Significant Incident
EU NIS2 Art. 23 — meldepflichtiger schwerer Vorfall
TL;DR
Significant Incident ist EU-Begriff (NIS2 Art. 23), in DE umgesetzt als 'erheblicher Vorfall' (§ 32 BSIG). Schwellen: schwerwiegende Service-Beeinträchtigung, materieller/immaterieller Schaden, Betroffenheit Dritter.
Was ist Significant Incident?
Erheblichkeits-Kriterien (BSI 02/2026):
- Service-Ausfall >30min
- Datenverlust >1.000 Datensätze
- Schaden >100.000 EUR
- Betroffenheit Dritter (Kunden, Lieferanten)
Praxisbeispiel
Ransomware mit Service-Ausfall 6h: Significant Incident. 24h-Erstmeldung. 72h-Update mit Schadenseinschätzung. 30-Tage-Abschlussbericht.
Rechtslage in Deutschland und Österreich
Der Begriff geht auf die EU-Richtlinie NIS2 (RL (EU) 2022/2555) zurück. Die materielle Erheblichkeitsschwelle ist in beiden Ländern inhaltlich gleich; die zuständigen Behörden, Meldewege und Fundstellen unterscheiden sich jedoch.
Deutschland
- Definition: Ein 'erheblicher Sicherheitsvorfall' liegt vor, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG).
- Meldung: Dreistufig an die gemeinsame Meldestelle von BSI und BBK — frühe Erstmeldung binnen 24 Stunden, Meldung mit Erstbewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats; bei andauerndem Vorfall zunächst eine Fortschrittsmeldung (§ 32 Abs. 1 BSIG).
- Bußgeld: Bis zu 10 Mio. EUR bei besonders wichtigen und bis zu 7 Mio. EUR bei wichtigen Einrichtungen; bei einem Gesamtumsatz über 500 Mio. EUR bis zu 2 % bzw. 1,4 % des weltweiten Jahresumsatzes (§ 65 Abs. 5 Nr. 1 BSIG).
- Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
- Definition: Ein Cybersicherheitsvorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1 NISG 2026).
- Meldung: Dreistufig an das zuständige (sektorspezifische bzw. nationale) CSIRT — Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats; bei andauerndem Vorfall zunächst ein Fortschrittsbericht (§ 34 Abs. 2 NISG 2026).
- Verwaltungsstrafe: Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen und bis zu 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026).
- Aufsicht: Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres).
Häufig gestellte Fragen
Bußgeld bei Nicht-Meldung?
Die Bußgeldvorschriften stehen in § 65 BSIG (nicht § 60 BSIG, der die zentrale EU-Zuständigkeit für bestimmte Einrichtungsarten regelt). Nach § 65 Abs. 5 Nr. 1 BSIG bis zu 10 Mio. EUR bei besonders wichtigen und bis zu 7 Mio. EUR bei wichtigen Einrichtungen; bei einem Gesamtumsatz über 500 Mio. EUR bis zu 2 % bzw. 1,4 % des weltweiten Jahresumsatzes. Reputationsschaden zusätzlich.
EU-Koordination?
Bei sektoralen Vorfällen koordiniert ENISA EU-weit.
Siehe auch
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.