NIS2-Meldefristen: Was gilt wann?
Die NIS2-Richtlinie (EU 2022/2555) verpflichtet betroffene Unternehmen, erhebliche Sicherheitsvorfälle in einem dreistufigen Verfahren an die zuständige Behörde (in Deutschland das BSI) zu melden. Wer die Fristen verpasst, riskiert empfindliche Bußgelder.
Die drei Meldefristen im Überblick
| Frist | Meldung | Inhalt |
|---|---|---|
| 24 Stunden ab Kenntnis | Frühwarnung | Erste Einschätzung: Verdacht auf rechtswidrige Handlung? Grenzüberschreitende Auswirkung? |
| 72 Stunden ab Kenntnis | Vorfallmeldung | Aktualisierte Bewertung, Schweregrad, Auswirkungen, Kompromittierungsindikatoren |
| 1 Monat nach der Vorfallmeldung | Abschlussbericht | Ausführliche Beschreibung, Ursache, Gegenmaßnahmen, ggf. grenzüberschreitende Folgen |
Dauert der Vorfall zur Monatsfrist noch an, genügt zunächst eine Fortschrittsmeldung; der Abschlussbericht folgt dann innerhalb eines Monats, nachdem der Vorfall abschließend bearbeitet wurde.
Was ist ein „erheblicher" Sicherheitsvorfall?
Erheblich ist ein Vorfall (§ 2 Nr. 11 BSIG), der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche bzw. juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Im Zweifel gilt: lieber melden – die Frühwarnung nach 24 Stunden ist bewusst niederschwellig angelegt.
So bereiten Sie sich vor
Die Fristen sind nur einzuhalten, wenn Erkennung, Bewertung und Meldeweg vor dem Ernstfall geregelt sind: Incident-Response-Plan, klare Zuständigkeiten, Monitoring und geübte Abläufe. Welche Maßnahmen NIS2 insgesamt verlangt, zeigt unsere Übersicht der NIS2-Pflichten. Hersteller aufgepasst: Ab September 2026 gelten zusätzlich die CRA-Meldepflichten für Produkte – mit fast identischer Fristen-Logik.