Wann ist ein Sicherheitsvorfall meldepflichtig? (§ 32 BSIG)

Verfasst von der NIS2Compass Redaktion | Stand: August 2026

Ein erheblicher Sicherheitsvorfall ist nach § 2 Nr. 11 BSIG ein Vorfall, der schwerwiegende Betriebsstörungen verursacht oder verursachen kann. Die bekannte Schwelle von 500.000 Euro stammt aus der Durchführungsverordnung (EU) 2024/2690 und bindet nur elf Arten von Anbietern digitaler Infrastruktur und Dienste. Ob Sie betroffen sind, klärt der Vor-Check von NIS2Compass.

Was gilt nach dem BSIG als erheblicher Sicherheitsvorfall?

§ 2 Nr. 11 BSIG definiert den Begriff über zwei Alternativen, die Meldepflicht selbst steht in § 32 BSIG. Alternative a erfasst schwerwiegende Betriebsstörungen oder finanzielle Verluste der Einrichtung, Alternative b erhebliche materielle oder immaterielle Schäden bei Dritten. Beide greifen bereits bei der bloßen Eignung zum Schaden.

Diese Arbeitsteilung wird häufig verwechselt: § 32 BSIG verpflichtet zur Meldung, § 2 Nr. 11 BSIG liefert den Begriff, an den die Pflicht anknüpft. Wer wissen will, ob ein konkreter Vorfall meldepflichtig ist, schlägt deshalb in § 2 nach, nicht in § 32.

Der Wortlaut lautet:

„ein Sicherheitsvorfall, der a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann, sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt"

Eine solche konkretisierende Rechtsverordnung ist bislang nicht ergangen.

Drei Merkmale dieses Wortlauts entscheiden in der Praxis:

• „oder verursachen kann": Die Eignung zum Schaden genügt. Ein Vorfall kann meldepflichtig sein, bevor überhaupt ein Schaden eingetreten ist. Das ist der am häufigsten übersehene Halbsatz der Norm.
• „oder": Die beiden Alternativen stehen alternativ nebeneinander. Eine von beiden reicht aus.
• Keine Zahl im Gesetz: § 2 Nr. 11 BSIG nennt weder einen Euro-Betrag noch eine Ausfalldauer noch eine Nutzerzahl. Wer eine Zahl sucht, landet bei der Durchführungsverordnung, die für sein Unternehmen womöglich gar nicht gilt.

Vorgelagert steht der Grundbegriff: „Sicherheitsvorfall" ist eigenständig in § 2 Nr. 40 BSIG definiert, als Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. Jeder erhebliche Sicherheitsvorfall ist zunächst ein Sicherheitsvorfall. Denselben Zwei-Stufen-Aufbau nutzt der NIS2Compass-Umsetzungspfad: erst Vorfall, dann Erheblichkeit.

Die Meldepflicht gilt seit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025. Mit Stand 2. April 2026 hatte das BSI 541 NIS-2-Meldungen über sein Portal erfasst, darunter 248 Meldungen, die es als Erstmeldungen ausweist, bei 15.477 registrierten Unternehmen (BSI, NIS-2 in Zahlen). Welche Meldung wann an wen geht, behandelt der Überblick zu den NIS2-Meldepflichten.

Für wen gilt die 500.000-Euro-Schwelle aus der EU-Durchführungsverordnung?

Eine einheitliche Erheblichkeitsschwelle in Euro kennt das BSIG nicht. Die Durchführungsverordnung (EU) 2024/2690 gilt seit dem 7. November 2024 und bindet ausschließlich elf Arten von Anbietern digitaler Infrastruktur und digitaler Dienste. Für alle anderen Sektoren bleibt § 2 Nr. 11 BSIG der Maßstab, die DVO-Kriterien sind dort ein Indiz nach oben, keine Untergrenze.

NIS2 ist eine EU-Richtlinie, umgesetzt durch das NIS2UmsuCG. Die Durchführungsverordnung (EU) 2024/2690 ist dagegen eine Verordnung und gilt unmittelbar. Sie präzisiert nach ihrem Artikel 1 die technischen Risikomanagementanforderungen und die Fälle eines erheblichen Sicherheitsvorfalls, aber nur für die dort genannten Einrichtungen.

Welche Einrichtungen bindet die Durchführungsverordnung?

Die Zahlenschwellen der Durchführungsverordnung (EU) 2024/2690 binden nach ihrem Artikel 1 ausschließlich die folgenden Einrichtungen:

• DNS-Diensteanbieter
• TLD-Namenregister
• Anbieter von Cloud-Computing-Diensten
• Anbieter von Rechenzentrumsdiensten
• Betreiber von Inhaltszustellnetzen (Content Delivery Networks)
• Anbieter verwalteter Dienste (Managed Service Provider)
• Anbieter verwalteter Sicherheitsdienste (Managed Security Service Provider)
• Anbieter von Online-Marktplätzen
• Online-Suchmaschinen
• Plattformen für Dienste sozialer Netzwerke
• Vertrauensdiensteanbieter

Nicht unter die DVO-Schwellen fallen unter anderem:

• Verarbeitendes Gewerbe und Maschinenbau
• Lebensmittelproduktion und -handel
• Gesundheitswesen
• Verkehr und Logistik
• Energie- und Wasserversorgung
• Telekommunikationsanbieter: im Katalog des Artikels 1 DVO nicht enthalten, siehe BSI zu IT und TK. Diese Zuordnung wird häufig falsch gemacht.

Für die zweite Gruppe gilt allein § 2 Nr. 11 BSIG, und zwar für alle besonders wichtigen und wichtigen Einrichtungen unabhängig vom Sektor. Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klärt der Beitrag Bin ich von NIS2 betroffen?.

Welche Zahlen nennt Artikel 3 Absatz 1 der DVO?

Für diese elf Arten von Einrichtungen ist ein Sicherheitsvorfall nach Artikel 3 Absatz 1 DVO unter anderem erheblich bei:

• Direktem finanziellen Verlust von mehr als 500.000 Euro oder 5 % des Jahresgesamtumsatzes des Vorjahres, eingetreten oder möglich. Es zählt der niedrigere Wert.
• Abfluss von Geschäftsgeheimnissen.
• Tod oder schwere Gesundheitsschädigung einer natürlichen Person.
• Erfolgreichem, mutmaßlich böswilligem und unbefugtem Zugriff auf Netz- und Informationssysteme, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen.

Hinzu kommen wiederkehrende Vorfälle nach Artikel 4 DVO sowie die sektorspezifischen Kriterien der Artikel 5 bis 14, die je nach Dienstart Ausfallzeiten und Nutzeranteile festlegen. Artikel 3 Absatz 2 DVO nimmt planmäßige Betriebsunterbrechungen und Wartungsfolgen ausdrücklich aus.

Was folgt daraus für alle anderen Sektoren?

Das BSI schreibt zur NIS-2-Meldepflicht:

„Für Einrichtungen anderer Sektoren kann davon ausgegangen werden, dass es sich um einen erheblichen Sicherheitsvorfall handelt wenn mindestens eines der Kriterien der Durchführungsverordnung (EU) 2024/2690 der Kommission Artikel 3 Absatz 1 erfüllt ist."

Die DVO-Kriterien sind für andere Sektoren also hinreichend: Wer eines erfüllt, kann von Erheblichkeit ausgehen. Notwendig sind sie nicht. Wer keines erfüllt, ist nicht automatisch von der Meldepflicht befreit.

Ein Schaden von 80.000 Euro kann für einen Betrieb mit 40 Millionen Euro Umsatz ein erheblicher Sicherheitsvorfall sein, obwohl er weit unter 500.000 Euro liegt. Die verbreitete Lesart „erst ab 500.000 Euro melden" ist der teure Fehler.

Das BSI ergänzt an derselben Stelle: „Zudem ist immer dann von einem erheblichen Sicherheitsvorfall auszugehen, wenn die Erbringung kritischer Dienstleistungen ausgefallen oder beeinträchtigt ist."

Wie entscheiden Sie im konkreten Fall, ob ein Vorfall erheblich ist?

Die Erheblichkeitsprüfung läuft in fünf Schritten, die Sie in dieser Reihenfolge beantworten. Sie beginnt mit der Frage, ob überhaupt ein Sicherheitsvorfall nach § 2 Nr. 40 BSIG vorliegt, und endet bei der Dokumentation des Ergebnisses. Bleibt nach Schritt vier eine echte Unsicherheit, gilt das BSI-Prinzip Schnelligkeit vor Vollständigkeit.

1. Liegt überhaupt ein Sicherheitsvorfall vor? Beeinträchtigt das Ereignis Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten? Nein bedeutet Ende der Prüfung, eine interne Dokumentation genügt. Ja bedeutet: weiter zu Schritt 2.

2. Fällt Ihre Einrichtung unter den Anwendungsbereich der DVO 2024/2690? Gleichen Sie ab mit der Liste der elf Einrichtungsarten aus dem vorigen Abschnitt. Ja bedeutet: Die Kriterien der Artikel 3 bis 14 sind der verbindliche Maßstab, die Prüfung wird weitgehend zur Rechenaufgabe. Nein bedeutet: Maßstab ist § 2 Nr. 11 BSIG, weiter zu Schritt 3.

3. Erfüllt der Vorfall eines der Kriterien aus Artikel 3 Absatz 1 DVO? Wenn ja, können Sie nach der BSI-Auslegung von Erheblichkeit ausgehen, und die Prüfung endet hier mit einem Ja. Wenn nein: weiterprüfen, nicht abbrechen.

4. Prüfen Sie die beiden Alternativen des § 2 Nr. 11 BSIG einzeln. Daraus ergeben sich drei Prüffragen:

• Alternative a, Innenperspektive: schwerwiegende Betriebsstörung der eigenen Dienste oder finanzieller Verlust, eingetreten oder möglich. Steht eine Produktions- oder Dienstleistungslinie, und wie lange? Ist eine kritische Dienstleistung betroffen, greift die im vorigen Abschnitt zitierte BSI-Auslegung.
• Alternative b, Außenperspektive: erhebliche materielle oder immaterielle Schäden bei Dritten, eingetreten oder möglich. Sind Kunden-, Patienten- oder Beschäftigtendaten abgeflossen, oder können Dritte in ihrer Versorgung beeinträchtigt sein?
• Maßstab ist die eigene Größe, nicht ein absoluter Euro-Betrag. Wäre dieser Schaden für ein Unternehmen Ihrer Größe schwerwiegend?

5. Ergebnis festhalten und begründen. Notieren Sie Ja oder Nein, mit Datum, Uhrzeit, Entscheider und der tragenden Begründung.

Ein Vorfall solle „möglichst früh gemeldet werden […], unabhängig von den vorliegenden Informationen", schreibt das BSI. Eine unsichere Bewertung ist deshalb kein Grund, die Meldung zu verschieben; Korrekturen laufen über Folgemeldungen.

Der NIS2Compass-Umsetzungspfad führt diese Festlegung als eigenen Schritt in Kapitel 4 (Vorfallsmanagement und Meldepflichten) und hinterlegt sie mit den passenden Vorlagen.

Drei typische Vorfälle: Was ist erheblich, was nicht?

Für ein Unternehmen ohne Digitaldienst-Bezug entscheidet sich die Erheblichkeit allein am Wortlaut des § 2 Nr. 11 BSIG. Ransomware auf einem Produktivsystem ist praktisch immer meldepflichtig, ein abgewehrter Phishing-Versuch praktisch nie. Dazwischen liegen die Fälle, die eine begründete Einzelfallbewertung verlangen.

Alle drei Fälle spielen in einem Lebensmittelproduzenten mit rund 210 Beschäftigten.

Ist Ransomware auf dem Produktionsleitsystem ein erheblicher Sicherheitsvorfall?

Das Produktionsleitsystem ist verschlüsselt, zwei Abfülllinien stehen 36 Stunden still und laufen erst nach der Wiederherstellung aus dem Backup wieder an.

Ja. § 2 Nr. 11 Buchstabe a BSIG verlangt eine schwerwiegende Betriebsstörung der erbrachten Dienste, und genau die ist eingetreten. Die weiter oben angeführte BSI-Auslegung zu kritischen Dienstleistungen stützt das Ergebnis. Auch Artikel 3 Absatz 1 Buchstabe e DVO wäre erfüllt. Der Vorfall ist nach beiden Maßstäben erheblich, unabhängig von der Schadenshöhe.

Muss ich einen Phishing-Angriff ohne Datenabfluss melden?

Ein Beschäftigter gibt seine Zugangsdaten auf einer gefälschten Login-Seite ein. Das Konto wird binnen Minuten gesperrt, ein Zugriff auf Systeme oder Daten erfolgt nicht.

Nein. § 2 Nr. 11 BSIG verlangt eine schwerwiegende Betriebsstörung, einen finanziellen Verlust oder eine erhebliche Schädigung Dritter, jeweils eingetreten oder möglich. Keine dieser Folgen liegt vor. Ändert sich der Sachverhalt, etwa durch einen erfolgreichen Login oder Postfachzugriff, kippt die Bewertung. Ins interne Vorfallsregister gehört der Fall trotzdem.

Ist ein Angriff meldepflichtig, der gestoppt wurde, nachdem der Angreifer bereits im Netz war?

Über eine ungepatchte VPN-Komponente erreicht ein Angreifer das interne Netz. Das Monitoring erkennt die Sitzung und trennt sie, bevor er sich weiterbewegt. Solche Einstiegspunkte werden mehr: Zwischen Juli 2024 und Juni 2025 stieg die Zahl der täglich neu entdeckten Schwachstellen laut BSI-Lagebericht 2025 um 24 Prozent.

Ein reiner Beinahe-Vorfall ohne jede Beeinträchtigung ist kein Sicherheitsvorfall nach § 2 Nr. 40 BSIG und damit auch kein erheblicher. Dieser Fall ist aber keiner, denn der unbefugte Zugriff war erfolgreich. Damit greift der Halbsatz „verursachen kann" in § 2 Nr. 11 BSIG: Ein bereits eingetretener Schaden ist nicht erforderlich. Der Vorfall ist eher meldepflichtig als nicht.

Die drei Fälle sind konstruierte Beispiele. Veröffentlichte Bußgeldbescheide oder Gerichtsentscheidungen zu NIS2-Meldeverstößen liegen bislang nicht vor.

Wer trifft die Bewertung, und was müssen Sie darüber nachweisen können?

Die Erheblichkeitsbewertung ist eine Eigenbewertung der Einrichtung. Weder das BSIG noch die Durchführungsverordnung benennen dafür eine zuständige Rolle oder ein festes Verfahren. Nachweispflichtig wird die Bewertung mittelbar über § 30 Absatz 1 Satz 3 BSIG, wonach die Einhaltung der Risikomanagementpflichten durch die Einrichtung zu dokumentieren ist.

Prüft das BSI die Erheblichkeit eines Vorfalls?

Nein. Die Bewertung trifft die Einrichtung selbst, das BSI erhält erst das Ergebnis in Form der Meldung. Die Entscheidung wirkt in beide Richtungen: Eine unterlassene Meldung ist genauso begründungsbedürftig wie eine abgegebene.

Woraus folgt die Pflicht, die Bewertung zu dokumentieren?

Eine ausdrückliche Pflicht, die Erheblichkeitsbewertung als solche zu dokumentieren, enthält das BSIG nicht. Weder § 32 noch § 2 kennen eine solche Regelung.

Sie lässt sich aber ableiten. § 30 Absatz 1 Satz 3 BSIG bestimmt: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren." § 30 Absatz 2 BSIG listet zehn Bereiche verpflichtender Risikomanagementmaßnahmen; die Bewältigung von Sicherheitsvorfällen ist Nummer 2. Wer die Bewältigung dokumentieren muss, muss auch dokumentieren, warum ein Vorfall nicht gemeldet wurde.

Was gehört in die Bewertungsdokumentation?

Belastbar wird sie, wenn sie den Zeitpunkt der Kenntniserlangung, den Sachverhalt, die geprüften Alternativen des § 2 Nr. 11 BSIG mit Ergebnis, Entscheider und Freigabe sowie das Ergebnis mit Zeitstempel festhält.

Beim Zeitpunkt der Kenntniserlangung wird häufig zu spät angesetzt. Das BSI legt ihn früh: Gemeint ist „der Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis über einen erheblichen Sicherheitsvorfall erlangt". Nicht die Meldung an den Informationssicherheitsbeauftragten startet die Frist, sondern die Kenntnis im Betrieb. Ungeklärt bleiben die Randfälle: Kenntnis außerhalb der Arbeitszeit und die Zurechnung, wenn ein Dienstleister zuerst Bescheid weiß. Wer die internen Eskalationswege vorab regelt und die Regelung dokumentiert, ist im Zweifel besser aufgestellt als wer auf eine Klärung wartet.

Was kostet ein Verstoß gegen die Meldepflicht?

Ein Verstoß gegen die Meldepflicht nach § 32 Absatz 1 Satz 1 BSIG wird nach § 65 BSIG mit bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen geahndet. Die verbreitete Angabe „bis 10 Millionen Euro oder 2 Prozent" ist keine pauschale NIS2-Zahl: Die 2 Prozent greifen erst ab einem Gesamtumsatz von mehr als 500 Millionen Euro. Die übrigen Bußgeldrahmen behandelt der Beitrag zu den NIS2-Bußgeldern, die persönliche Verantwortung der Leitung der Beitrag zur Geschäftsführerhaftung nach § 38 BSIG.

Häufig gestellte Fragen

Was ist die Erheblichkeitsschwelle nach NIS2?

Eine feste Erheblichkeitsschwelle in Euro kennt das BSIG nicht. Maßstab ist § 2 Nr. 11 BSIG: schwerwiegende Betriebsstörungen oder finanzielle Verluste für Ihre Einrichtung, oder erhebliche Schäden bei Dritten, jeweils eingetreten oder möglich. Konkrete Zahlenwerte enthält allein die Durchführungsverordnung (EU) 2024/2690, und die bindet ausschließlich Anbieter digitaler Infrastruktur und digitaler Dienste.

Gilt die 500.000-Euro-Schwelle für mein Unternehmen?

Nur dann, wenn Ihr Unternehmen zu den elf Anbieterarten digitaler Infrastruktur und digitaler Dienste gehört, die Artikel 1 der DVO 2024/2690 aufzählt. Für alle übrigen Sektoren gilt § 2 Nr. 11 BSIG ohne Zahlenschwelle. Ein Schaden unterhalb von 500.000 Euro schließt die Meldepflicht also nicht aus.

Gilt dieselbe Erheblichkeitsschwelle für wichtige und besonders wichtige Einrichtungen?

Ja. § 2 Nr. 11 BSIG unterscheidet nicht zwischen wichtigen und besonders wichtigen Einrichtungen. Die Definition gilt für beide Kategorien gleichermaßen, die Erheblichkeit wird identisch geprüft. Der Unterschied zwischen den beiden Einrichtungsarten liegt nicht bei der Erheblichkeit eines Vorfalls, sondern bei der Aufsicht und beim Bußgeldrahmen.

Wer entscheidet in meinem Unternehmen über die Erheblichkeit?

Das BSIG benennt keine Rolle. Die Entscheidung liegt bei der Einrichtung, in der Praxis meist beim Informationssicherheitsbeauftragten mit Freigabe durch die Geschäftsleitung. Entscheidend ist, dass die Zuständigkeit vorab festgelegt und jede Bewertung nachvollziehbar dokumentiert wird. Ohne geklärte Zuständigkeit entsteht der Klärungsbedarf genau dann, wenn die Frist bereits läuft.

Ändert sich die Bewertung, wenn der Vorfall bei einem Dienstleister passiert ist?

Nein. Maßgeblich ist, ob Ihre Dienste schwerwiegend gestört sind, nicht wer den Vorfall verursacht hat. § 2 Nr. 11 Buchstabe a BSIG stellt auf die Betriebsstörung der Dienste der betreffenden Einrichtung ab. Ihre Meldepflicht besteht unabhängig davon, ob der Dienstleister meldepflichtig ist oder meldet.

Welche Meldung in welcher Frist folgt, behandelt der Überblick zu den NIS2-Meldepflichten.