BSI-Meldungsportal (24/72/30)
Vorfall-Meldewege nach NIS2
TL;DR
Nach § 32 BSIG müssen wesentliche/wichtige Einrichtungen Vorfälle dem BSI melden: 24h Erstmeldung, 72h Update, 30 Tage Abschlussbericht. Portal: bsi.bund.de/meldungen.
Was ist BSI-Meldungsportal (24/72/30)?
Pflicht-Inhalte Erstmeldung:
- Zeitpunkt + Art des Vorfalls
- Erste Schadensabschätzung
- Erste Maßnahmen
- Kontaktperson
72h-Update: detaillierte Schadensbewertung, technische Indikatoren, weitere Maßnahmen.
Deutschland und Österreich: unterschiedliche Meldewege
Die dreistufigen Meldefristen sind in beiden Ländern identisch, weil sie dieselbe NIS2-Richtlinie umsetzen: Frühwarnung binnen 24 Stunden nach Kenntnis, Meldung mit Erstbewertung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Unterschiedlich sind die Empfänger-Stelle und die zuständige Behörde.
Deutschland
Nach § 32 Abs. 1 Nr. 1 bis 4 BSIG (BSIG 2025) melden besonders wichtige und wichtige Einrichtungen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK): 24-Stunden-Erstmeldung, 72-Stunden-Meldung mit Erstbewertung, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall an, folgt zunächst eine Fortschrittsmeldung. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (§ 1 BSIG). Portal: bsi.bund.de/meldungen.
Österreich
In Österreich geht die Meldung nicht an das BSI, sondern an das zuständige sektorspezifische bzw. nationale CSIRT. Nach § 34 Abs. 2 NISG 2026 (BGBl. I Nr. 94/2025) übermitteln wesentliche und wichtige Einrichtungen ebenfalls dreistufig: Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres) weiter, die als zuständige Behörde die Aufsicht wahrnimmt (§ 3a NISG 2026). Ein eigenes Meldeportal des BSI (bsi.bund.de) gilt in Österreich nicht.
Praxisbeispiel
Ransomware-Vorfall um 22:00 Uhr Freitag: 24h-Frist endet Samstag 22:00. Direkter Zugang: bsi.bund.de/meldungen, Telefon 0800-274-1000 (24/7).