NIS2-Meldepflichten: Wann, was und an wen melden?

Wer von NIS2 betroffen ist, muss erhebliche Sicherheitsvorfälle in drei Stufen an das BSI melden: frühe Erstmeldung innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat. Laut Bitkom Wirtschaftsschutz 2025 waren 87 Prozent der deutschen Unternehmen von Cyberangriffen betroffen. Der NIS2Compass-Vor-Check prüft in fünf Minuten, ob Sie meldepflichtig sind, der NIS2Compass-Guide führt anschließend Schritt für Schritt durch den Meldeprozess.

Wann gilt ein Sicherheitsvorfall als „erheblich" und damit meldepflichtig?

Meldepflichtig ist nach §2 Nr. 11 BSIG jeder Sicherheitsvorfall, der schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche materielle bzw. immaterielle Schäden bei Dritten verursacht oder verursachen kann. Für Anbieter digitaler Infrastruktur und digitaler Dienste konkretisiert die EU-Durchführungsverordnung 2024/2690 die Schwelle bei 500.000 Euro Schaden oder fünf Prozent des Jahresumsatzes. Der niedrigere Wert zählt.

Die Definition ist bewusst weit gefasst. Sie umfasst auch Vorfälle, die noch keinen tatsächlichen Schaden verursacht haben, aber das Potenzial dazu besitzen. Damit liegt die Bewertungspflicht beim betroffenen Unternehmen selbst. Eine saubere Vorab-Klassifizierung ist deshalb organisatorische Voraussetzung jeder NIS2-Meldekette.

Was zählt typischerweise als erheblicher Sicherheitsvorfall?

In der Praxis lassen sich die meisten meldepflichtigen Vorfälle einer der folgenden Kategorien zuordnen:

• Erfolgreiche Ransomware-Verschlüsselung von Produktivsystemen mit Auswirkung auf den Geschäftsbetrieb
• DDoS-Angriff mit Dienstausfall über mehrere Stunden, der Kunden oder Dritte betrifft
• Unbefugter Zugriff auf Kunden- oder Mitarbeiterdaten, auch ohne unmittelbaren finanziellen Schaden
• Kompromittierte Admin-Konten oder API-Keys mit Auswirkung auf Verfügbarkeit, Vertraulichkeit oder Integrität
• Lieferanten-Vorfall, der die eigene Dienstleistung beeinträchtigt (sogenannter Supply-Chain-Incident)

Laut Bitkom-Studie waren im Jahr 2025 rund 34 Prozent der Unternehmen von Ransomware betroffen. Diese Vorfälle erreichen die Meldeschwelle in nahezu allen Fällen.

Was zählt nicht als erheblicher Sicherheitsvorfall?

Nicht jeder Sicherheitsvorfall ist meldepflichtig. Folgende Ereignisse fallen typischerweise nicht unter §2 Nr. 11 BSIG:

• Erfolglose Phishing-Versuche ohne Klick oder Datenabfluss
• Geblockte Login-Versuche und abgewehrte Brute-Force-Angriffe
• Geplante Wartungsausfälle und angekündigte Downtimes
• Einzelne SPAM-Mails ohne weitergehende Auswirkung

Die Abgrenzung wirkt einfach, ist es aber nicht. Wer im Zweifel ist, sollte den Vorfall zumindest intern dokumentieren. Mehr zu den Konsequenzen unzureichender Meldung lesen Sie im Beitrag NIS2-Bußgelder: Welche Strafen drohen bei Verstößen.

Welche Schwellenwerte gelten für Anbieter digitaler Dienste?

Die Zahlenschwellen der EU-Durchführungsverordnung 2024/2690, darunter 500.000 Euro Schaden oder fünf Prozent des Jahresumsatzes, binden nur elf namentlich genannte Arten von Anbietern digitaler Infrastruktur und digitaler Dienste. Für wen sie gelten und warum sie für alle anderen Sektoren keine Untergrenze sind, klärt der Beitrag Wann ist ein Sicherheitsvorfall meldepflichtig?.

Für andere Sektoren bleibt §2 Nr. 11 BSIG der Maßstab. Ob Ihr Unternehmen unter diese Pflichten fällt, klärt der NIS2Compass-Vor-Check mit branchenspezifischer Auswertung.

Wie funktioniert das dreistufige Meldeverfahren nach §32 BSIG?

§32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu drei aufeinanderfolgenden Meldungen: frühe Erstmeldung innerhalb 24 Stunden, Meldung mit Lageeinschätzung nach 72 Stunden, Abschlussmeldung nach einem Monat. Das Gesetz verwendet diese Bezeichnungen; der verbreitete Begriff Frühwarnung stammt aus der englischen Fassung der NIS2-Richtlinie und steht nicht im BSIG. Alle Meldungen laufen über das BSI-Meldeportal. Die Frist beginnt mit Kenntniserlangung, also dem Zeitpunkt, an dem ein Mitarbeiter den Vorfall innerhalb der Arbeitszeit erkennt.

Laut BSI-Lagebericht 2024 wurden täglich rund 309.000 neue Schadprogramm-Varianten registriert. Die Wahrscheinlichkeit, mindestens einmal pro Jahr meldepflichtig zu werden, ist für die meisten regulierten Einrichtungen real.

Was muss in die frühe Erstmeldung (24 Stunden)?

Die frühe Erstmeldung ist eine reine Signalmeldung und verlangt keine vollständige Analyse. Sie enthält die vorläufige Einstufung des Vorfalls und die Lageeinschätzung. Hinzu kommt der Hinweis, ob ein Verdacht auf böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind.

Pflicht sind außerdem die Kontaktdaten der meldenden Stelle und ein kurzer Überblick über erste Eindämmungsmaßnahmen. Mehr fordert das BSI an dieser Stelle nicht.

Was muss in die Erstmeldung (72 Stunden)?

Die Erstmeldung bestätigt oder korrigiert die frühe Erstmeldung und liefert eine erste Bewertung von Schweregrad und Auswirkungen. Bekannte Indicators of Compromise (IOCs) sind anzugeben, soweit sie zu diesem Zeitpunkt vorliegen.

Hinzu kommt der aktuelle Stand der Mitigationsmaßnahmen sowie eine Übersicht über betroffene Sektoren und Systeme. Die Erstmeldung schließt damit die Lücke zwischen Erstsignal und vollständiger Analyse.

Was muss in den Abschlussbericht (1 Monat)?

Der Abschlussbericht ist die vollständige Dokumentation des Vorfalls. Pflicht sind eine detaillierte Beschreibung, der finale Schweregrad mit konkreten Auswirkungen sowie die Art der Bedrohung und die vermutete Ursache (Root Cause).

Ergänzt wird das durch alle umgesetzten und laufenden Abhilfemaßnahmen sowie, falls relevant, eine Einschätzung grenzüberschreitender Effekte.

Was passiert bei andauernden Vorfällen?

Dauert ein Vorfall über einen Monat hinaus an, ersetzt eine Fortschrittsmeldung die Abschlussmeldung. Der finale Bericht folgt erst nach abschließender Bearbeitung. Das BSI kann jederzeit zusätzliche Zwischenmeldungen anfordern.

Bereits eingereichte Meldungen lassen sich nicht zurückziehen. Korrekturen erfolgen ausschließlich über Folgemeldungen. NIS2Compass dokumentiert diese Fristlogik im Umsetzungspfad und stellt Vorlagen bereit, mit denen sich die drei Meldestufen strukturiert vorbereiten lassen. Details zu Format und Inhalt liefert das BSI-Meldepflicht-Infopaket.

Wann beginnt die 24-Stunden-Frist eigentlich?

Die Frist beginnt mit der Kenntniserlangung, also dem Zeitpunkt, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung den Vorfall innerhalb der Arbeitszeit erkennt. Nicht der Vorfallszeitpunkt selbst startet die Uhr, und auch nicht der Abschluss der Analyse. Wer die Frist falsch ansetzt, riskiert nach §65 BSIG Bußgelder bis zu 10 Millionen EUR bei besonders wichtigen und bis zu 7 Millionen EUR bei wichtigen Einrichtungen.

Diese Auslegung ist keine eigene Interpretation, sondern ergibt sich aus dem BSI-Meldepflicht-Infopaket. Das BSI stellt klar: Maßgeblich ist der Moment, in dem die Einrichtung über ihr Personal vom Vorfall erfährt, und zwar während der regulären Arbeitszeit.

Wer löst die Frist aus?

• Jeder Mitarbeiter, der den Vorfall im Rahmen seiner Tätigkeit erkennt
• Externe Meldungen (Sub-Processor, Kunden, Behörden) zählen ab Eingang bei der Einrichtung
• Automatisierte SIEM-Alerts zählen ab dem Zeitpunkt, an dem die Auswertung durch Personal erfolgt

Der reine Maschinen-Alert ohne menschliche Auswertung löst die Frist nicht aus. Sobald aber ein Analyst den Alert sichtet und als sicherheitsrelevant einstuft, läuft die Uhr.

Was bedeutet das praktisch für Schichtbetrieb und Bereitschaft?

• Vorfall am Sonntagabend erkannt: Frist läuft ab Sonntagabend, nicht ab Montag
• Bereitschaftsdienst muss Meldekompetenz haben oder eine definierte Eskalationskette
• IR-Plan sollte 24/7-Kontaktdaten zur internen Eskalation enthalten
• Klare Definition, wer „die Einrichtung" rechtlich nach §32 BSIG vertritt

Gerade in Branchen mit hohem Angriffsdruck wird das relevant. Laut der Bitkom-Studie zur Cyberkriminalität 2025 wird ein Viertel der Unternehmen jährlich Opfer eines DDoS-Angriffs. Solche Vorfälle treffen oft am Wochenende ein.

Was tun, wenn die Bewertung länger dauert als 24 Stunden?

Trotzdem melden. Die frühe Erstmeldung ist explizit als Signalmeldung konzipiert, eine vollständige Analyse ist nicht erforderlich. Lieber eine vorläufige frühe Erstmeldung absenden und über Folgemeldungen aktualisieren, als die Frist zu reißen.

Das BSI wertet die frühe Erstmeldung nicht als Schuldeingeständnis, sondern als Compliance-Nachweis. NIS2Compass empfiehlt, im Meldeprozess eine eigene Eskalationsstufe für unsichere Lagen vorzusehen, damit das Team im Zweifel meldet, statt zu zögern.

An wen wird gemeldet, und reicht die BSI-Meldung allein?

NIS2-Meldungen gehen an das BSI über das Online-Portal. Sind personenbezogene Daten betroffen, kommt parallel die Meldepflicht nach Art. 33 DSGVO an die Datenschutz-Aufsichtsbehörde des jeweiligen Bundeslandes hinzu, ebenfalls innerhalb von 72 Stunden. NIS2 und DSGVO sind getrennte Regime mit getrennten Fristen, eine Meldung ersetzt nie die andere.

Wo erfolgt die NIS2-Meldung?

Hauptweg ist das BSI-Meldeportal. Eine Registrierung war bis zum 6. März 2026 verpflichtend. Wer noch nicht registriert ist, kann übergangsweise das Online-Formular ohne Registrierung nutzen.

Die rechtliche Grundlage für den Meldeweg liefert §32 BSIG. Eine fehlende Registrierung entbindet nicht von der Meldepflicht und erschwert im Ernstfall die Erstmeldung innerhalb der 24-Stunden-Frist.

Wann muss zusätzlich die Datenschutzbehörde informiert werden?

Sind personenbezogene Daten betroffen, also typischerweise bei Datendiebstahl, Ransomware mit Datenexfiltration oder Account-Übernahme, gilt parallel Art. 33 DSGVO: Meldung innerhalb 72 Stunden an die zuständige Landesdatenschutzbehörde.

Bei hohem Risiko für die Rechte der Betroffenen kommt nach Art. 34 DSGVO eine direkte Benachrichtigung der Betroffenen hinzu. Beide Pflichten laufen unabhängig von der NIS2-Meldung. Wie sich beide Regime sauber in ein bestehendes ISMS einbinden lassen, beschreibt unser Artikel zur NIS2-ISMS-Integration.

Müssen Kunden oder Geschäftspartner informiert werden?

Das BSI kann besonders wichtige und wichtige Einrichtungen anweisen, Nutzer ihrer Dienste unverzüglich über erhebliche Vorfälle zu informieren (§35 Abs. 1 BSIG).

Für Sektoren wie Finanzwesen, IT, Telekommunikation und Digitale Dienste gilt zusätzlich eine eigenständige Informationspflicht gegenüber potenziell betroffenen Kunden bei erheblichen Cyberbedrohungen, inklusive empfohlener Gegenmaßnahmen. Laut Bitkom-Wirtschaftsschutzstudie 2025 sind bei erfolgreichen Cyberangriffen häufig auch personenbezogene Daten betroffen, was die Doppelmeldepflicht NIS2 plus DSGVO in der Praxis zur Regel macht.

Welche weiteren Stellen können einbezogen sein?

Abhängig von Vorfall und Vertragslage kommen weitere Adressaten hinzu:

• Cyber-Versicherer: vertragliche Meldepflicht, oft binnen 24 Stunden ab Kenntnis
• Branchen-CERTs und ISACs: sektorale Frühwarn- und Austauschstrukturen
• Strafverfolgungsbehörden: bei Anzeige (LKA, ZAC, BKA)
• Geschäftsleitung: verpflichtende Information nach §38 BSIG, inklusive persönlicher Haftung der Leitungsorgane

Eine BSI-Meldung allein deckt diese Pflichten nicht ab. NIS2Compass empfiehlt, alle relevanten Adressaten als feste Eskalationskette in den Incident-Response-Plan aufzunehmen.

Welche Bußgelder drohen bei Verstoß gegen die Meldepflicht?

Verstöße gegen die Meldepflicht nach §32 BSIG werden im Bußgeldkatalog des §65 BSIG eigenständig sanktioniert. Verspätete oder unvollständige Meldungen können mit Geldbußen bis zu 10 Millionen EUR bei besonders wichtigen und bis zu 7 Millionen EUR bei wichtigen Einrichtungen belegt werden, unabhängig von etwaigen Sanktionen für den eigentlichen Vorfall. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach §38 BSIG.

Welche Bußgeldhöhen gelten für welche Einrichtungen?

Das BSIG staffelt die Höchstbeträge nach Einrichtungstyp und Verstoßart:

• Melde- und Risikomanagementverstöße, besonders wichtige Einrichtungen: bis 10 Mio. EUR; ab einem Gesamtumsatz über 500 Mio. EUR stattdessen bis 2% des Gesamtumsatzes
• Melde- und Risikomanagementverstöße, wichtige Einrichtungen: bis 7 Mio. EUR; ab einem Gesamtumsatz über 500 Mio. EUR stattdessen bis 1,4% des Gesamtumsatzes
• Reine Registrierungsverstöße: bis zu 500.000 EUR
• Persönliche Haftung der Geschäftsleitung: §38 BSIG, die Genehmigung und Überwachung der Maßnahmen ist nicht delegierbar

Details zur Bemessung und Praxis finden Sie im NIS2Compass-Beitrag zu NIS2-Bußgeldern.

Was passiert bei verspäteter oder unvollständiger Meldung?

NIS2-Präzedenzfälle existieren noch nicht, da das Gesetz erst seit Dezember 2025 in Kraft ist. Die zugrundeliegende Aufsichtslogik ist aus der DSGVO-Praxis jedoch bekannt: Booking.com wurde 2021 mit 475.000 EUR sanktioniert, nicht wegen des Vorfalls selbst, sondern wegen der 22 Tage verspäteten Meldung. Bei NIS2 ist eine vergleichbare Aufsichtspraxis zu erwarten, da §32 BSIG die 24-Stunden-Frist explizit als eigenständige Pflicht ausgestaltet.

Wie lässt sich das Risiko praktisch reduzieren?

Laut Bitkom-Studie Wirtschaftsschutz 2025 verfügt nur etwa die Hälfte der deutschen Unternehmen über einen dokumentierten Notfall- oder Krisenplan. Damit fehlt vielen die Grundlage, um die 24-Stunden-Frist überhaupt einhalten zu können.

Praktische Maßnahmen zur Risikoreduktion:

• IR-Plan mit klarer Eskalationskette und 24/7-Erreichbarkeit
• Vordefinierte Meldevorlagen für frühe Erstmeldung, Meldung und Abschlussmeldung
• Tabletop-Übungen mit Meldungssimulation, mindestens jährlich
• Vor-Registrierung im BSI-Portal (Frist war 6. März 2026)

Die NIS2Compass Template Library liefert die passenden Vorlagen für IR-Plan, Krisenkommunikation und Meldeprozesse als Startpunkt.

Wie sieht die NIS2-Meldekette in der Praxis aus?

Ein mittelständischer Maschinenbauer mit 180 Mitarbeitern entdeckt am Donnerstagmorgen eine laufende Ransomware-Verschlüsselung. Der IT-Leiter folgt dem dokumentierten Eskalationspfad: frühe Erstmeldung an das BSI nach knapp 6 Stunden, parallele DSGVO-Meldung wegen exfiltrierter Mitarbeiterdaten, Meldung am Sonntag, Abschlussmeldung nach 28 Tagen. Ohne strukturierten Prozess wäre die 24-Stunden-Frist um Stunden gerissen worden.

Ausgangslage

Das Unternehmen beschäftigt 180 Mitarbeiter und erwirtschaftet 35 Mio. EUR Jahresumsatz. Damit fällt es als wichtige Einrichtung unter Anhang II BSIG. Der Informationssicherheitsbeauftragte (ISB) arbeitet nebenamtlich, das IT-Team umfasst fünf Personen.

Im Vorfeld wurde ein Incident-Response-Plan auf Basis der NIS2Compass-Vorlage eingeführt. Eine Tabletop-Übung im Februar 2026 hatte die Eskalationskette bereits einmal durchgespielt.

Der Ablauf im Detail

• Donnerstag, 07:42 Uhr — Erkennung: Ein SIEM-Alert meldet ungewöhnliche Verschlüsselungsaktivität auf dem zentralen Fileserver. Der IT-Mitarbeiter im Frühdienst bestätigt den Vorfall. Ab diesem Moment läuft die 24-Stunden-Frist nach §32 BSIG, das Fristende fällt auf Freitag, 07:42 Uhr.
• Donnerstag, 09:00 Uhr — Eskalation: Der ISB wird informiert, die Geschäftsleitung um 09:30 Uhr. Betroffene Server werden isoliert, das Backup-Recovery vorbereitet. Eine externe IT-Forensik wird kontaktiert.
• Donnerstag, 13:50 Uhr — frühe Erstmeldung an das BSI: Übermittlung über das BSI-Meldeportal knapp 6 Stunden nach Erkennung. Inhalt: Ransomware-Verdacht, vermutlich böswillige Handlung, keine grenzüberschreitende Wirkung erkennbar. Parallel erfolgt die Meldung an den Cyber-Versicherer (vertragliche Frist 24 Stunden).
• Donnerstag, 16:00 Uhr — DSGVO-Meldung: Erste Hinweise auf exfiltrierte Mitarbeiterdaten lösen eine parallele Meldung nach Art. 33 DSGVO an die zuständige Landes-Aufsichtsbehörde aus. Die 72-Stunden-DSGVO-Frist läuft parallel zur NIS2-Erstmeldungsfrist.
• Sonntag, 06:30 Uhr — Erstmeldung an das BSI: Die 72-Stunden-Frist wird eingehalten. Inhalt: Schweregrad „erheblich", Angriffsvektor Phishing-Mail mit kompromittiertem Link, IOC-Liste, Status der Wiederherstellung bei 60 Prozent.
• Tag 28 — Abschlussbericht: Root Cause war eine ungepatchte VPN-Komponente in Kombination mit einer erfolgreichen Phishing-Mail. Schaden: vier Tage Produktionsausfall, geschätzt 280.000 EUR. Korrekturmaßnahmen: überarbeitetes Patch-Management, flächendeckende MFA, verpflichtendes Phishing-Training.

Was wäre ohne Prozess passiert?

Ohne dokumentierten IR-Plan, ohne BSI-Vorregistrierung und ohne vorbereitete Meldevorlagen hätte die frühe Erstmeldung erst nach 30 Stunden oder später erfolgt. Nach §65 BSIG drohen dann Bußgelder bis zu 10 Mio. EUR, unabhängig vom eigentlichen Vorfall. Hinzu käme die persönliche Haftung der Geschäftsleitung nach §38 BSIG.

Der Erfolgsfaktor war die Vorbereitung: Das NIS2Compass-Template für den Incident-Response-Plan lieferte die Eskalationsmatrix, die Meldevorlagen und die Rollenverteilung, die in der Stresssituation tragen mussten.

Das Szenario ist anonymisiert und dient ausschließlich der Veranschaulichung.

Häufig gestellte Fragen zu NIS2-Meldepflichten

Welche Fristen gelten für die Meldung von NIS2-Sicherheitsvorfällen?

Nach §32 BSIG gelten drei Fristen: frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, Meldung nach 72 Stunden mit aktualisierter Lageeinschätzung und Abschlussmeldung nach einem Monat mit vollständiger Analyse. Fristbeginn ist der Moment, an dem ein Mitarbeiter den Vorfall innerhalb der Arbeitszeit erkennt — nicht der Vorfallszeitpunkt selbst.

Was passiert, wenn ich nach 24 Stunden noch nicht alle Informationen habe?

Trotzdem melden. Die frühe Erstmeldung nach §32 BSIG ist eine reine Signalmeldung mit minimalen Pflichtangaben. Eine vorläufige Meldung mit dem Hinweis "weitere Details folgen" ist deutlich besser als eine verspätete vollständige Meldung. Korrekturen erfolgen über Folgemeldungen, die das BSI ausdrücklich vorsieht.

Muss ich auch Beinahe-Vorfälle melden?

Nein, eine Pflicht zur Meldung von Near Misses besteht nach §32 BSIG nicht. Freiwillige Meldungen sind möglich und werden vom BSI begrüßt, da sie die nationale Lagebild-Erstellung verbessern. Eine Sanktion wegen unterlassener Near-Miss-Meldung droht nicht. Trotzdem lohnt sich die interne Dokumentation für eigene Lessons Learned.

Wer in meinem Unternehmen darf eine NIS2-Meldung absetzen?

Das BSIG schreibt keine konkrete Person vor. In der Praxis sollte der ISB oder ein ausdrücklich benannter Vertreter befugt sein, da die Frist ab Kenntniserlangung läuft. Wichtig: Die Geschäftsleitung trägt nach §38 BSIG die Letztverantwortung und muss in jede Meldung eingebunden sein.

Reicht die NIS2-Meldung, wenn auch personenbezogene Daten betroffen sind?

Nein. NIS2 (BSI) und DSGVO (Datenschutzbehörde) sind zwei getrennte Meldewege mit getrennten Fristen. Beide laufen typischerweise parallel binnen 72 Stunden. NIS2 adressiert die Versorgungssicherheit, die DSGVO die Betroffenenrechte. Eine Meldung ersetzt nie die andere: Bei Versäumnis drohen zwei separate Bußgelder nebeneinander.

Was kostet die Vorbereitung der Meldeprozesse?

NIS2Compass enthält im Pro-Plan (29 EUR/Monat) den IR-Plan-Baukasten, Krisenkommunikationsvorlagen und einen Schritt-für-Schritt-Guide zum Aufbau des Meldewesens. Alle Vorlagen finden Sie in der Template Library, vertiefende Hintergrundartikel zu NIS2 im Knowledge Hub. Externe Beratung für denselben Umfang kostet typischerweise 8.000-15.000 EUR. Detaillierter Vergleich: NIS2-Berater oder selbst umsetzen?