecht funktioniert.
Ab wann läuft die 24-Stunden-Frist?
Ab Kenntnis des erheblichen Vorfalls – nicht ab seinem Eintritt. Genau deshalb ist frühe Erkennung entscheidend: Je später ein Vorfall bemerkt wird, desto enger wird das Zeitfenster für eine fristgerechte Meldung.
Wie hilft Monitoring bei der Meldepflicht?
Kontinuierliches Monitoring der digitalen Angriffsfläche verkürzt die Zeit bis zur Kenntnis eines Vorfalls. Frühe Alarmierung bei kompromittierten Zugangsdaten oder Angriffssignalen verschafft den nötigen Vorlauf, um die 24- und 72-Stunden-Fristen einzuhalten.
Vorfälle früher erkennen, Fristen sicher einhalten
Apascope überwacht Ihre digitale Angriffsfläche kontinuierlich und alarmiert bei kritischen Ereignissen – damit die 24-Stunden-Uhr nicht gegen Sie läuft.
Beratungsgespräch anfragen