Ein Cyberangriff, ein ausgefallenes Kernsystem oder ein kompromittiertes Administratorkonto: In solchen Situationen müssen Unternehmen schnell handeln. Für von NIS-2 erfasste Einrichtungen geht es dabei nicht nur um die technische Wiederherstellung. Die NIS-2 Meldepflicht verlangt, erhebliche Sicherheitsvorfälle strukturiert zu bewerten und innerhalb kurzer Fristen an die zuständige Stelle zu melden.
Das ist anspruchsvoll, weil zu Beginn eines Vorfalls oft noch viele Fragen offen sind. Welche Systeme sind betroffen? Wie weit reicht der Angriff? Ist der Geschäftsbetrieb gefährdet? Unternehmen brauchen deshalb keinen perfekten Lagebericht in den ersten Stunden – aber einen klaren Prozess, der Entscheidungen, Eskalationen und Meldungen zuverlässig ermöglicht.
Warum die NIS-2 Meldepflicht klare Prozesse verlangt
NIS-2 stärkt die Anforderungen an das Risikomanagement und die Reaktionsfähigkeit von Unternehmen in bestimmten regulierten Bereichen. Im Mittelpunkt steht die Frage, wie gut eine Organisation mit erheblichen Sicherheitsvorfällen umgehen kann.
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt erhebliche Sicherheitsvorfälle unter anderem als schwerwiegende Betriebsstörungen von Diensten, Vorfälle mit erheblichen finanziellen Verlusten oder Ereignisse, die Dritte schädigen können. Wichtige und besonders wichtige Einrichtungen nach NIS-2-Definition müssen erhebliche Sicherheitsvorfälle dem BSI melden.
Die entscheidende Konsequenz für die Praxis: ein Sicherheitsvorfall ist nicht erst dann relevant, wenn alle technischen Details abschließend geklärt sind. Wer NIS-2-konform handeln will, muss früh erkennen, bewerten, eindämmen und eskalieren können.
Ob Dein Betrieb unter diese Definition fällt, kannst Du mit der NIS-2-Betroffenheitsprüfung feststellen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html
Auch wenn das Ergebnis dieser Prüfung negativ ausfällt und keine direkte NIS-2-Betroffenheit vorliegt: Dein Unternehmen kann auch als Teil einer Lieferkette oder im Rahmen einer Dienstleistung schnell von NIS-2 betroffen sein. Betrachte hierbei immer das gesamte Tätigkeitsfeld Deines Unternehmens.
Was ist ein erheblicher Sicherheitsvorfall nach NIS-2?
Nicht jede ungewöhnliche Systemmeldung und nicht jeder fehlgeschlagene Login führt zu einer NIS-2-Meldung. Entscheidend ist die mögliche oder tatsächliche Auswirkung des Vorfalls.
Bei der Erstbewertung sollten Unternehmen insbesondere diese Fragen beantworten:
- Ist die Verfügbarkeit wichtiger Systeme oder Dienste erheblich eingeschränkt?
- Sind zentrale Geschäftsprozesse, Produktion, Logistik oder Kundenservices betroffen?
- Drohen erhebliche wirtschaftliche Schäden?
- Besteht die Gefahr, dass Kunden, Lieferanten oder andere Dritte geschädigt werden?
- Gibt es Hinweise auf eine Kompromittierung zentraler Systeme, Zugänge oder Daten?
- Lässt sich der Vorfall mit den vorhandenen Mitteln zeitnah eindämmen?
Dabei kommt es nicht darauf an, sofort jede Ursache zweifelsfrei belegen zu können. Gerade bei komplexen Angriffen liefert die IT-Forensik wichtige Erkenntnisse oft erst nach Stunden oder Tagen. Die erste Bewertung muss deshalb auf dem aktuellen Kenntnisstand erfolgen und bei neuen Informationen fortlaufend aktualisiert werden.
Ob ein Vorfall erheblich und damit meldepflichtig ist, hängt stets vom Einzelfall ab. Maßgeblich sind insbesondere die Auswirkungen auf die erbrachten Dienste, mögliche finanzielle Schäden sowie potenzielle Schäden für andere natürliche oder juristische Personen.
NIS-2 Meldefristen: 24 Stunden, 72 Stunden, 30 Tage
Die NIS-2 Meldepflicht folgt einem abgestuften Verfahren. Für erhebliche Sicherheitsvorfälle nennt das BSI drei zentrale Zeitpunkte, die mit der Kenntniserlangung des Vorfalls beginnnen:
- eine frühe Erstmeldung nach 24 Stunden,
- eine Meldung nach 72 Stunden und
- eine Abschluss- oder Folgemeldung nach 30 Tagen.
Meldungen erfolgen grundsätzlich über das BSI-Portal. Ist ein betroffenes Unternehmen dort noch nicht registriert, stellt das BSI für erhebliche Sicherheitsvorfälle einen alternativen Online-Meldeweg bereit.
Frühwarnung innerhalb von 24 Stunden
Innerhalb von 24 Stunden muss eine frühe Erstmeldung erfolgen. Ihr Ziel ist nicht, einen abschließenden forensischen Bericht vorzulegen. Unternehmen sollen frühzeitig signalisieren, dass ein potenziell erheblicher Sicherheitsvorfall erkannt wurde und bearbeitet wird.
In dieser Phase sind vor allem klare Fakten wichtig:
- Was ist bekannt?
- Seit wann besteht der Verdacht?
- Welche Systeme oder Dienste könnten betroffen sein?
- Welche Sofortmaßnahmen wurden bereits eingeleitet?
- Wer ist für Rückfragen erreichbar?
Der wichtigste Grundsatz lautet: Die 24-Stunden-Frist ist kein Zeitfenster für langwierige interne Abstimmungen. Sie setzt voraus, dass Entscheidungs- und Eskalationswege vorher festgelegt sind.
Meldung innerhalb von 72 Stunden
Nach 72 Stunden muss die Meldung konkretisiert werden. Zu diesem Zeitpunkt sollte das Unternehmen den Vorfall besser einordnen können: Schweregrad, Auswirkungen, mögliche Kompromittierungsindikatoren und getroffene Maßnahmen gehören zu den Informationen, die für die Meldung relevant sind.
Die technische Analyse läuft häufig weiter. Das ist kein Problem, sofern der bisherige Kenntnisstand nachvollziehbar dargestellt wird und das Unternehmen konsequent an der Aufklärung arbeitet. Wichtig ist, Vermutungen als solche zu kennzeichnen und bestätigte Erkenntnisse sauber davon zu trennen.
Abschlussbericht nach 30 Tagen
Innerhalb von 30 Tagen ist eine Abschlussmeldung vorgesehen. Sie dokumentiert, was passiert ist, welche Folgen der Vorfall hatte und welche Maßnahmen zur Behebung sowie zur Vermeidung vergleichbarer Ereignisse umgesetzt wurden. Ist die Untersuchung noch nicht abgeschlossen, kann stattdessen ein Zwischenbericht mit dem aktuellen Stand und einem Zeitplan für weitere Erkenntnisse erforderlich sein.
Der Abschlussbericht ist mehr als eine Formalität. Er sollte in die Verbesserung des Informationssicherheitsmanagements einfließen: Welche Schutzmaßnahme hat nicht funktioniert? Wo gab es Verzögerungen? Welche Rollen oder technischen Kontrollen müssen angepasst werden?
Typische NIS-2-relevante Sicherheitsvorfälle
Die konkreten Auswirkungen hängen immer vom Unternehmen, seinen Diensten und seiner Rolle in der Lieferkette ab. Dennoch gibt es Vorfallmuster, die besonders häufig eine sorgfältige NIS-2-Bewertung erfordern.
Ransomware-Angriff auf zentrale Systeme
Wenn Produktionssysteme, Warenwirtschaft, Buchhaltung oder Kundenportale durch Verschlüsselung ausfallen, steht meist nicht nur die IT unter Druck. Liefertermine, Abrechnungen und die Kommunikation mit Kunden können unmittelbar beeinträchtigt sein. Je nach Umfang und Dauer kann daraus ein erheblicher Sicherheitsvorfall entstehen.
Kompromittiertes Administratorkonto
Ein missbrauchtes Konto mit weitreichenden Berechtigungen kann Angreifern Zugriff auf zahlreiche Systeme verschaffen. Selbst wenn zunächst keine sichtbare Störung vorliegt, muss zügig geprüft werden, welche Zugriffe erfolgt sind, welche Systeme betroffen sein könnten und ob kritische Dienste gefährdet sind.
Ausfall eines geschäftskritischen Dienstes
Ein nicht erreichbares Kundenportal, eine gestörte Plattform oder ein Ausfall von Kommunikations- und Steuerungssystemen kann erhebliche Auswirkungen auf Kunden und Betrieb haben. Entscheidend ist nicht nur die technische Ursache, sondern die betriebliche Bedeutung des Dienstes.
Angriff über einen Dienstleister oder Lieferanten
Viele Unternehmen sind auf Cloud-Anbieter, IT-Dienstleister, Logistikpartner oder branchenspezifische Plattformen angewiesen. Ein Sicherheitsvorfall in der Lieferkette kann den eigenen Betrieb erheblich beeinträchtigen. Deshalb sollten Verträge, Kontaktwege und Informationspflichten mit kritischen Dienstleistern vorab geklärt sein.
NIS-2 und Datenschutz: Viele Grundlagen lassen sich gemeinsam nutzen
Unternehmen, die Datenschutz bereits strukturiert betreiben, bringen für NIS-2 häufig eine sehr gute Ausgangsbasis mit. Datenschutzmanagement und Informationssicherheit haben viele praktische Berührungspunkte: klare Zuständigkeiten, dokumentierte Prozesse, Risikoanalysen, technische und organisatorische Maßnahmen, geregelte Dienstleisterbeziehungen sowie Verfahren für die Erkennung, Bewertung und Dokumentation von Sicherheitsvorfällen. Diese vorhandenen Strukturen lassen sich sinnvoll für das NIS-2-Vorfallmanagement weiterentwickeln.
Gleichwohl sind beide Regelwerke nicht gleichzusetzen: Die DSGVO richtet sich auf Verletzungen des Schutzes personenbezogener Daten und mögliche Risiken für betroffene Personen, während NIS-2 erhebliche Auswirkungen auf Dienste, Betrieb, wirtschaftliche Interessen oder Dritte in den Blick nimmt. Ein Vorfall – etwa ein Ransomware-Angriff mit Zugriff auf personenbezogene Daten – kann daher beide Meldepflichten auslösen. Unternehmen sollten Datenschutzbeauftragte und Informationssicherheit deshalb frühzeitig in einen gemeinsamen Melde- und Eskalationsprozess einbinden.
Vom Alarm zur Meldung: So funktioniert ein wirksamer Incident-Response-Prozess
Ein belastbarer Incident-Response-Prozess verbindet technische Reaktion und Managemententscheidung. Er sollte nicht erst während eines Angriffs entwickelt werden.
Der Ablauf beginnt mit einer eindeutigen internen Meldemöglichkeit. Mitarbeitende, IT-Dienstleister und Führungskräfte müssen wissen, an wen sie verdächtige Ereignisse unverzüglich weitergeben. Dazu zählen beispielsweise auffällige Anmeldungen, unerklärliche Systemausfälle, verdächtige E-Mails, ungewöhnliche Datenbewegungen oder Hinweise von Kunden.
Danach folgt eine zentrale Erstbewertung. Ein Incident-Team sollte klären, welche Systeme betroffen sind, wie kritisch diese für den Betrieb sind, welche Sofortmaßnahmen erforderlich werden und ob eine NIS-2-Meldepflicht in Betracht kommt. Parallel müssen Beweise gesichert, Systeme isoliert und der Geschäftsbetrieb – soweit möglich – stabilisiert werden.
Für die Steuerung braucht es einen klar benannten Incident Owner. Diese Person koordiniert Informationen, Fristen und Entscheidungen. Die Geschäftsleitung sollte in Eskalationsfällen frühzeitig eingebunden werden, insbesondere wenn kritische Dienste, hohe wirtschaftliche Schäden oder weitreichende Betriebsunterbrechungen drohen.
Sieben Maßnahmen für ein belastbares NIS-2-Vorfallmanagement
- Betroffenheit und kritische Dienste klären
Prüfe zunächst, ob Dein Unternehmen von NIS-2 erfasst ist. Identifiziere anschließend die Dienste, Systeme und Prozesse, deren Ausfall den Betrieb, Kunden oder Dritte besonders stark treffen würde.
- Vorfallkategorien definieren
Lege fest, welche Ereignisse als Sicherheitsvorfall, kritischer Vorfall oder potenziell erheblicher Sicherheitsvorfall behandelt werden. Das erleichtert die Erstbewertung und verhindert, dass Meldungen aufgrund unklarer Begriffe verzögert werden.
- Rollen und Vertretungen verbindlich festlegen
Definiere, wer Vorfälle technisch bewertet, wer Entscheidungen vorbereitet, wer die Geschäftsleitung informiert und wer externe Meldungen verantwortet. Stelle sicher, dass es für jede Schlüsselrolle eine erreichbare Vertretung gibt.
- Einen 24/7-fähigen Eskalationsweg schaffen
Sicherheitsvorfälle richten sich nicht nach Bürozeiten. Klare Bereitschaften, Notfallkontakte und Eskalationsstufen sorgen dafür, dass die 24-Stunden-Frist auch an Wochenenden, Feiertagen oder in Urlaubszeiten eingehalten werden kann.
- Checklisten und Meldevorlagen vorbereiten
Erstelle Vorlagen für Erstbewertung, Lagebericht und externe Kommunikation. Sie sollten Informationen zu Zeitpunkt, betroffenen Systemen, Auswirkungen, Sofortmaßnahmen, Kontaktpersonen und nächsten Schritten strukturiert erfassen.
- Incident Response regelmäßig üben
Ein Notfallprozess ist nur dann belastbar, wenn er getestet wurde. Übe realistische Szenarien wie Ransomware, kompromittierte Konten oder einen Ausfall kritischer Dienste. Dabei zeigt sich schnell, ob Kontakte stimmen, Entscheidungen funktionieren und Informationen rechtzeitig zusammengeführt werden.
- Nach jedem Vorfall nachsteuern
Nach einem Sicherheitsvorfall – ebenso nach einer Übung – sollte eine strukturierte Nachbesprechung stattfinden. Dokumentiere Schwachstellen, beschließe Verbesserungen und kontrolliere, ob die Maßnahmen tatsächlich umgesetzt werden.
NIS-2 Meldepflicht: Sicherheitsvorfälle richtig melden Fazit: Meldefähigkeit entsteht vor dem Sicherheitsvorfall
Die NIS-2 Meldepflicht lässt sich nicht durch eine einzelne Vorlage oder ein technisches Tool erfüllen. Sie verlangt ein Zusammenspiel aus klaren Zuständigkeiten, belastbaren Entscheidungswegen, vorbereiteten Meldungen und einer handlungsfähigen Incident-Response-Organisation.
Unternehmen sollten deshalb nicht erst auf den nächsten kritischen Vorfall warten. Wer Betroffenheit, Risiken, Rollen und Meldeprozesse frühzeitig klärt, kann auch unter Zeitdruck strukturiert handeln – und die Meldefristen sicher einhalten.
