Was passiert nach einer Meldung ans BSI?

Verfasst von der NIS2Compass Redaktion | Stand: August 2026

Nach einer BSI-Meldung folgt zunächst eine Eingangsbestätigung, im Regelfall innerhalb von 24 Stunden, auf Wunsch ergänzt um Beratung zu Abhilfemaßnahmen. Eine automatische Veröffentlichung oder Prüfung löst eine Meldung nicht aus, das hängt vom Einrichtungstyp und von konkreten Anhaltspunkten ab. NIS2Compass führt im Guide durch den gesamten Meldeprozess.

Was meldet das BSI nach Eingang Ihrer Meldung zurück?

Nach § 36 Abs. 1 BSIG bestätigt das BSI den Eingang Ihrer Meldung unverzüglich, nach Möglichkeit innerhalb von 24 Stunden. Auf Ersuchen liefert es Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen und kann zusätzliche technische Unterstützung leisten. Eine automatische Veröffentlichung ist damit nicht verbunden.

Diese Rückmeldung ist ausdrücklich keine automatische Reaktion vor Ort. Die Behörde bestätigt zunächst nur den Eingang und wird erst dann beratend aktiv, wenn die meldende Einrichtung dies ausdrücklich wünscht. Ohne ein solches Ersuchen bleibt es bei der reinen Bestätigung, ein eigenständiges Tätigwerden des BSI vor Ort ist damit nicht verbunden. Die operative Bewältigung des Vorfalls bleibt bei der betroffenen Einrichtung selbst, das BSI unterstützt nur auf Anfrage.

Eine weitergehende Rechtsgrundlage liefert § 32 Abs. 6 BSIG: Das BSI kann demnach zusätzliche Unterstützungsangebote nach Maßgabe des § 36 Abs. 1 BSIG bereitstellen, allerdings ebenfalls nur auf Anfrage der meldenden Stelle. Beide Vorschriften greifen also ineinander und regeln gemeinsam, in welchem Umfang das BSI nach einer Meldung tätig werden darf.

Dieser Ablauf setzt dort an, wo die eigentliche Meldung endet. Wenn Sie Ihre Meldung nach diesen Mustertexten formuliert haben, folgt im Anschluss genau dieser Rückmeldeprozess durch das BSI. Bestand vorher noch Unsicherheit, ob ein Vorfall überhaupt meldepflichtig war, ist diese Frage an dieser Stelle bereits geklärt. NIS2Compass ordnet diesen Schritt im NIS2 Guide in den Gesamtprozess der Meldepflichten ein.

Wird eine BSI-Meldung automatisch veröffentlicht?

Nein. Eine Veröffentlichung ist nur in zwei engen Fällen möglich: Das BSI kann eine Einrichtung nach Anhörung verpflichten, die Öffentlichkeit zu informieren, wenn dies zur Bewältigung des Vorfalls nötig ist oder im öffentlichen Interesse liegt, oder es informiert unter denselben Voraussetzungen selbst. Der Regelfall ist vertrauliche Bearbeitung.

Diese Ausnahme ergibt sich aus § 36 Abs. 2 BSIG und setzt in jedem Fall eine vorherige Anhörung der betroffenen Einrichtung voraus. Ohne diese beiden Voraussetzungen bleibt eine Meldung intern.

Zu unterscheiden ist das von der Unterrichtungspflicht nach § 35 BSIG. Danach müssen Einrichtungen unter bestimmten Voraussetzungen ihre eigenen Kunden über einen Vorfall informieren. Das betrifft einen anderen Adressatenkreis und eine andere Rechtsgrundlage als die behördliche Veröffentlichung nach § 36; mehr dazu im nächsten Abschnitt.

Innerhalb der Verwaltung wird eine Meldung dagegen weitergegeben: Nach § 32 Abs. 5 BSIG leitet das BSI eingegangene Meldungen unverzüglich an die zuständigen Bundes-Aufsichtsbehörden weiter. Das ist verwaltungsinterne Koordination, keine Veröffentlichung.

Auf europäischer Ebene fasst das BSI Meldedaten zusammen. Nach § 58 Abs. 4 BSIG legt es der ENISA vierteljährlich einen zusammenfassenden Bericht vor, jeweils zum 18. Januar, 18. April, 18. Juli und 18. Oktober. Dieser Bericht enthält ausschließlich anonymisierte und aggregierte Daten zu gemeldeten Vorfällen, Ihr Unternehmen wird darin nicht namentlich erkennbar.

Bei grenzüberschreitenden Vorfällen greift eine dritte Regel. § 40 Abs. 4 Nr. 3 BSIG verpflichtet das BSI, Informationen an die zentralen Anlaufstellen anderer betroffener EU-Mitgliedstaaten sowie gegebenenfalls die ENISA weiterzuleiten, dabei sind das wirtschaftliche Interesse der Einrichtung sowie die Vertraulichkeit der bereitgestellten Informationen zu wahren. Diese Schutzformel ist nicht mit der Anonymisierung nach § 58 Abs. 4 gleichzusetzen.

Welche Angaben eine Meldung nach § 32 BSIG überhaupt enthalten muss, erklärt der Beitrag Wann, was und an wen melden?

Wann müssen Sie Ihre Kunden über einen Vorfall informieren?

Das BSI kann Sie nach § 35 Abs. 1 BSIG anweisen, betroffene Kunden unverzüglich über einen erheblichen Sicherheitsvorfall zu informieren, der die Erbringung Ihres Dienstes beeinträchtigen könnte. Für die Sektoren Finanzwesen, Sozialversicherung, digitale Infrastruktur, IKT-Dienste-Management und digitale Dienste gilt zusätzlich eine eigenständige Informationspflicht bei erheblichen Cyberbedrohungen.

§ 35 Abs. 1 BSIG begründet keine automatische Meldepflicht gegenüber Kunden, sondern eine Anordnungsbefugnis des BSI. Erst wenn die Behörde im Einzelfall eine solche Anordnung trifft, müssen Sie tätig werden. Das BSI unterrichtet dabei parallel die zuständige Aufsichtsbehörde des Bundes. Die Information der Kunden kann auch durch eine Veröffentlichung auf der eigenen Website der Einrichtung erfolgen, eine individuelle Benachrichtigung jedes Einzelnen ist nicht zwingend vorgeschrieben.

Anders liegt der Fall bei § 35 Abs. 2 BSIG: Für die fünf genannten Sektoren besteht eine eigenständige, von einer BSI-Anordnung unabhängige Pflicht. Betroffen sind Einrichtungen, die potenziell betroffene Dienste-Empfänger und das BSI unverzüglich über Abhilfemaßnahmen und die Cyberbedrohung selbst informieren müssen, sofern eine Interessenabwägung zugunsten der Empfänger ausfällt.

Für den typischen NIS2Compass-Kunden außerhalb dieser fünf Sektoren greift eine eigenständige Kundeninformationspflicht nach Abs. 2 in der Regel nicht. Eine Verpflichtung zur Unterrichtung kann sich jedoch über eine BSI-Anordnung nach Abs. 1 ergeben, abhängig vom konkreten erheblichen Sicherheitsvorfall und dessen Auswirkungen auf Ihre Dienste. Eine automatische Pflicht bei jeder § 32-Meldung besteht nicht.

Löst eine Meldung automatisch eine BSI-Prüfung aus?

Nein, und das hängt entscheidend vom Einrichtungstyp ab. Bei wichtigen Einrichtungen darf das BSI nach § 62 BSIG nur prüfen, wenn konkrete Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig erfüllt werden. Bei besonders wichtigen Einrichtungen bestehen nach § 61 BSIG dagegen weitergehende, auch anlassunabhängige Prüfbefugnisse.

Für wichtige Einrichtungen gilt damit eine rein anlassbezogene Aufsicht. Das BSI kann die Einhaltung von Risikomanagementmaßnahmen nach § 30, Meldepflichten nach § 32 und Pflichten der Geschäftsleitung nach § 38 nur dann überprüfen, wenn belastbare Tatsachen auf eine Pflichtverletzung hindeuten. Eine form- und fristgerecht abgegebene Meldung ist genau das Gegenteil eines solchen Anhaltspunkts: Sie belegt, dass die Meldepflicht erfüllt wurde, und ist für sich genommen kein Indiz für ein Fehlverhalten.

Bei besonders wichtigen Einrichtungen reicht die Aufsicht deutlich weiter. Das BSI kann Audits, Prüfungen und Zertifizierungen anordnen und ab drei Jahren nach Inkrafttreten des Gesetzes generell Nachweise verlangen, ausgewählt nach Risikoexposition, Größe und Schwere möglicher Vorfälle. Diese allgemeine Prüfbefugnis ist nicht an einen konkreten Anlass gebunden, sondern besteht unabhängig von einer einzelnen Meldung.

In keiner der beiden Vorschriften ist die Meldung selbst als Auslöser genannt. Die Meldung als Ereignis ist etwas anderes als ihr Inhalt. Was darin offengelegt wird, etwa erkennbare systematische Sicherheitsmängel, kann als Tatsache im Sinne des § 62 BSIG gelten und eine Prüfung nach sich ziehen; die Meldung selbst zieht keine Prüfung nach sich, nur ihr Inhalt könnte im Ausnahmefall Anlass dafür sein.

Ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung gilt, klärt der NIS2Compass Vor-Check.

Warum lässt sich eine abgegebene Meldung nicht zurückziehen?

Eine einmal eingereichte BSI-Meldung lässt sich nicht zurückziehen. Das Meldeverfahren nach § 32 BSIG ist als Kette aufeinander aufbauender Meldestufen unter derselben Vorfall-ID angelegt, keine widerrufbare Einzelmeldung. Korrekturen laufen ausschließlich über die nächste Meldestufe: die Meldung nach 72 Stunden oder die Abschlussmeldung.

Eine ausdrückliche Vorschrift mit dem Wortlaut „eine Meldung kann nicht zurückgezogen werden" enthält das BSIG nicht. Die Aussage ergibt sich aus der Verfahrensarchitektur selbst: § 32 BSIG beschreibt die Meldung nach 72 Stunden ausdrücklich als Schritt, in dem die Angaben der frühen Erstmeldung „bestätigt oder aktualisiert werden". Das Gesetz sieht die Korrektur damit als eingebauten Verfahrensschritt vor, nicht als Rückzug. Eine neue, unabhängige Meldung zum selben Vorfall gibt es nicht, wie es auch in den Mustertexten zu den Meldestufen beschrieben ist.

Genau das erklärt die Zurückhaltung vieler Unternehmen bei der vorsorglichen Meldung. Wer im Zweifel meldet und der Vorfall stellt sich später als weniger schwerwiegend heraus, sieht die Meldung nicht verschwinden. Sie bleibt als Vorgang bestehen und wird über die Folgemeldung korrigiert, etwa wenn ein IT-Dienstleister mit 60 Beschäftigten nach einem Phishing-Vorfall ohne bestätigten Datenabfluss vorsorglich eine frühe Erstmeldung abgibt. Die 72-Stunden-Meldung stellt anschließend klar, dass kein Datenabfluss stattfand, und die Abschlussmeldung dokumentiert den Vorfall als beendet, ohne dass ein Schaden eingetreten ist.

Diese Endgültigkeit ist der eigentliche Grund für die Zögerlichkeit vor der frühen Erstmeldung, nicht die Angst vor dem Meldevorgang selbst. Trotzdem lautet die ehrliche Antwort auf die Zögerfrage: im Zweifel melden. Drei Gründe sprechen dafür:

• Unvollständigkeit ist zulässig: Eine unvollständige, aber pünktliche frühe Erstmeldung ist ausdrücklich erlaubt, das BSI arbeitet nach dem Prinzip Schnelligkeit vor Vollständigkeit.
• Bußgeld droht bei Verspätung, nicht bei Korrektur: Die bußgeldbewehrte Pflichtverletzung ist die verspätete oder unterlassene Meldung, nicht die spätere Korrektur nach unten.
• Überschießende Meldungen bleiben folgenlos: Eine vorsorgliche Meldung, die sich später als weniger gravierend herausstellt, hat keine automatischen Konsequenzen, die Folgemeldung stellt den Sachverhalt richtig.

Weil die Entscheidung damit endgültig ist, ist sie zugleich eine Führungsfrage. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen, sie trägt also ohnehin die Verantwortung für die Informationssicherheit des Unternehmens. Die Entscheidung „im Zweifel melden" sollte deshalb bewusst getroffen werden, nicht allein aus der IT-Abteilung heraus. Der NIS2 Guide von NIS2Compass begleitet Sie durch genau diese Entscheidung, wann und wie gemeldet wird.

Häufig gestellte Fragen

Bekommen Sie eine Bestätigung, dass Ihre Meldung beim BSI angekommen ist?

Ja. Das BSI bestätigt den Eingang Ihrer Meldung unverzüglich, nach Möglichkeit innerhalb von 24 Stunden. Auf Wunsch erhalten Sie zusätzlich Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen und bei Bedarf technische Unterstützung. Diese ergänzenden Leistungen erfolgen ausschließlich auf Ersuchen Ihrer Einrichtung, nicht automatisch mit jeder Meldung.

Erfährt die Öffentlichkeit von Ihrer Meldung?

Im Regelfall nicht. Das BSI darf die Öffentlichkeit nur nach Anhörung Ihrer Einrichtung informieren, wenn dies zur Bewältigung des Vorfalls erforderlich ist oder im öffentlichen Interesse liegt. An die ENISA gehen vierteljährlich lediglich anonymisierte, aggregierte Statistikdaten. Einzelmeldungen mit erkennbarem Unternehmensbezug werden dabei nicht weitergegeben.

Müssen Sie nach einer Meldung mit einer BSI-Prüfung rechnen?

Das hängt vom Typ Ihrer Einrichtung ab. Bei wichtigen Einrichtungen darf das BSI nur prüfen, wenn konkrete Tatsachen auf eine Pflichtverletzung hindeuten. Eine ordnungsgemäße Meldung allein reicht dafür nicht als Anlass. Besonders wichtige Einrichtungen unterliegen weitergehenden Prüfbefugnissen, die auch ohne konkreten Anlass greifen können.

Können Sie eine bereits abgegebene BSI-Meldung zurückziehen?

Nein, ein Rückzug ist im Verfahren nicht vorgesehen. Das Meldeverfahren zielt auf Aktualisierung statt auf Rücknahme: Nach § 32 BSIG bestätigen oder aktualisieren Sie mit der Meldung nach 72 Stunden lediglich Ihre Erstmeldung. Korrekturen laufen über die nächste Meldestufe, nicht über eine Rücknahme des ursprünglichen Berichts.

Müssen Sie Ihre Kunden informieren, wenn Sie einen Vorfall ans BSI gemeldet haben?

Nicht automatisch. Das BSI kann Sie anweisen, betroffene Kunden zu informieren, wenn der Vorfall die Erbringung Ihres Dienstes beeinträchtigen könnte. Eine eigenständige Informationspflicht ohne BSI-Anordnung gilt nur für bestimmte Sektoren: Finanzwesen, Sozialversicherung, digitale Infrastruktur, IKT-Dienstemanagement und digitale Dienste bei erheblichen Cyberbedrohungen.