Meldepflicht bei Sicherheitsvorfällen nach NIS-2 einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/meldepflicht

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Bei erheblichen Sicherheitsvorfällen gelten unter NIS-2 kurze Meldefristen an die zuständige Behörde. Das setzt erkannte Vorfälle, klare Zuständigkeiten und eine dokumentierte Eskalation voraus. Wer den Innenprozess erst im Ernstfall erfindet, hält die Frist selten.

Die Meldepflicht ist der äußere Teil. Sie greift, wenn der Vorfall die gesetzliche Schwelle überschreitet. Dann zählt Geschwindigkeit und Inhalt: was bekannt ist, was noch unbekannt ist, wer spricht. Die Uhr läuft ab Kenntnis, nicht ab dem Moment, in dem jemand zufällig das Portal findet.

Ohne Innenprozess bleibt die Frist Theorie. Jemand muss den Fall erkennen, als erheblich einstufen, Fakten sammeln und die Meldung auslösen. Catenis hält Vorfall, Status und Kontakte. Die Übermittlung bleibt im BSI-Portal. Die Plattform sendet keine Behördenschreiben.

„Kurz“ ist im Gesetz konkret bemessen. Dieses Lexikon wiederholt keine Stundenzahlen, weil die verbindliche Fassung im BSIG und in der Aufsichtspraxis steht und sich im Detail ändern kann. Arbeitsregel: der Ablauf muss sitzen, bevor jemand zählt.

Inhalt der Meldung und innere Nachbereitung sind verschiedene Texte. Nach außen: was bekannt, was unbekannt, grobe Wirkung. Nach innen: Ursache, Maßnahme, was am Prozess geändert wird. Wer beides in eine Chatnachricht packt, verliert später beides.

Geltungsbereich

Adressat ist die erfasste Einrichtung. Die zuständige Stelle in Deutschland ist der gesetzliche Meldeweg über das BSI. Parallele Pflichten (Datenschutzaufsicht, Kundenverträge, DORA im Finanzkreis) können daneben laufen. Eine Meldung ersetzt die andere nicht automatisch.

Erheblichkeit ist die Schwelle. Betrieb schwer gestört oder Dritte geschädigt – die Feinheiten stehen im Gesetz. Catenis nimmt die internen Merkmale auf. Es entscheidet nicht, ob gemeldet werden muss, und ersetzt keine anwaltliche Einschätzung um drei Uhr nachts.

Lieferanten und MSP gehören in die Betrachtung. Ein Vorfall beim Dienstleister kann die eigene Pflicht auslösen, sobald die eigenen Dienste oder Dritte betroffen sind. Wer den Partner nicht erreichen kann, verliert Zeit in der kurzen Frist.

Grenzüberschreitende Wirkung und mutmaßlich böswilliges Handeln ändern oft, was die erste Meldung enthalten muss. Die Feinheiten stehen im Gesetz. Catenis nimmt die internen Felder auf. Es füllt das Portal nicht aus und entscheidet die Erheblichkeit nicht.

Was zu tun ist

Eskalation schriftlich: wer darf die Schwelle feststellen, wer gibt die Meldung frei, wer sitzt am Portal. Vertreterregel, nicht eine einzige Handynummer. In Catenis die Kontakte am Vorfall führen.

Erkennung und Dokumentation so bauen, dass Fakten schon intern liegen: Systeme, Zeitpunkt der Kenntnis, grobe Wirkung. Dann ist die Portaleingabe Abschrift, nicht Recherche.

Den Innenprozess üben. Ein Testfall mit Statuswechsel zeigt, wo Nummern fehlen. Die Maßnahme Vorfallbearbeitung und die Meldepflicht gehören zusammen; wer nur das Portal-Bookmark speichert, hat die halbe Pflicht.

Nach der Meldung den Fall intern weiterführen: Nachbereitung, Maßnahmen, Review. Die äußere Frist endet nicht die Akte. Catenis bleibt die innere Spur; das Portal bleibt die äußere.

Zugang zum Portal und zu den Konten vorhalten: welche Person, welcher Vertreter, welches Unternehmenskonto. Wenn nur der abwesende IT-Leiter das Passwort kennt, ist die kurze Frist schon verloren. Die Registrierung beim BSI und die Meldepflicht hängen hier zusammen.

Parallele Pflichten in derselben Nacht nicht improvisieren: Datenschutz, Kunden, ggf. Finanzaufsicht. Eine interne Reihenfolge auf eine Seite, bevor etwas passiert. Catenis hält den NIS-2-Fall. Die anderen Wege bleiben eigene Formulare. Dieselbe Faktenbasis speist sie, wenn der Status gepflegt ist.

Nach Abschluss den Fall nicht löschen. Die innere Akte bleibt die Spur für Review und nächste Übung. Wer aufräumt, indem er den Datensatz entfernt, hat die Meldepflicht „erledigt“ und die Lernpflicht verfehlt.

Typischer Fehler

Der häufigste Fehler: warten, bis „alles klar ist“, und damit die kurze Frist verbrennen. Die erste Meldung darf Unsicherheit enthalten; sie darf nicht ausbleiben, weil noch niemand eine Wurzelursache hat.

Der zweite: intern drei Chats und kein Vorfallstatus. Dann kann niemand sagen, wann Kenntnis eintrat. Der dritte: Kunden informieren und die Behörde vergessen – oder umgekehrt. Beides kann vertraglich und gesetzlich parallel geschuldet sein.

Der vierte: die Meldepflicht zur IT-Sache zu erklären, ohne die Leitung. Manche Schritte brauchen eine Freigabe, wer nach außen spricht. Ohne das wartet das Portal auf einen Menschen, der nicht in der Eskalation steht. Wer die Uhr erst startet, wenn „alles klar ist“, hat die kurze Frist schon verbraucht.

Grenze

Das Lexikon setzt keine Meldefrist in Stunden und sagt nicht, ob ein Fall zu melden ist. Verbindlich sind Gesetz und Beratung.

Catenis dokumentiert Vorfallstatus und Vorbereitung. Behördenmeldung und BSI-Portal bleiben extern. Die Einordnung der Einrichtung entscheidet die Plattform nicht. Kurze Meldefristen stehen im Gesetz, nicht als Stundenzahl in diesem Text. Die Uhr läuft ab Kenntnis; ohne inneren Status ist dieser Zeitpunkt später nicht zu halten. Zuständigkeit und Eskalation müssen vor dem Ernstfall stehen. Wer den Innenprozess erst erfindet, hält die kurze Frist selten. Klarheit vor dem Portal, nicht danach. Der Status in Catenis ist die innere Spur.