NIS2 Meldung Muster: Meldestufen § 32 BSIG

Verfasst von der NIS2Compass Redaktion | Stand: August 2026

Nach § 32 BSIG melden Sie einen erheblichen Sicherheitsvorfall in drei Stufen: frühe Erstmeldung innerhalb 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat. Unten finden Sie zu jeder Stufe einen vollständig ausformulierten Beispieltext für Ransomware, Datenabfluss und DDoS — zum Anpassen, nicht zum Abtippen unter Zeitdruck. Der NIS2Compass-Guide führt durch den kompletten Meldeprozess in Kapitel 4.

Welche Meldestufen sieht § 32 BSIG vor?

§ 32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu drei aufeinanderfolgenden Meldungen: die frühe Erstmeldung innerhalb 24 Stunden, die Meldung (umgangssprachlich „Vollmeldung") innerhalb 72 Stunden, und die Abschlussmeldung spätestens einen Monat nach der Meldung. Alle drei laufen über dieselbe Vorfall-ID im BSI-Portal — sie sind Aktualisierungen, keine drei getrennten Formulare.

Angesichts der Bedrohungslage ist diese Taktung keine Formalität: Laut Bitkom Wirtschaftsschutz 2025 waren 87 Prozent der deutschen Unternehmen in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, mit einem Gesamtschaden von 289,2 Mrd. Euro. Wer im Ernstfall die Fristen kennt, verliert keine Zeit mit der Suche nach der richtigen Formulierung.

Die drei Stufen im Überblick:

• Frühe Erstmeldung: Frist 24 Stunden nach Kenntniserlangung (§ 32 Abs. 1 Nr. 1 BSIG). Signalmeldung mit Verdacht auf böswillige Handlung und möglicher grenzüberschreitender Wirkung.
• Meldung („Vollmeldung"): Frist 72 Stunden nach Kenntniserlangung (§ 32 Abs. 1 Nr. 2 BSIG). Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren.
• Abschlussmeldung: Frist 1 Monat nach der Meldung (§ 32 Abs. 1 Nr. 4 BSIG). Vollständige Beschreibung des Vorfalls, Ursachenanalyse und ergriffene Abhilfemaßnahmen.

Ergänzend sieht das Gesetz zwei Sonderfälle vor: die Zwischenmeldung nach § 32 Abs. 1 Nr. 3 BSIG, die das BSI nur auf Ersuchen anfordert und die kein festes Fristraster hat, sowie die Fortschrittsmeldung nach § 32 Abs. 2 BSIG, die bei andauernden Vorfällen an die Stelle der Abschlussmeldung tritt.

Ob Ihr konkreter Fall überhaupt die Erheblichkeitsschwelle erreicht, klärt der Artikel Wann ist ein Sicherheitsvorfall meldepflichtig? (§ 32 BSIG) — dieser Beitrag setzt bei der Formulierung der Meldung selbst an. Einen Überblick über Fristen und Adressaten insgesamt liefert NIS2-Meldepflichten: Wann, was und an wen melden?. Die Vorfall-ID, die NIS2Compass im Guide als roten Faden durch alle drei Stufen führt, erhalten Sie mit der ersten Meldung im BSI-Portal automatisch zugewiesen.

Wie die frühe Erstmeldung konkret formuliert wird, zeigt der folgende Abschnitt mit einsatzfertigen Beispieltexten.

Wie formulieren Sie die frühe Erstmeldung (24 Stunden)?

Die frühe Erstmeldung ist eine reine Signalmeldung: Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Wirkung, erste Sofortmaßnahmen — mehr verlangt § 32 Abs. 1 Nr. 1 BSIG in den ersten 24 Stunden nicht. Unten finden Sie zu jedem der drei Szenarien Ransomware, Datenabfluss und DDoS einen ausformulierten Beispieltext zum direkten Anpassen.

Im BSI-Portal geben Sie für die frühe Erstmeldung unter anderem folgende Angaben ein:

• Einstufung: erheblicher Sicherheitsvorfall, Sicherheitsvorfall oder Beinahevorfall
• Lageeinschätzung: Farbcode Rot/Orange/Gelb/Grau zur groben Dringlichkeit
• Freitext-Beschreibung: was festgestellt wurde und welche Systeme betroffen sind
• Zeit und Dauer: Zeitpunkt der Kenntniserlangung sowie bisherige Vorfalldauer
• Ausbreitung: betroffene Standorte und mögliche grenzüberschreitende Wirkung
• Verdacht auf böswillige Handlung: ja/nein mit kurzer Einschätzung
• Sofortmaßnahmen: bereits eingeleitete Schritte
• Kontaktperson: Name, Funktion, Telefon, E-Mail

Die drei folgenden Beispieltexte begleiten dieselbe Fallgeschichte durch den gesamten Artikel. Ransomware, Datenabfluss und DDoS tauchen im nächsten Abschnitt zur Meldung nach 72 Stunden mit deutlich fortgeschrittenerem Kenntnisstand wieder auf.

Wie knapp die frühe Erstmeldung ausfallen darf, erklärt sich aus der aktuellen Bedrohungslage. Laut BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 stieg die Zahl der täglich neu entdeckten Schwachstellen zwischen Juli 2024 und Juni 2025 um 24 Prozent. Bei diesem Tempo bliebe für eine belastbare Ursachenanalyse innerhalb von 24 Stunden ohnehin keine Zeit — die frühe Erstmeldung soll warnen, nicht abschließend bewerten.

Beispiel: Ransomware: Spezialmaschinenbauer, 140 Beschäftigte, wichtige Einrichtung (Anhang II BSIG), gemeldet ca. 7,5 Std. nach Kenntniserlangung

Am [Datum] wurde um 06:15 Uhr durch die IT-Frühschicht festgestellt, dass mehrere Dateiserver am Hauptstandort verschlüsselt sind; auf betroffenen Systemen liegt eine Lösegeldforderung vor. Betroffen sind die zentrale ERP-Datenablage und Teile der Fertigungssteuerung; die Produktion ist an zwei Fertigungslinien seit Kenntniserlangung unterbrochen. Es besteht der Verdacht auf eine böswillige Handlung (Ransomware); grenzüberschreitende Auswirkungen sind nach jetzigem Stand nicht erkennbar. Erste Maßnahmen: Betroffene Netzwerksegmente wurden isoliert, das IT-Notfallteam ist aktiviert, eine externe Forensik ist beauftragt. Eine detaillierte Ursachenanalyse liegt noch nicht vor und folgt mit der Meldung nach 72 Stunden. Meldende Kontaktperson: [Name, Funktion, Telefon, E-Mail].

Beispiel: Datenabfluss: regionaler Klinikverbund, 320 Beschäftigte, besonders wichtige Einrichtung (Sektor Gesundheitswesen), gemeldet ca. 14,5 Std. nach Kenntniserlangung

Am [Datum] wurde um 19:20 Uhr durch einen SIEM-Alert ein ungewöhnlicher Datenexport aus dem Patientenverwaltungssystem festgestellt; der IT-Bereitschaftsdienst hat den Vorfall um 19:45 Uhr bestätigt. Betroffen ist mutmaßlich ein kompromittiertes Administratorkonto, über das umfangreiche Datensätze mit Patienten- und Beschäftigtendaten exportiert wurden. Es besteht der Verdacht auf eine böswillige, unbefugte Handlung; ob Daten tatsächlich exfiltriert wurden, wird noch geprüft. Grenzüberschreitende Auswirkungen sind derzeit nicht erkennbar. Erste Maßnahmen: Das betroffene Konto wurde gesperrt, der Zugriff auf das Patientenverwaltungssystem eingeschränkt, eine forensische Sicherung eingeleitet. Meldende Kontaktperson: [Name, Funktion, Telefon, E-Mail].

Beispiel: DDoS: regionaler Energieversorger, 210 Beschäftigte, besonders wichtige Einrichtung (Sektor Energie), gemeldet ca. 5,8 Std. nach Kenntniserlangung

Am [Datum] wurde um 13:10 Uhr durch das Netzwerk-Monitoring eine massive Traffic-Spitze auf dem Kundenportal festgestellt; das Portal sowie die Online-Zählerstandserfassung sind seither nicht erreichbar. Es handelt sich um einen mutmaßlichen DDoS-Angriff; die interne Netzsteuerung und die Versorgungssicherheit sind nach jetzigem Stand nicht betroffen. Es besteht Verdacht auf eine böswillige Handlung; grenzüberschreitende Auswirkungen sind nicht erkennbar. Erste Maßnahmen: Traffic-Filterung über den vorgelagerten DDoS-Schutz des Hosting-Dienstleisters aktiviert, das Kundenportal ist vorübergehend über eine statische Ausweichseite mit Kontaktinformationen erreichbar. Meldende Kontaktperson: [Name, Funktion, Telefon, E-Mail].

Wie formulieren Sie die Meldung nach 72 Stunden ("Vollmeldung")?

Die Meldung nach 72 Stunden bestätigt oder korrigiert die frühe Erstmeldung und liefert erstmals eine Bewertung von Schweregrad, Ursache und Kompromittierungsindikatoren. Sie aktualisiert dieselbe Vorfall-ID, ist also kein neues Formular. Die drei folgenden Beispiele führen die Fälle aus dem vorigen Abschnitt fort.

Gegenüber der frühen Erstmeldung kommen inhaltlich folgende Angaben hinzu:

• Betroffenes Schutzziel: Vertraulichkeit, Integrität und/oder Verfügbarkeit, konkret benannt statt nur vermutet.
• Angriffstyp: Einstufung als gezielt oder ungezielt. Gezielt heißt, der Angriff war erkennbar auf das Unternehmen ausgerichtet; ungezielt bezeichnet breit gestreute Angriffswellen.
• Ursache: auch als vorläufige Einschätzung zulässig, etwa eine ausgenutzte Schwachstelle oder ein Phishing-Vorfall.
• Kompromittierungsindikatoren (IOCs): IP-Adressen, Datei-Hashes oder auffällige Domains, soweit vorhanden.
• Betroffene Systeme und Nutzer: geschätzte Anzahl.
• Finanzieller Schaden: grobe Einordnung.
• Weiterleitung an Strafverfolgung: ggf. Hinweis auf eine gewünschte BKA-Weiterleitung und eine gestellte Strafanzeige.

Details zu den einzelnen Feldern liefert die BSI-Anleitung zum Portal. Anhand dieser Angaben stuft das BSI die Kritikalität des Vorfalls ein und entscheidet über das weitere Vorgehen.

Praktisch bleiben nach einer frühen Erstmeldung oft nur 48 bis 50 Stunden für diese Ausarbeitung: Die 72-Stunden-Frist läuft ab Kenntniserlangung des Vorfalls, nicht erst ab der ersten Meldung. Wer die frühe Erstmeldung erst spät absetzt, verkürzt damit das eigene Zeitfenster für die zweite Stufe.

Sind personenbezogene Daten betroffen, läuft parallel die eigenständige 72-Stunden-Frist nach Art. 33 DSGVO gegenüber der Landesdatenschutzbehörde. Beide Meldewege sind getrennt zu bearbeiten und laufen nicht automatisch synchron.

Beispiel: Ransomware, Meldung nach 72 Stunden

Der am [Datum] gemeldete Ransomware-Vorfall wird bestätigt und wie folgt aktualisiert: Betroffen ist die Vertraulichkeit und Verfügbarkeit der Daten auf den verschlüsselten Systemen; eine Exfiltration von Daten ist nach aktuellem Kenntnisstand nicht erkennbar, wird jedoch forensisch weiter geprüft. Als Ursache wird die Ausnutzung einer ungepatchten VPN-Komponente vermutet (vorläufige Einstufung); Kompromittierungsindikatoren liegen in Form von zwei IP-Adressen und einem Dateihash vor und werden in der Anlage übermittelt. Der Angriff wird als gezielt eingestuft. Die Wiederherstellung aus Backups läuft, aktueller Fortschritt rund 60 Prozent; eine Fertigungslinie ist wieder in Betrieb. Eine Strafanzeige wurde bei der zuständigen Landespolizei gestellt, eine Weiterleitung an das BKA wird gewünscht.

Beispiel: Datenabfluss, Meldung nach 72 Stunden

Der gemeldete Vorfall wird bestätigt: Über das kompromittierte Administratorkonto wurden Datensätze von rund 4.200 Patientinnen und Patienten sowie 85 Beschäftigten exportiert, darunter Namen, Versichertennummern und teilweise Diagnosedaten; die Vertraulichkeit ist damit nachweislich verletzt, Verfügbarkeit und Integrität der Systeme sind nicht beeinträchtigt. Der Angriff wird als gezielt eingestuft, Ursache ist ein über Phishing erlangtes Administratorpasswort ohne Multi-Faktor-Schutz. Kompromittierungsindikatoren liegen vor und werden übermittelt. Parallel wurde die zuständige Landesdatenschutzbehörde nach Art. 33 DSGVO informiert. Eine Strafanzeige ist in Vorbereitung.

Laut Bitkom-Studie Wirtschaftsschutz 2025 wird rund ein Viertel der deutschen Unternehmen jährlich Opfer eines DDoS-Angriffs; der folgende Vorfall gehört zu dieser Gruppe.

Beispiel: DDoS, Meldung nach 72 Stunden

Der Vorfall wird bestätigt: Das Kundenportal war rund sieben Stunden nicht erreichbar, betroffen war ausschließlich die Verfügbarkeit der Web-Anwendung; interne Netzsteuerung und Energieversorgung waren zu keinem Zeitpunkt beeinträchtigt. Der Angriff wird als gezielt und volumenbasiert eingestuft (Layer-3/4-DDoS, Spitzenlast rund 40 GBit/s); eine Erpressung mit Lösegeldforderung liegt nicht vor. Geschätzt waren rund 18.000 Kunden von der Nichterreichbarkeit betroffen. Nach Filterung durch den DDoS-Schutz des Hosting-Dienstleisters ist das Portal seit [Uhrzeit] wieder vollständig erreichbar. Die forensische Auswertung der Angriffsquellen läuft.

Für die Meldung nach 72 Stunden hält die NIS2Compass Template Library das Formular „Vollmeldung-Meldeformular" (§ 32 Abs. 1 Nr. 2 BSIG) als Word-Vorlage bereit.

Fehlen zu diesem Zeitpunkt noch einzelne Angaben, etwa weil die forensische Auswertung nicht abgeschlossen ist, muss das die Meldung nicht verzögern: Eine begründet unvollständige Meldung nach 72 Stunden ist zulässig.

Wie formulieren Sie die Abschlussmeldung (1 Monat)?

Die Abschlussmeldung ist die vollständige Dokumentation: konkrete Ursache statt Kategorie, alle umgesetzten und laufenden Abhilfemaßnahmen, finaler Schweregrad. Dauert ein Vorfall länger als einen Monat, tritt an ihre Stelle eine Fortschrittsmeldung nach § 32 Abs. 2 BSIG — die Abschlussmeldung folgt dann später.

Anders als die früheren Meldestufen fragt das BSI hier nicht mehr nach ersten Einschätzungen, sondern nach belastbaren Fakten. Der Schweregrad, der in der frühen Erstmeldung noch vorläufig eingeschätzt wurde, wird jetzt abschließend festgelegt.

Der Qualitätsmaßstab bei der Abschlussmeldung ist die Ursache als Befund, nicht als Kategorie. "Phishing-Angriff" oder "Ransomware" beschreiben nur den Vorfallstyp, nicht dessen Ursprung. § 32 Abs. 1 Nr. 4 BSIG verlangt stattdessen eine ausführliche Beschreibung der Bedrohungsart oder Grundursache: welche Schwachstelle ausgenutzt wurde, seit wann sie bekannt war und wie der Angreifer konkret vorgegangen ist.

Bei einer ausgenutzten Softwarelücke zählt etwa, ob zum Zeitpunkt des Angriffs bereits ein Patch verfügbar war. Beim Diebstahl von Zugangsdaten zählt, ob eine Zugangssicherung wie Multi-Faktor-Authentifizierung gefehlt hat.

Zur vollständigen Dokumentation zählen dabei nicht nur bereits abgeschlossene Maßnahmen, sondern auch solche, die zum Meldezeitpunkt noch laufen, etwa ein mehrstufiger Rollout neuer Zugriffsregeln.

Braucht die Aufarbeitung länger als einen Monat, entfällt die Abschlussmeldung nicht ersatzlos. An ihre Stelle tritt nach § 32 Abs. 2 BSIG eine Fortschrittsmeldung: ein Zwischenstand mit dem aktuellen Kenntnisstand statt einer endgültigen Bewertung. Für die Praxis bedeutet das: Wer nach 30 Tagen noch nicht fertig ist, meldet trotzdem — nur einen Zwischenstand statt eines Abschlusses. Die eigentliche Abschlussmeldung folgt dann, sobald der Vorfall tatsächlich abgeschlossen ist.

Der Bußgeldbezug ist hier eng: Nach § 65 BSIG ist eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorgelegte Abschlussmeldung ein eigener Tatbestand, mit bis zu 10 Mio. Euro bei besonders wichtigen und bis zu 7 Mio. Euro bei wichtigen Einrichtungen. Diese Meldestufe wird damit ebenso ernst genommen wie die Erst- und die 72-Stunden-Meldung.

So sehen die drei Fallgeschichten aus dieser Anleitung in der Abschlussmeldung aus. Jede folgt derselben Struktur: Datum, konkrete Ursache, finaler Schweregrad, umgesetzte Abhilfemaßnahmen.

Beispiel: Ransomware, Abschlussmeldung (Tag 27)

Der Vorfall ist zum [Datum, 27 Tage nach Kenntniserlangung] abgeschlossen. Ursache war eine seit sieben Wochen ungepatchte VPN-Komponente in Kombination mit einer erfolgreichen Phishing-Mail an einen Mitarbeiter der Fertigungssteuerung; der Angreifer verschaffte sich darüber Zugriff auf das interne Netz und verschlüsselte die zentralen Dateiserver. Der Schweregrad wird als erheblich mit Betriebsunterbrechung von vier Tagen auf zwei Fertigungslinien eingestuft, geschätzter Schaden rund 260.000 Euro. Umgesetzte Abhilfemaßnahmen: vollständige Neuaufsetzung der betroffenen Systeme, verpflichtende Multi-Faktor-Authentifizierung für alle Fernzugänge, überarbeiteter Patch-Prozess mit maximal 14 Tagen Frist für kritische Schwachstellen. Grenzüberschreitende Auswirkungen bestanden nicht. Der Vorfall gilt als abgeschlossen, eine Fortschrittsmeldung ist nicht erforderlich.

Beispiel: Datenabfluss, Abschlussmeldung (Tag 24)

Der Vorfall ist zum [Datum, 24 Tage nach Kenntniserlangung] abgeschlossen. Ursache war ein Administratorkonto ohne Multi-Faktor-Authentifizierung, dessen Zugangsdaten über eine Phishing-Mail erlangt wurden; der Angreifer exportierte innerhalb von rund 90 Minuten Datensätze von 4.238 Patientinnen und Patienten sowie 85 Beschäftigten. Schweregrad: erheblich, materieller Schaden vor allem durch externe forensische Unterstützung und Benachrichtigung der Betroffenen, geschätzt 95.000 Euro; kein Ausfall der Patientenversorgung. Abhilfemaßnahmen: verpflichtende Multi-Faktor-Authentifizierung für alle Administratorkonten, Reduzierung der Zugriffsrechte nach dem Least-Privilege-Prinzip, Benachrichtigung der Betroffenen nach Art. 34 DSGVO abgeschlossen. Grenzüberschreitende Auswirkungen bestanden nicht.

Beispiel: DDoS, Abschlussmeldung (Tag 12)

Der Vorfall ist zum [Datum, 12 Tage nach Kenntniserlangung] abgeschlossen. Ursache war ein volumenbasierter DDoS-Angriff auf das öffentlich erreichbare Kundenportal, mutmaßlich über ein gemietetes Botnetz; ein Bekennerschreiben oder eine Lösegeldforderung lagen nicht vor. Schweregrad: erheblich aufgrund der rund siebenstündigen Nichterreichbarkeit eines kundenrelevanten Dienstes bei einem Betreiber im Energiesektor; die Energieversorgung selbst war nicht betroffen. Abhilfemaßnahmen: dauerhafte Umstellung auf einen skalierbaren DDoS-Schutz mit höherer Kapazitätsreserve, Einrichtung einer separaten Notfallseite unabhängig von der Hauptinfrastruktur, Anpassung des Notfallplans um das Szenario „Verfügbarkeitsangriff ohne Datenbetroffenheit". Grenzüberschreitende Auswirkungen bestanden nicht.

Die drei Szenarien sind konstruierte Beispiele und dienen ausschließlich der Veranschaulichung.

Was muss die frühe Erstmeldung ausdrücklich NICHT sein?

Die frühe Erstmeldung ist kein Forensikbericht: Das BSI verlangt ausdrücklich keine vollständige Fallbeschreibung, sondern ein schnelles Signal innerhalb von 24 Stunden. Wer mit der Meldung wartet, bis alle Fakten feststehen, reißt die Frist unnötig — das ist in der Praxis der häufigste Fehler unter Zeitdruck.

Das BSI formuliert diesen Anspruch selbst so:

„[…] ein Vorfall möglichst früh gemeldet werden soll, unabhängig von den vorliegenden Informationen." — BSI, NIS-2-Meldepflicht

Was gehört nicht in die frühe Erstmeldung?

Folgende Punkte gehören in die Meldung nach 72 Stunden oder die Abschlussmeldung, nicht in die ersten 24 Stunden:

• Root-Cause-Analyse: die technische Ursache des Vorfalls
• Quantifizierter Schadensumfang: betroffene Datensätze, finanzielle Auswirkungen
• Vollständige IOC-Liste: alle Kompromittierungsindikatoren im Detail
• Abschließende Systemaufzählung: jedes betroffene System einzeln benannt
• Gesicherte Angreiferidentität: Zuordnung zu einer Tätergruppe
• Vollständige DSGVO-Bewertung: die datenschutzrechtliche Einordnung im Detail

Kurz gesagt: Schnelligkeit vor Vollständigkeit. Eine unvollständige, aber pünktliche frühe Erstmeldung ist rechtlich unproblematisch, denn Korrekturen laufen über die Meldung nach 72 Stunden und die Abschlussmeldung — nicht über eine neue Meldung. Die eigentlich bußgeldbewehrte Pflichtverletzung ist die verspätete Meldung, nicht die unvollständige.

Auch eine Formulierung wie "wir wissen noch nicht, ob es sich um Ransomware oder einen anderen Vorfalltyp handelt" ist als frühe Erstmeldung zulässig, solange Zeitpunkt und Pflichtfelder wie Verdacht auf böswillige Handlung und grenzüberschreitende Wirkung so gut wie möglich beantwortet sind.

Wie ernst Aufsichtsbehörden verspätete Meldungen nehmen, zeigt eine Analogie aus dem Datenschutzrecht: Die niederländische Datenschutzbehörde sanktionierte Booking.com 2021 mit 475.000 Euro, nicht wegen des Vorfalls selbst, sondern weil die Meldung erst nach 25 statt der vorgeschriebenen 72 Stunden bei der Behörde einging. Zu NIS2-Meldeverstößen liegen bisher keine veröffentlichten Bußgeldbescheide vor, die zugrundeliegende Aufsichtslogik dürfte aber vergleichbar sein.

Wo und wie reichen Sie die Meldung ein?

Alle drei Meldestufen laufen über dasselbe BSI-Portal (portal.bsi.bund.de), der Zugang erfolgt über „Mein Unternehmenskonto" (MUK) mit ELSTER-Organisationszertifikat — ein separates BSI-Konto gibt es nicht. Die Frist beginnt mit der Kenntniserlangung durch einen Mitarbeiter, nicht mit dem Vorfall selbst oder einem reinen Maschinen-Alert.

Ein BSI-MELDIS oder eine separate meldestelle.bsi.bund.de existiert nicht mehr — beide Bezeichnungen sind veraltet. Registrierte Einrichtungen melden ausschließlich über MUK. Für noch nicht registrierte Einrichtungen steht übergangsweise ein Online-Formular ohne vorherige Registrierung bereit.

Entscheidend für den Fristbeginn ist der Moment, in dem ein Mitarbeiter den Vorfall innerhalb der Arbeitszeit tatsächlich erkennt, nicht der technische Zeitpunkt des Vorfalls. Meldungen von Dienstleistern oder Kunden zählen ab Eingang bei der eigenen Einrichtung. Ein reiner Alert eines Monitoring-Systems ohne menschliche Sichtung löst die 24-Stunden-Frist noch nicht aus.

Eine jederzeitige Erreichbarkeit der registrierten Kontaktstelle gilt nach den BSI-Vorgaben nur für KRITIS-Betreiber. Besonders wichtige und wichtige Einrichtungen kommen mit einem während der Geschäftszeiten überwachten Funktionspostfach aus. Da die Frist auch nachts oder am Wochenende laufen kann, lohnt sich eine erweiterte Erreichbarkeit der internen Meldekette trotzdem.

Legen Sie Zugangsdaten für das BSI-Portal nicht ausschließlich auf einem System ab, das bei einem Ransomware-Vorfall selbst betroffen sein könnte. Die Registrierungsfrist für das BSI-Portal endete am 6. März 2026; wer sich damals noch nicht registriert hat, sollte das umgehend nachholen. Schritt 4-2 des NIS2Compass-Guide führt durch den Aufbau des BSI-Meldeverfahrens: von der Definition, was als erheblich gilt, über Meldevorlagen für alle drei Stufen bis zur Portal-Einrichtung.

Häufig gestellte Fragen

Was gehört in die frühe Erstmeldung, wenn ich nach 24 Stunden noch nicht alle Details kenne?

Melden Sie trotzdem. Die frühe Erstmeldung ist eine Signalmeldung mit minimalen Pflichtangaben — Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Wirkung, erste Sofortmaßnahmen. Eine vorläufige, unvollständige, aber pünktliche Meldung ist deutlich besser als eine verspätete vollständige. Korrekturen folgen über die Meldung nach 72 Stunden.

Muss ich für jede der drei Meldestufen ein neues Formular ausfüllen?

Nein. Alle drei Meldestufen laufen über dieselbe Vorfall-ID im BSI-Portal. Die Meldung nach 72 Stunden und die Abschlussmeldung sind Aktualisierungen der bereits eingereichten frühen Erstmeldung, keine neuen Vorgänge. Rufen Sie dafür den bestehenden Vorfall über „Meine Sicherheitsvorfälle" im Portal auf und ergänzen Sie die neuen Angaben dort.

Brauche ich einen separaten BSI-Account, um eine Meldung einzureichen?

Nein. Der Zugang zum BSI-Portal (portal.bsi.bund.de) läuft über „Mein Unternehmenskonto" (MUK) mit einem ELSTER-Organisationszertifikat. Ein separates BSI-Konto mit eigenem Passwort oder eigener Zwei-Faktor-App existiert nicht mehr. Richten Sie den Zugang rechtzeitig ein, bevor der erste Vorfall eintritt — nicht erst unter Zeitdruck.

Muss meine Meldekette rund um die Uhr erreichbar sein?

Nur für Betreiber kritischer Anlagen (KRITIS) ist eine jederzeitige Erreichbarkeit der registrierten Kontaktstelle Pflicht. Besonders wichtige und wichtige Einrichtungen kommen mit einem während der Geschäftszeiten überwachten Funktionspostfach aus. Da die 24-Stunden-Frist ab Kenntniserlangung läuft, lohnt sich trotzdem eine Erreichbarkeit über reine Bürozeiten hinaus.

Kann ich eine bereits abgeschickte BSI-Meldung zurückziehen oder korrigieren?

Zurückziehen nicht. Eine einmal eingereichte Meldung lässt sich ausschließlich über Folgemeldungen korrigieren oder ergänzen — die Meldung nach 72 Stunden und die Abschlussmeldung sind genau dafür vorgesehen. Das gilt als etablierte Praxis, wie auch im Pillar-Artikel zu den NIS2-Meldepflichten von NIS2Compass beschrieben.