Incident Response — Art. 23 NIS2
Pflicht zur Reaktion auf Cybersecurity-Vorfälle nach NIS2 Art. 23.
Definition
Art. 23 NIS2 schreibt Meldepflichten vor: 24h Frühwarnung, 72h Erst-Bewertung, 1 Monat Schlussbericht. Plus interne Incident-Response-Prozesse: Detect, Contain, Eradicate, Recover, Lessons-Learned. Im NIS2 Kit: Incident-Response-Playbook + Meldeformulare 24h/72h/1M.
Nationale Umsetzung: Deutschland und Österreich
Art. 23 der NIS2-Richtlinie (EU) 2022/2555 ist eine Richtlinie und entfaltet Pflichten erst über die nationale Umsetzung. Die Meldefristen — 24 Stunden Frühwarnung, 72 Stunden Meldung mit erster Bewertung, 1 Monat Abschlussbericht — sind in Deutschland und Österreich inhaltlich identisch; Meldeweg, zuständige Stelle und die einschlägigen Paragraphen unterscheiden sich jedoch.
Deutschland (BSIG)
- § 32 BSIG — Meldepflichten: Meldung an die gemeinsame Meldestelle von BSI und BBK. Frühe Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.
- § 30 BSIG — Risikomanagementmaßnahmen: geeignete, verhältnismäßige technische und organisatorische Maßnahmen für besonders wichtige und wichtige Einrichtungen.
- § 33 BSIG — Registrierungspflicht: Registrierung beim BSI über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit.
Österreich (NISG 2026)
- § 34 NISG 2026 — Meldung: Meldung an das zuständige (sektorspezifische, in Ermangelung eines solchen das nationale) CSIRT, das die Meldung unverzüglich an die Cybersicherheitsbehörde weiterleitet. Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.
- § 32 NISG 2026 — Risikomanagementmaßnahmen: geeignete, verhältnismäßige technische, operative und organisatorische Maßnahmen für wesentliche und wichtige Einrichtungen.
- § 29 NISG 2026 — Registrierung: Registrierung bei der Cybersicherheitsbehörde, die ein Register der wesentlichen und wichtigen Einrichtungen führt.