NIS2-Meldepflicht: Fristen, Ablauf und Inhalte der Meldungen
Welche Meldefristen gelten nach NIS2?
Die Fristen stammen aus Art. 23 Abs. 4 der NIS2-Richtlinie. Das deutsche BSIG und das österreichische NISG 2026 haben sie gleich übernommen, nur die Bezeichnungen unterscheiden sich:
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung (AT: Frühwarnung) | unverzüglich, spätestens 24 Stunden nach Kenntnis | ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren (IoCs) |
| Zwischenmeldung (AT: Zwischenbericht) | auf Ersuchen der Behörde | relevante Statusaktualisierungen |
| Abschlussmeldung (AT: Abschlussbericht) | spätestens einen Monat nach der Meldung | ausführliche Beschreibung mit Schweregrad und Auswirkungen, Art der Bedrohung oder wahrscheinliche Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
| Fortschrittsmeldung (AT: Fortschrittsbericht) | statt der Abschlussmeldung, wenn der Vorfall nach einem Monat noch andauert | Stand der Bearbeitung; die Abschlussmeldung folgt, sobald der Vorfall abgeschlossen ist |
Die 24 und 72 Stunden zählen beide ab Kenntnis des Vorfalls, nicht ab der vorigen Meldung. Die Monatsfrist für die Abschlussmeldung beginnt dagegen erst mit der Meldung nach 72 Stunden (§ 32 Abs. 1 Nr. 4 BSIG). Vertrauensdiensteanbieter in Österreich müssen die Meldung mit erster Bewertung bereits binnen 24 Stunden abgeben (§ 34 Abs. 2 NISG 2026).
Wann ist ein Sicherheitsvorfall erheblich?
Meldepflichtig ist nur ein erheblicher Sicherheitsvorfall. Nach § 2 Nr. 11 BSIG ist das ein Vorfall, der
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Das NISG 2026 definiert den erheblichen Cybersicherheitsvorfall gleich und nennt in § 35 Abs. 2 zusätzlich Kriterien für die Bewertung. Wichtig ist das Wort „kann“: Auch ein Vorfall, der noch keinen Schaden angerichtet hat, kann meldepflichtig sein. Das BSIG erlaubt, den Begriff per Rechtsverordnung genauer zu fassen (§ 56 Abs. 5 BSIG).
Für bestimmte digitale Anbieter ist die Schwelle schon konkret. Die Durchführungsverordnung (EU) 2024/2690 gilt für DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsanbieter, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Nach Art. 3 ist ein Vorfall dort unter anderem erheblich, wenn er
- einen direkten finanziellen Verlust von mehr als 500.000 € oder 5 % des Vorjahresumsatzes verursacht oder verursachen kann, je nachdem, welcher Wert niedriger ist,
- zum Abfluss von Geschäftsgeheimnissen führt oder führen kann,
- den Tod eines Menschen oder erhebliche Gesundheitsschäden verursacht oder verursachen kann oder
- auf einem erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff beruht, der schwerwiegende Betriebsstörungen verursachen kann.
Dazu kommen dienstspezifische Schwellen (Art. 5 bis 14) und eine Regel für wiederkehrende Vorfälle: Mindestens zwei Vorfälle mit derselben offensichtlichen Ursache innerhalb von sechs Monaten gelten als ein erheblicher Vorfall, wenn sie zusammen die Verlustschwelle erreichen (Art. 4).
Wohin wird gemeldet?
Deutschland: an die gemeinsame Meldestelle von BSI und BBK. Der Meldeweg läuft über das Melde- und Informationsportal des BSI, das seit dem 6. Januar 2026 freigeschaltet ist. Das BSI bestätigt den Eingang nach Möglichkeit binnen 24 Stunden und gibt auf Wunsch Hinweise zur Bewältigung (§ 36 Abs. 1 BSIG). Betreiber kritischer Anlagen machen zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung (§ 32 Abs. 3 BSIG). Die Einzelheiten zum Verfahren veröffentlicht das BSI auf seiner Seite zur NIS-2-Meldepflicht.
Österreich: an das zuständige sektorspezifische CSIRT, wenn es keines gibt, an das nationale CSIRT. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter und antwortet binnen 24 Stunden auf die Frühwarnung (§ 34 Abs. 1 und 4 NISG 2026).
Müssen Kunden informiert werden?
In Österreich ja, sobald der Vorfall die Erbringung des Dienstes beeinträchtigt. Die Einrichtung muss die Empfänger ihrer Dienste unverzüglich unterrichten und, soweit möglich, mitteilen, was diese selbst tun können (§ 34 Abs. 3 NISG 2026).
In Deutschland kann das BSI die Unterrichtung der Kunden anordnen, auch über eine Veröffentlichung auf der eigenen Website (§ 35 Abs. 1 BSIG). Einrichtungen unter anderem aus digitaler Infrastruktur, Verwaltung von IKT-Diensten und digitalen Diensten müssen Kunden außerdem über eine erhebliche Cyberbedrohung und mögliche Abhilfemaßnahmen informieren, wenn deren Interessen überwiegen (§ 35 Abs. 2 BSIG). Liegt die Offenlegung im öffentlichen Interesse, kann das BSI verlangen, die Öffentlichkeit zu informieren (§ 36 Abs. 2 BSIG).
NIS2, DSGVO und DORA: Welche Meldung wann?
- DSGVO: Sind personenbezogene Daten betroffen, geht zusätzlich eine Meldung an die Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Ein Ransomware-Angriff löst oft beide Meldungen aus.
- DORA: Finanzunternehmen melden IKT-Vorfälle nach DORA. Die NIS2-Meldepflicht des BSIG gilt für sie nicht (§ 28 Abs. 6 BSIG). Die Erstmeldung ist dort schon 4 Stunden nach der Klassifizierung fällig, spätestens 24 Stunden nach Kenntnis. Mehr dazu unter DORA-Fristen.
- KRITIS: Betreiber kritischer Anlagen melden über dieselbe Meldestelle, mit den zusätzlichen Angaben nach § 32 Abs. 3 BSIG. Die Abgrenzung erklärt NIS2 und KRITIS.
Was droht bei Verstößen gegen die Meldepflicht?
In Deutschland ist eine fehlende, falsche, unvollständige oder verspätete Meldung eine Ordnungswidrigkeit (§ 65 Abs. 2 Nr. 4 und 5 BSIG). Das Bußgeld reicht bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen. Bei mehr als 500 Mio. € Gesamtumsatz sind es bis 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 Abs. 5 bis 7 BSIG).
In Österreich sind Verstöße gegen die Melde- und Berichtspflichten und gegen die Unterrichtung der Kunden Verwaltungsübertretungen (§ 45 Abs. 1 Z 4 und 5 NISG 2026). Die Geldstrafe beträgt bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes für wesentliche und bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
So bereiten Sie die Meldung vor
- Kriterien festlegen: Schreiben Sie vorab auf, ab wann ein Vorfall in Ihrem Haus erheblich ist, zum Beispiel nach Ausfalldauer, Zahl betroffener Kunden oder Schadenshöhe.
- Zuständigkeit klären: Benennen Sie, wer die Erstmeldung freigibt und wer sie abschickt, jeweils mit Vertretung für Nächte und Wochenenden.
- Zugang testen: Richten Sie den Zugang zum Meldeportal vor dem Ernstfall ein und prüfen Sie ihn. Ein vergessenes Passwort kostet Stunden.
- Vorlagen bereithalten: Bereiten Sie Textbausteine für Erstmeldung, Meldung und Abschlussmeldung vor. Die kostenlose Vorlage zum Incident-Response-Plan enthält die Melde- und Eskalationskette mit den NIS2- und DSGVO-Fristen.
- Protokollieren: Halten Sie den Zeitpunkt der Kenntnis und jede Entscheidung mit Uhrzeit fest. Die Abschlussmeldung braucht diese Angaben.
- Datenschutz einbinden: Prüfen Sie bei jedem erheblichen Vorfall parallel, ob auch eine DSGVO-Meldung fällig ist.
Die Meldekette üben
Freitag, 16:40 Uhr: Die IT meldet verschlüsselte Dateiserver. Ab wann läuft die Uhr? Wer entscheidet, ob der Vorfall erheblich ist? Wer hat den Zugang zum Portal, und ist die Person noch im Haus? Solche Fragen klärt man besser in einer Übung als im Ernstfall.
In einer Incident-Response-Übung spielt das Team einen Vorfall bis zur Meldeentscheidung durch. Mit SecDrills bekommt jede Entscheidung einen Zeitstempel. Im Report sehen Sie, wann die erste Lage kam und wann die Entscheidung über die Erstmeldung fiel. Passende Szenarien wie Ransomware oder den Ausfall eines IT-Dienstleisters finden Sie unter Tabletop-Szenarien.
Häufige Fragen
Welche Fristen gelten für die NIS2-Meldepflicht?
Ein erheblicher Sicherheitsvorfall wird in drei Stufen gemeldet: eine frühe Erstmeldung (in Österreich Frühwarnung) spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens 72 Stunden nach Kenntnis und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung. Dauert der Vorfall dann noch an, folgt zunächst eine Fortschrittsmeldung (§ 32 BSIG, § 34 NISG 2026).
Muss jeder Sicherheitsvorfall gemeldet werden?
Nein. Meldepflichtig ist nur ein erheblicher Sicherheitsvorfall. Das ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG, § 35 NISG 2026). Für Cloud-, Rechenzentrums-, DNS- und weitere digitale Anbieter legt die Durchführungsverordnung (EU) 2024/2690 konkrete Schwellen fest.
Ab wann läuft die 24-Stunden-Frist?
Ab Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Für die Praxis heißt das: Halten Sie fest, wann das Team den Vorfall als erheblich erkannt hat, und legen Sie die Kriterien dafür vorab fest. Sonst verbrauchen Diskussionen über die Einstufung die Zeit, die für die Erstmeldung gedacht ist.
Wohin meldet man einen NIS2-Vorfall?
In Deutschland an die gemeinsame Meldestelle von BSI und BBK über das Melde- und Informationsportal des BSI. In Österreich an das zuständige sektorspezifische CSIRT, wenn es keines gibt, an das nationale CSIRT. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter.
Gilt die 24-Stunden-Frist auch am Wochenende?
Das Gesetz rechnet die Fristen in Stunden und nennt keine Ausnahme für Wochenenden oder Feiertage. Wer meldet, muss deshalb auch am Freitagabend und am Sonntag erreichbar sein und den Zugang zum Meldeportal haben.
Ersetzt die NIS2-Meldung die Meldung nach DSGVO?
Nein. Sind personenbezogene Daten betroffen, ist zusätzlich die Datenschutzaufsicht zu informieren, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Die beiden Meldungen gehen an verschiedene Stellen und haben verschiedene Inhalte.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.