NIS2-Meldung in 24 Stunden: wer meldet, an wen, mit welchem Inhalt
NIS2 · 2. August 2026 · 6 Min. Lesezeit · RegelWerk RedaktionZur NIS2-Meldepflicht kursieren mehrere Varianten: mal zwei Stufen, mal drei, mal andere Adressaten. Das deutsche Recht ist an dieser Stelle eindeutig. § 32 BSIG nennt vier Meldungen mit eigenen Inhalten und eigenen Fristen, gerechnet ab Kenntniserlangung. Dieser Beitrag geht sie einzeln durch, klärt, was ein erheblicher Sicherheitsvorfall überhaupt ist, und zeigt, was vor dem Ernstfall vorbereitet sein muss.
Wer meldet — und was ein erheblicher Sicherheitsvorfall ist
Die Meldepflicht trifft besonders wichtige Einrichtungen und wichtige Einrichtungen. Ob Ihr Unternehmen dazugehört, entscheidet sich über Sektor und Größe; der Prüfweg dafür steht in Sind wir von NIS2 betroffen?.
Gemeldet wird nicht jeder Vorfall, sondern der erhebliche Sicherheitsvorfall. § 2 Nr. 11 BSIG definiert ihn: Es ist ein Sicherheitsvorfall, der
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Zwei Worte tragen die ganze Definition: verursachen kann. Es kommt nicht darauf an, dass der Schaden bereits eingetreten ist. Wer bis zur bestätigten Auswirkung wartet, wartet zu lange — die 24 Stunden laufen ab Kenntniserlangung vom Vorfall, nicht ab dem Abschluss der Analyse.
Gemeldet wird an eine vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle (§ 32 Abs. 1 BSIG).
Die Verpflichtung gilt frühestens ab Einrichtung des Meldewegs. Hinterlegen Sie den konkreten Zugang trotzdem heute in Ihrem Notfallplan — im Vorfall ist keine Zeit, ihn zu suchen.
Die vier Stufen des § 32 BSIG
Jede Stufe hat einen eigenen Inhalt. Wer die erste Meldung mit dem Inhalt der zweiten füllen will, verpasst die erste:
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntniserlangung | Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntniserlangung | Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung einschließlich Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des Bundesamtes | relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung | ausführliche Beschreibung, Art der Bedrohung und zugrunde liegende Ursache, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen |
Ein Detail, das im Ernstfall entlastet: Dauert der Vorfall zum Zeitpunkt der fälligen Abschlussmeldung noch an, legen Sie stattdessen eine Fortschrittsmeldung vor. Die Abschlussmeldung folgt dann nach der abschließenden Bearbeitung (§ 32 Abs. 2 BSIG). Ein andauernder Vorfall ist also kein Grund, die Frist zu reißen.
Betreiber kritischer Anlagen melden zusätzlich Angaben zur Art der betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen des Vorfalls auf diese Dienstleistung (§ 32 Abs. 3 BSIG).
Was die 24 Stunden wirklich verlangen
Die häufigste Fehlvorstellung ist, die Erstmeldung müsse den Vorfall erklären. Das verlangt sie ausdrücklich nicht. Sie verlangt eine Einschätzung zu zwei Fragen: Verdacht auf rechtswidrige oder böswillige Handlung — und mögliche grenzüberschreitende Auswirkungen.
Beides lässt sich in der Regel binnen Stunden beantworten, oft mit einem klaren Ja, oft mit einem ehrlichen Noch unklar. Genau dafür ist die Stufe gedacht: Sie ist ein Alarm, keine Analyse.
- Kenntniserlangung festhalten Datum und Uhrzeit mit Minute dokumentieren. Ab diesem Zeitpunkt laufen beide Fristen — ohne diesen Stempel lässt sich Rechtzeitigkeit später nicht belegen.
- Erheblichkeit prüfen Genügt bereits die Möglichkeit schwerwiegender Betriebsstörungen oder erheblicher Schäden bei Dritten? Dann ist der Vorfall erheblich.
- Frühe Erstmeldung absetzen Zwei Aussagen: Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen. Mehr wird nicht verlangt.
- Die 72-Stunden-Meldung vorbereiten Parallel zur technischen Bearbeitung Schweregrad, Auswirkungen und Kompromittierungsindikatoren zusammentragen.
Der erste Schritt ist der, der in Übungen am häufigsten fehlt. Ohne dokumentierten Zeitpunkt der Kenntniserlangung ist im Nachhinein nicht feststellbar, ob 24 Stunden eingehalten wurden — und die Beweislage liegt bei Ihnen, nicht bei der Behörde.
Vor dem Vorfall: Registrierung und Meldeweg
Die Meldepflicht setzt voraus, dass Sie überhaupt erfasst sind. § 33 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister, sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über eine gemeinsam vom BSI und vom BBK eingerichtete Registrierungsmöglichkeit zu melden.
Übermittelt werden unter anderem Name und Rechtsform der Einrichtung, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern, der relevante Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten, in denen Dienste erbracht werden, und die zuständigen Aufsichtsbehörden.
Die IP-Adressbereiche und die Kontaktdaten sind der Teil, der veraltet, ohne dass es jemandem auffällt. Nehmen Sie ihre Pflege in denselben Turnus wie die übrigen Nachweise auf; welche Pflichten daneben stehen, ordnet NIS2: die Roadmap der Pflichten.
RegelWerk führt die Einstufung nach Sektor und Schwelle und hängt die Meldepflichten als eigene Punkte daran — mit den Fristen 24 Stunden, 72 Stunden und einem Monat statt einer allgemeinen Erinnerung an Meldepflichten. Für die Vorbereitung zählt vor allem, dass der Meldeweg, die Zuständigkeit und die Erreichbarkeit außerhalb der Geschäftszeiten hinterlegt sind, bevor sie gebraucht werden.
Was RegelWerk nicht leistet: Es beurteilt nicht, ob ein konkreter Vorfall erheblich im Sinne des § 2 Nr. 11 BSIG ist, und es ersetzt weder die Meldung selbst noch eine Rechtsberatung. Die Einschätzung im Einzelfall bleibt bei Ihnen.
Häufige Fragen
Wie schnell muss ein Sicherheitsvorfall nach NIS2 gemeldet werden?
Unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, ist eine frühe Erstmeldung abzugeben. Innerhalb von 72 Stunden folgt die Meldung mit einer ersten Bewertung, spätestens einen Monat nach dieser Meldung die Abschlussmeldung (§ 32 Abs. 1 BSIG).
An wen wird gemeldet?
An eine gemeinsame Meldestelle, die vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtet wird (§ 32 Abs. 1 BSIG). Die Verpflichtung gilt frühestens ab Einrichtung des Meldewegs.
Was ist ein erheblicher Sicherheitsvorfall?
Ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG). Die bloße Möglichkeit genügt.
Was passiert, wenn der Vorfall nach einem Monat noch andauert?
Dann legen Sie statt der Abschlussmeldung eine Fortschrittsmeldung vor. Die Abschlussmeldung reichen Sie nach der abschließenden Bearbeitung des Vorfalls nach (§ 32 Abs. 2 BSIG). Ein andauernder Vorfall rechtfertigt also keine versäumte Meldung.
Bis wann muss sich ein Unternehmen registrieren?
Spätestens drei Monate, nachdem es erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG). Zu übermitteln sind unter anderem Name und Rechtsform, Anschrift und Kontaktdaten einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche, der relevante Sektor und die zuständigen Aufsichtsbehörden.
Das Wichtigste in Kürze
§ 32 BSIG kennt vier Meldungen: die frühe Erstmeldung binnen 24 Stunden, die Meldung mit erster Bewertung binnen 72 Stunden, die Zwischenmeldung auf Ersuchen und die Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.
Die 24-Stunden-Meldung verlangt keine Analyse, sondern zwei Aussagen: Verdacht auf rechtswidrige oder böswillige Handlung und mögliche grenzüberschreitende Auswirkungen. Die Frist läuft ab Kenntniserlangung — dokumentieren Sie diesen Zeitpunkt mit Uhrzeit.
Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK. Die Registrierung nach § 33 Abs. 1 BSIG ist spätestens drei Monate nach Eintritt der Einrichtungseigenschaft fällig und muss aktuell gehalten werden.
Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall — wenden Sie sich dafür an fachkundige Beratung.