Meldeprozess nach § 32 BSIG mit Meldevorlagen und Vorfallprotokoll

Das Dokument

Was NIS2-Meldeprozess mit Meldevorlagen regelt

Der Meldeprozess mit Fristen und Meldevorlagen (NIS-VF-21, 15 Seiten) beschreibt die Meldestufen nach § 32 BSIG, die Rollen mit Erreichbarkeit rund um die Uhr, die Entscheidung über die Meldung und die Abgrenzung zu anderen Meldepflichten. Die Fristen der frühen Erstmeldung (spätestens 24 Stunden) und der Meldung (spätestens 72 Stunden) laufen ab Kenntniserlangung. Die Abschlussmeldung folgt spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung, dauert der Vorfall dann noch an, tritt eine Fortschrittsmeldung an ihre Stelle. Zwischenmeldungen gibt es auf Ersuchen des Bundesamtes.

Abschnitt 4 enthält eine Prüfhilfe zur Erheblichkeit mit fünf Kriterien, Prüffragen und Beispielen. Die Schwellen in eckigen Klammern legt die Geschäftsleitung für das eigene Unternehmen fest, sie sind Orientierungswerte und keine gesetzlichen Grenzen. Die Anhänge A bis C sind Textvorlagen für frühe Erstmeldung, Meldung nach 72 Stunden und Abschluss- oder Fortschrittsmeldung, jeweils als Feldliste und als Mustertext.

Das Vorfallprotokoll (NIS-RG-05) ist die Excel-Tabelle dazu. Je Vorfall erfassen Sie Eingang der Meldung, Kenntniserlangung, Beschreibung, betroffene Systeme, Einstufung, Erheblichkeit nach BSIG und die Absendezeitpunkte der Meldungen. Steht die Kenntniserlangung als Datum mit Uhrzeit in der Tabelle, rechnen die Fristenspalten die spätesten Termine für Erstmeldung und Meldung, die Frist für die Abschlussmeldung rechnet ab dem Absenden der 72-Stunden-Meldung. Eigene Spalten halten die Meldung an die Datenschutzaufsicht und die Information des Kunden fest.

Einsatz

Wofür Sie den Meldeprozess brauchen

Fällt Ihr Unternehmen unter das BSIG, löst ein erheblicher Sicherheitsvorfall die Meldepflicht nach § 32 BSIG aus. Die Fristen laufen auch an Wochenenden, an Feiertagen und in der Nacht. Das Verfahren regelt deshalb, wer zu jeder Zeit erreichbar ist, wer die Meldung freigibt, wenn die Geschäftsleitung nicht erreichbar ist, und wo die Zugangsdaten für den Meldeweg hinterlegt sind.

Der Begriff des erheblichen Sicherheitsvorfalls stammt aus § 2 BSIG. Die Vorlage gibt seine zwei Merkmale nah am Gesetz wieder, damit Sie die eigene Einstufung gegen den Gesetzestext halten können, und hält Zeitpunkt der Kenntniserlangung, Begründung und Entscheidende im Vorfallprotokoll fest. Bleibt die Erheblichkeit zu lange offen, entscheidet die Geschäftsleitung, ob vorsorglich eine frühe Erstmeldung abgegeben wird, damit die 24-Stunden-Frist eingehalten werden kann.

Gegenüber Prüfern belegen Vorfallprotokoll und abgelegte Meldungen, wie Sie mit den Fristen umgegangen sind: Jede Meldung wird mit Datum, Uhrzeit, Inhalt, übermittelnder Person und Empfangsbestätigung dokumentiert. Abschnitt 8 grenzt die Meldung nach § 32 BSIG von der Meldung nach Art. 33 DSGVO, der Information von Kunden, der Meldung an die Cyberversicherung und der Strafanzeige ab. Die Fristen dieser Pflichten laufen unabhängig voneinander.

Wie die Dokumente zusammenspielen

Das Verfahren (Word) legt Regeln, Rollen, Kriterien und Texte fest, das Vorfallprotokoll (Excel) ist der Nachweis im Einzelfall. Das Verfahren verlangt ausdrücklich, Einstufung, Begründung, Zeitpunkte, Entscheidende und jede abgegebene Meldung im Vorfallprotokoll einzutragen, und es führt dort auch die Fristenübersicht mit T0 und T1. Das Protokoll erfasst darüber hinaus Verdachtsfälle, die sich nicht bestätigen, und Vorfälle bei Dienstleistern, die Daten oder Leistungen des Unternehmens betreffen.