Vorfall (NIS2)
§ 2 BSIG — meldepflichtiger Sicherheitsvorfall
TL;DR
Vorfall (NIS2) ist nach § 2 BSIG ein Ereignis, das die Sicherheit von Netzwerk- und Informationssystemen tatsächlich beeinträchtigt. Bei 'erheblichen' Vorfällen greift Meldepflicht 24/72/30.
Was ist Vorfall (NIS2)?
Ein Sicherheitsvorfall wird meldepflichtig, sobald er 'erheblich' ist. Die Erheblichkeit ist in § 2 Nr. 11 BSIG qualitativ definiert (feste Zahlenwerte nennt das Gesetz nicht):
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung, oder
- erhebliche materielle oder immaterielle Schäden für andere natürliche oder juristische Personen
Praxisbeispiel
Ransomware verschlüsselt Server. Vorfall ja. Erheblich ja (schwerwiegende Betriebsstörung). 24h-Frühwarnung an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG) Pflicht.
Rechtslage: Deutschland und Österreich
NIS2 ist eine EU-Richtlinie (RL (EU) 2022/2555); jeder Mitgliedstaat setzt sie in nationales Recht um. Begriff, Meldestelle und Sanktionen unterscheiden sich zwischen Deutschland (BSIG 2025) und Österreich (NISG 2026) daher im Detail.
Deutschland (BSIG 2025)
- Begriff: Der 'erhebliche Sicherheitsvorfall' ist in § 2 Nr. 11 BSIG definiert.
- Meldung: dreistufig nach § 32 Abs. 1 Nr. 1–4 BSIG — Frühwarnung binnen 24 Stunden, Meldung mit Erstbewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats — an die gemeinsame Meldestelle von BSI und BBK.
- Zuständige Behörde: Bundesamt für Sicherheit in der Informationstechnik (BSI).
- Bußgeld: nach § 65 BSIG bis 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen), bis 7 Mio. EUR bzw. 1,4 % (wichtige Einrichtungen).
Österreich (NISG 2026)
- Begriff: Der 'erhebliche Cybersicherheitsvorfall' ist in § 35 Abs. 1 NISG 2026 definiert.
- Meldung: dreistufig nach § 34 Abs. 2 Z 1–5 NISG 2026 — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats — an das zuständige sektorspezifische bzw. nationale CSIRT (nicht an das BSI).
- Zuständige Behörde: Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres).
- Verwaltungsstrafe: nach § 45 Abs. 2 NISG 2026 bis 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen), bis 7 Mio. EUR bzw. 1,4 % (wichtige Einrichtungen).