Wann gemeldet werden muss
Meldepflichtig ist nach § 32 BSIG nicht jeder Sicherheitsvorfall, sondern ein erheblicher Sicherheitsvorfall. Das Gesetz definiert ihn in § 2 Nr. 11 BSIG als Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Ein Sicherheitsvorfall ist nach § 2 Nr. 40 BSIG ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der über IT-Systeme angebotenen Dienste beeinträchtigt. Eine Rechtsverordnung nach § 56 Abs. 5 BSIG kann den Begriff des erheblichen Sicherheitsvorfalls konkretisieren; sie geht dann vor. Ob ein Vorfall erheblich ist, entscheidet Ihre Einrichtung selbst, und zwar schnell.
Die Meldestufen
Gemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Maßgeblich ist der Zeitpunkt, zu dem Sie von dem erheblichen Sicherheitsvorfall Kenntnis erlangen.
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung | Ob der Verdacht einer rechtswidrigen oder böswilligen Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind |
| Meldung | unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des Bundesamts | Relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach der Meldung nach 72 Stunden | Ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung und Ursache, Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
| Fortschrittsmeldung | statt der Abschlussmeldung, wenn der Vorfall dann noch andauert | Stand der Bearbeitung; die Abschlussmeldung folgt nach Abschluss (§ 32 Abs. 2 BSIG) |
Drei Feinheiten
- Die Monatsfrist läuft ab der 72-Stunden-Meldung, nicht ab der Erstmeldung und nicht ab dem Vorfall.
- Die Meldepflicht gilt frühestens ab Einrichtung des Meldewegs durch die Meldestelle (§ 32 Abs. 1 Satz 2 BSIG).
- Betreiber kritischer Anlagen melden zusätzlich Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen (§ 32 Abs. 3 BSIG).
Den Wortlaut finden Sie in § 32 BSIG auf gesetze-im-internet.de (geprüft am 21.09.2026). Andere Meldepflichten, etwa gegenüber der Datenschutzaufsicht oder aus Kundenverträgen, laufen unabhängig davon mit eigenen Fristen.
Was vor dem ersten Vorfall feststehen muss
- Wer entscheidet, ob ein Vorfall erheblich ist, und nach welchen Kriterien?
- Wer meldet, wer vertritt diese Person, und wie ist sie auch am Wochenende erreichbar?
- Ist der Zugang zum BSI-Portal eingerichtet? Nach Angabe des BSI braucht auch die Meldung eines Sicherheitsvorfalls die Anmeldung mit dem ELSTER-Organisationszertifikat, dessen Aktivierungsbrief per Post kommt (Quelle: bsi.bund.de, abgerufen am 23.09.2026). Wer es erst nach einem Vorfall beantragt, verliert Zeit, die die 24-Stunden-Frist nicht hat.
- Liegen die Angaben für die Erstmeldung als Vorlage bereit, so dass sie in wenigen Minuten ausgefüllt ist?
- Wird jeder Vorfall mit Zeitpunkt der Kenntnis, Einstufung und Meldungen protokolliert?
Vorlagen für den Meldeprozess
Das NIS2-Paket enthält einen Meldeprozess mit Einstufung, Meldestufen, Fristen und Meldevorlagen, eine Richtlinie zum Umgang mit Sicherheitsvorfällen und ein Vorfallprotokoll in Excel. Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung; die Einstufung eines Vorfalls bleibt Ihre Entscheidung.
Dieser Ratgeber gibt einen Überblick und ist keine Rechtsberatung.