Kurz gesagt: Wer unter NIS2 fällt, muss einen erheblichen Sicherheitsvorfall in drei Stufen an das BSI melden: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Die Fristen laufen ab Kenntnis des Vorfalls und sind Höchstfristen, gemeldet wird unverzüglich. Rechtsgrundlage ist § 32 BSI-Gesetz.
Stand: 03.11.2026
Welche Meldefristen gelten nach NIS2?
Die Meldepflicht steht in § 32 Absatz 1 BSIG. Sie betrifft besonders wichtige und wichtige Einrichtungen. Gemeldet wird an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
| Meldung | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | spätestens 24 Stunden nach Kenntnis | Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob grenzüberschreitende Auswirkungen möglich sind |
| Meldung zum Sicherheitsvorfall | spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des BSI | relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung | ausführliche Beschreibung, wahrscheinliche Ursache oder Bedrohung, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
Dauert der Vorfall nach einem Monat noch an, gibst du statt der Abschlussmeldung eine Fortschrittsmeldung ab. Die Abschlussmeldung folgt dann, wenn der Vorfall abschließend bearbeitet ist. Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen auf diese Dienstleistung machen.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wann beginnt die 24-Stunden-Frist?
Die Frist beginnt mit der Kenntnis des Vorfalls. Das BSI erläutert, dass Kenntnis vorliegt, wenn ein Mitarbeitender der Einrichtung innerhalb der Arbeitszeit davon erfährt. Wichtig ist auch: Die genannten Fristen sind Höchstfristen. Gemeldet werden muss unverzüglich nach Kenntniserlangung.
Das BSI empfiehlt deshalb, Weiterleitungsprozesse einzurichten, damit auch außerhalb der Geschäftszeiten geeignete Ansprechpersonen alarmiert werden. Wer erst am Montagmorgen erfährt, dass der Server seit Freitagabend verschlüsselt ist, hat wenig Zeit für die Erstmeldung.
Was ist ein erheblicher Sicherheitsvorfall?
Melden musst du erhebliche Sicherheitsvorfälle. Nach § 2 Nummer 11 BSIG ist das ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere Personen erheblich materiell oder immateriell beeinträchtigt hat oder beeinträchtigen kann.
Für bestimmte Einrichtungsarten, etwa Anbieter von Cloud- und Rechenzentrumsdiensten, DNS-Anbieter, Online-Marktplätze und Vertrauensdiensteanbieter, gilt laut BSI die Definition aus der Durchführungsverordnung (EU) 2024/2690. Für andere Sektoren wird ein erheblicher Vorfall angenommen, wenn mindestens ein Kriterium aus Artikel 3 Absatz 1 dieser Verordnung erfüllt ist. Ein Ausfall oder eine Beeinträchtigung kritischer Dienstleistungen ist immer erheblich.
Was gehört in die einzelnen Meldungen?
Das BSI nennt für die frühe Erstmeldung unter anderem: die Einstufung als erheblicher Vorfall, Sicherheitsvorfall oder Beinahevorfall, den Meldegrund, eine vorläufige Beschreibung von Störung, Auswirkung, Dauer und Ursache, Zeitangaben, den Verdacht auf eine böswillige Handlung, mögliche grenzüberschreitende Auswirkungen, getroffene Maßnahmen, ob der Vorfall unter Kontrolle ist, und Kontaktdaten.
Die Folgemeldung nach 72 Stunden aktualisiert die Erstmeldung und enthält die detaillierte Ursache, Angaben zur Zusammenarbeit mit Strafverfolgung und Behörden, getroffene und geplante Maßnahmen, Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren. Die Abschlussmeldung beschreibt den Vorfall ausführlich mit Bedrohung oder Ursache und Abhilfemaßnahmen.
Der Grundsatz des BSI lautet: Schnelligkeit geht vor Vollständigkeit. Ergänzungen und Korrekturen reichst du per Folgemeldung nach. Eine abgegebene Meldung kann allerdings nicht storniert oder zurückgezogen werden.
Wo und wie wird gemeldet?
- BSI-Portal: Die Meldung läuft über das BSI-Portal, für das sich die Einrichtung vorher registrieren muss. Grundsätzlich kann jeder Mitarbeitende melden, sofern ein Zugang eingerichtet ist.
- Übergang: Einrichtungen, die ab dem 06.12.2025 betroffen sind und vor ihrer Registrierung im BSI-Portal einen erheblichen Vorfall erleiden, nutzen laut BSI das Online-Formular im Melde- und Informationsportal (MIP).
- Dienstleister: Du kannst einen Dienstleister ermächtigen, stellvertretend zu melden. Die Verantwortung für Vorfall und Inhalt bleibt aber bei deiner Einrichtung.
- Bestätigung: Das BSI bestätigt den Eingang in der Regel sofort, spätestens nach 24 Stunden. Bleibt die Bestätigung aus, kannst du nachfragen.
Eine Dokumentationspflicht über die Meldung hinaus besteht laut BSI nicht, eine Dokumentation wird aber empfohlen. Das BSI kann außerdem anordnen, dass besonders wichtige und wichtige Einrichtungen die Nutzenden ihrer Dienste unverzüglich über erhebliche Vorfälle informieren.
Wie bereitest du dich auf die Meldung vor?
- Registriere deine Einrichtung im BSI-Portal, bevor etwas passiert.
- Lege fest, wer meldet und wer vertritt, und richte für diese Personen Zugänge ein.
- Bereite eine Vorlage mit den Angaben der frühen Erstmeldung vor: Kontaktdaten, betroffene Dienste, Ansprechpersonen.
- Kläre, wie ein Vorfall außerhalb der Arbeitszeit an die richtigen Personen gelangt.
- Prüfe, ob dein IT-Dienstleister stellvertretend melden soll, und halte die Ermächtigung schriftlich fest.
So unterstützen wir dich
Wir helfen Unternehmen in Osnabrück und Umgebung, die Anforderungen aus NIS2 technisch umzusetzen, von der Erkennung eines Vorfalls über die Alarmierungswege bis zur Vorbereitung der Meldung. Im Ernstfall unterstützen wir bei der Analyse und liefern die technischen Angaben für die Meldungen. Mehr dazu auf unserer Seite zu NIS2 für Unternehmen.
Häufige Fragen
Zählt die 24-Stunden-Frist auch am Wochenende?
Die Frist läuft ab Kenntnis. Das BSI stellt dabei auf Kenntnis eines Mitarbeitenden innerhalb der Arbeitszeit ab und empfiehlt Alarmierungswege auch außerhalb der Geschäftszeiten.
Was passiert, wenn ich in der Erstmeldung etwas falsch angebe?
Korrekturen und Ergänzungen reichst du per Folgemeldung nach. Zurückziehen lässt sich eine Meldung nicht.
Darf mein IT-Dienstleister für mich melden?
Ja, du kannst ihn dazu ermächtigen. Die Verantwortung für den Vorfall und den Inhalt der Meldung bleibt bei deiner Einrichtung.
Muss ich auch Beinahevorfälle melden?
Pflicht ist die Meldung erheblicher Sicherheitsvorfälle. Das Meldeformular sieht die Einstufung als Beinahevorfall vor, nicht regulierte Unternehmen können Vorfälle zudem anonym melden.
Quellen
- NIS-2-Meldepflicht (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- § 32 BSIG: Meldepflichten (Bundesministerium der Justiz, gesetze-im-internet.de, abgerufen am 03.11.2026)
