Meldefristen nach § 32 BSIG berechnen
Ein erheblicher Sicherheitsvorfall ist bemerkt – und ab der Kenntniserlangung laufen zwei fristgebundene Meldungen: die frühe Erstmeldung binnen 24 Stunden und die Meldung mit einer ersten Bewertung binnen 72 Stunden (§ 32 Abs. 1 Satz 1 Nr. 1 und 2 BSIG). Der Rechner zeigt beide Endpunkte auf die Minute.
Ihre beiden Fristen erscheinen hier.
So geht es
- Zeitpunkt der Kenntnis eintragenWann wurde der erhebliche Sicherheitsvorfall bemerkt? § 32 Abs. 1 Satz 1 BSIG rechnet ab der Kenntniserlangung – nicht ab dem Eintritt des Vorfalls und nicht ab der nächsten Besprechung.
- Beide Fristen ablesenDer Rechner nennt das Ende der frühen Erstmeldung (24 Stunden) und das der Meldung mit erster Bewertung (72 Stunden), jeweils mit Datum und Uhrzeit. Beides sind Höchstfristen: Das Gesetz verlangt beide Meldungen „unverzüglich, spätestens jedoch innerhalb von“ dieser Zeit.
- Meldung absetzen und festhaltenGemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe; die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 Satz 1 und 2 BSIG). Der Melde-Workflow in der App hält fest, was wann abgesetzt wurde – auch eine verspätete Meldung gehört dokumentiert.
Wen die Frist trifft und was sie auslöst
Die Meldepflicht des § 32 Abs. 1 Satz 1 BSIG trifft besonders wichtige und wichtige Einrichtungen im Sinne des § 28 BSIG. Wer nicht darunterfällt, hat diese Frist nicht. Welche der beiden Kategorien für Sie gilt, sagt der Betroffenheits-Check.
Die Uhr löst außerdem nicht jeder Vorfall aus, sondern nur der erhebliche. § 2 Nummer 11 BSIG versteht darunter einen Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Ein Vorfall unterhalb dieser Schwelle setzt keine der beiden Fristen in Gang.
Zwei Fristen im Rechner, vier Meldungen im Gesetz
§ 32 Abs. 1 Satz 1 BSIG kennt vier Meldungen: die frühe Erstmeldung binnen 24 Stunden (Nummer 1), die Meldung mit einer ersten Bewertung binnen 72 Stunden (Nummer 2), eine Zwischenmeldung auf Ersuchen des Bundesamtes (Nummer 3) und die Abschlussmeldung spätestens einen Monat nach der Meldung nach Nummer 2 (Nummer 4).
Der Rechner berechnet die beiden Stufen, die ab der Kenntniserlangung laufen. Die Zwischenmeldung hat keine eigene Frist, sie kommt auf Ersuchen; die Abschlussmeldung rechnet ab einem anderen Startpunkt. Dauert der Vorfall zu diesem Zeitpunkt noch an, tritt an ihre Stelle eine Fortschrittsmeldung, und die Abschlussmeldung folgt nach der abschließenden Bearbeitung (§ 32 Abs. 2 BSIG).
Verspätet ist besser als nie – aber dokumentiert
Wird eine Frist verpasst, gehört die verspätete Meldung samt ihrer Begründung dokumentiert. Der Melde-Workflow hält beide Stufen mit Zeitpunkt fest, damit der Ablauf später geschlossen nachweisbar ist.
Damit im Ernstfall niemand die Uhr sucht, gehören Zuständigkeit und Meldeweg vorher schriftlich festgelegt: Wer meldet, über welchen Weg und wer die Frist im Blick behält. In der App ist das Teil des Melde-Workflows.
Bußgeld und Geschäftsleitung sind zwei verschiedene Fragen
Eine nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig abgegebene Meldung ist eine Ordnungswidrigkeit (§ 65 Abs. 2 Nummer 4 BSIG). Der Rahmen reicht bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen (§ 65 Abs. 5 Satz 1 Nummer 1); ab 500 Millionen Euro Gesamtumsatz treten 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes daneben (§ 65 Abs. 6 und 7). Das ist ein Rahmen und keine zu erwartende Zahl.
Die persönliche Verantwortung der Geschäftsleitung steht daneben und knüpft an eine andere Pflicht an: § 38 Abs. 1 BSIG verlangt von ihr, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen; Abs. 2 lässt sie dafür ihrer Einrichtung nach den Regeln des Gesellschaftsrechts haften. An die Meldefrist selbst knüpft diese Haftung nicht an.
Häufige Fragen
Ab wann läuft die Frist?
Ab der Kenntniserlangung von einem erheblichen Sicherheitsvorfall (§ 32 Abs. 1 Satz 1 BSIG) – nicht ab dem Eintritt des Vorfalls, nicht ab dem Abschluss der ersten Analyse und nicht ab der nächsten Besprechung. Deshalb fragt der Rechner genau diesen Zeitpunkt ab.
Heißt die erste Stufe Frühwarnung oder Erstmeldung?
Das Gesetz spricht von der frühen Erstmeldung (§ 32 Abs. 1 Satz 1 Nummer 1 BSIG). Das Wort „Frühwarnung“ ist im Umlauf, steht so aber nicht im BSIG. Gemeint ist dieselbe Meldung.
Ist nach den 72 Stunden alles erledigt?
Nein. Spätestens einen Monat nach der Meldung nach Nummer 2 ist eine Abschlussmeldung fällig (§ 32 Abs. 1 Satz 1 Nummer 4 BSIG), dazu auf Ersuchen des Bundesamtes eine Zwischenmeldung (Nummer 3). Dauert der Vorfall noch an, tritt eine Fortschrittsmeldung an die Stelle der Abschlussmeldung (§ 32 Abs. 2 BSIG). Der Rechner deckt diese beiden Meldungen nicht ab, weil sie nicht ab der Kenntniserlangung rechnen.
Ersetzt der Rechner eine Rechtsberatung?
Nein. Die Fristenberechnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.
Alle Funktionen inklusive. Keine Kreditkarte.
Melde-Workflow in der App nutzen24 h und 72 h ab Kenntnis · Fundstelle zu jeder Frist · Server in Deutschland
RegelWerk dokumentiert die Meldepflichten und Fristen Ihres Unternehmens. Verbindlich ist der Wortlaut des BSIG; die Fristenberechnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.