§ 32 BSIG: die Meldepflicht für erhebliche Sicherheitsvorfälle
§ 32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle zu melden: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung einen Monat nach der Meldung. Die Fristen laufen ab dem Moment, in dem Sie von dem Vorfall erfahren. Gemeldet wird im BSI-Portal.
Die drei Meldungen
Gemeldet wird an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK).
Frühe Erstmeldung
Ob der Verdacht besteht, dass der Vorfall auf eine rechtswidrige oder böswillige Handlung zurückgeht, und ob er Auswirkungen in anderen Ländern haben könnte.
§ 32 Abs. 1 Nr. 1
Meldung
Bestätigt oder aktualisiert die Erstmeldung. Dazu eine erste Bewertung von Schwere und Auswirkungen und, wo vorhanden, Hinweise auf die Angreifer (Kompromittierungsindikatoren).
§ 32 Abs. 1 Nr. 2
Abschlussmeldung
Einen Monat nach der Meldung: was passiert ist, wie schwer, die wahrscheinliche Ursache, was Sie getan haben und tun, und ob andere Länder betroffen sind.
§ 32 Abs. 1 Nr. 4
Verlangt das BSI es, schicken Sie dazwischen eine Zwischenmeldung (Nr. 3). Dauert der Vorfall nach einem Monat noch an, schicken Sie statt der Abschlussmeldung eine Fortschrittsmeldung und die Abschlussmeldung, sobald er bewältigt ist (Abs. 2).
Die Meldepflicht Schritt für SchrittWann ein Vorfall erheblich ist
Erheblich ist ein Sicherheitsvorfall, der schwere Störungen Ihres Betriebs oder finanzielle Verluste für Ihr Unternehmen verursacht hat oder verursachen kann. Oder einer, der anderen erhebliche materielle oder immaterielle Schäden zugefügt hat oder zufügen kann.
Für bestimmte digitale Anbieter, etwa Cloud, Rechenzentren und Managed Services, legt die Durchführungsverordnung (EU) 2024/2690 genauere Schwellen fest. Für alle anderen gibt es keine festen Zahlen. Sie entscheiden anhand dieser beiden Kriterien und halten fest, warum.
§ 2 Nr. 11 BSIG · Art. 23 Abs. 3 NIS 2
Ab wann die Uhr läuft, und wo Sie melden
Die Fristen laufen ab Kenntnis, nicht erst, wenn alles geklärt ist. Das BSI versteht unter Kenntnis den Moment, in dem jemand im Unternehmen innerhalb der Arbeitszeit von dem Vorfall erfährt.
Gemeldet wird im BSI-Portal, mit demselben Zugang wie bei der Registrierung. Wer noch nicht registriert ist, meldet über ein Onlineformular im Melde- und Informationsportal des BSI (MIP).
Sind personenbezogene Daten betroffen, melden Sie das in der Regel zusätzlich der Datenschutzaufsicht: unverzüglich und möglichst binnen 72 Stunden, außer wenn voraussichtlich kein Risiko für die Betroffenen entsteht (Art. 33 DSGVO). Die eine Meldung ersetzt die andere nicht.
§ 32 Abs. 1 BSIG · Art. 33 DSGVO
Was der Paragraf sonst regelt
Absatz 3: Betreiber kritischer Anlagen geben zusätzlich an, welche Anlage betroffen ist und was der Vorfall für ihre kritische Dienstleistung bedeutet.
Absatz 4: Das BSI legt die Einzelheiten des Verfahrens und der Inhalte fest und veröffentlicht sie auf seiner Website.
Absatz 5: Das BSI gibt die Meldungen an die zuständigen Aufsichtsbehörden des Bundes weiter.
Absatz 6: Das BSI kann Ihnen Unterstützung bei der Bewältigung anbieten.
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Legen Sie vorher fest, wer entscheidet, ob ein Vorfall erheblich ist, und wer meldet. Im Ernstfall bleibt dafür wenig Zeit.
Prüfen Sie, ob diese Person sich heute im BSI-Portal anmelden kann, und wer sie vertritt. Liegt der Zugang bei einer einzigen Person, wird die Frist von 24 Stunden schnell knapp.
Ein Beispiel
Eine erfundene Firma: ein Großhändler für Lebensmittel mit 95 Beschäftigten. Freitag, 16 Uhr: Das Programm für das Lager fällt aus, die Lkw können nicht beladen werden.
16.30 Uhr: Die IT stellt fest, dass die Server verschlüsselt sind. Ab jetzt läuft die Frist.
17 Uhr: Laut Notfallplan entscheidet der Geschäftsführer. Er stuft den Vorfall als erheblich ein, weil der Betrieb schwer gestört ist.
20 Uhr: die frühe Erstmeldung im BSI-Portal. Sie sagt, dass ein Angriff vermutet wird und dass Kunden in Österreich betroffen sein könnten. Die Frist wäre bis Samstag, 16.30 Uhr gelaufen.
Spätestens Montag, 16.30 Uhr: die Meldung mit einer ersten Bewertung von Schwere und Auswirkungen.
Einen Monat nach dieser Meldung: die Abschlussmeldung, oder eine Fortschrittsmeldung, wenn der Vorfall noch andauert. Daneben prüft die Firma, ob personenbezogene Daten betroffen sind.
So geht das im Durchgang
Zwei Schritte im Durchgang auf nisd2.eu bereiten Sie auf die Meldung vor.
„Planen, was bei einem Vorfall passiert“: Aus Ihren Antworten entsteht Ihr Notfallplan für Vorfälle. Er sagt, wer entscheidet und wie Sie melden.
„Wissen, wie Sie einen Vorfall melden“: Der Schritt zeigt die drei Fristen und ein Beispiel für eine frühe Erstmeldung.
Sie halten fest, ob Sie sich im Portal des BSI anmelden und melden können.
Am Ende gibt die Geschäftsleitung den Notfallplan in der App frei.
Häufige Fragen
Ab wann läuft die Frist von 24 Stunden?
Ab dem Moment, in dem Ihr Unternehmen von dem erheblichen Vorfall erfährt, nicht ab seinem Beginn. Das BSI versteht darunter den Moment, in dem jemand im Unternehmen innerhalb der Arbeitszeit davon erfährt.
Was muss in die frühe Erstmeldung?
Das Gesetz verlangt zwei Angaben: ob ein Angriff oder eine andere rechtswidrige Handlung dahinterstecken könnte und ob der Vorfall andere Länder betreffen könnte (§ 32 Abs. 1 Nr. 1 BSIG). Was Sie noch nicht wissen, ergänzen Sie mit der Meldung nach 72 Stunden.
Gibt es feste Schwellen für einen erheblichen Vorfall?
Nur für die digitalen Anbieter, die die Durchführungsverordnung (EU) 2024/2690 nennt. Für alle anderen gelten die Kriterien aus § 2 Nr. 11 BSIG: schwere Betriebsstörung, finanzieller Verlust oder erheblicher Schaden für andere.
Muss ich zusätzlich nach DSGVO melden?
Wenn personenbezogene Daten betroffen sind, in der Regel ja: an die Datenschutzaufsicht, möglichst binnen 72 Stunden (Art. 33 DSGVO). Die Meldung an das BSI ersetzt das nicht.
Wo melde ich?
Im BSI-Portal, mit dem Zugang aus der Registrierung. Wer noch nicht registriert ist, nutzt das Onlineformular im Melde- und Informationsportal des BSI.
Quellen
- BSI-Gesetz (BSIG) § 2 Nr. 11 und § 32, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 23, EUR-Lex
- Durchführungsverordnung (EU) 2024/2690, EUR-Lex
- BSI: Infopaket NIS-2-Meldepflicht und Anleitung zur Meldung im BSI-Portal, bsi.bund.de
- Verordnung (EU) 2016/679 (DSGVO), Art. 33
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
