NIS2-Meldewege: Was, Wer, Wie melden — 24/72/30

Hauptartikel: § 30 BSIG: 10 Pflichten — die zehn Pflichtmaßnahmen des § 30 Abs. 2 BSIG, zu denen auch die Bewältigung von Sicherheitsvorfällen gehört.

Wer melden muss: nur eingestufte Einrichtungen

Melden muss nur, wen das Gesetz als besonders wichtige oder wichtige Einrichtung einstuft — die Meldekette des § 32 Abs. 1 BSIG richtet sich ausdrücklich an diese beiden Gruppen, nicht an jedes Unternehmen mit einem IT-Vorfall.

In Deutschland knüpft die Einstufung nach § 28 BSIG an eine Einrichtungsart der Anlagen zum BSIG an. Besonders wichtige Einrichtung ist unter anderem, wer eine Art nach Anlage 1 betreibt und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist (§ 28 Abs. 1 BSIG); größenunabhängig zählen dazu Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Anbieter von Telekommunikationsdiensten. Wichtige Einrichtung ist, wer einer Art nach Anlage 1 oder Anlage 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR erreicht, soweit er nicht bereits besonders wichtige Einrichtung ist (§ 28 Abs. 2 BSIG). Die Größe allein trägt die Einstufung nach § 28 BSIG nicht: Sie wirkt nur zusammen mit der Zuordnung zu einer Einrichtungsart der Anlage 1 oder Anlage 2 (§ 28 Abs. 1 und 2 BSIG). Einrichtungen der Bundesverwaltung werden nicht über Anlage 1, sondern gesondert nach § 29 BSIG erfasst. Für die Berechnung von Mitarbeiterzahl, Umsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG).

In Österreich läuft die Einstufung ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 parallel: Große Unternehmen einer Anlage-1-Art sind wesentliche Einrichtungen, Einrichtungen der Anlage-1- und Anlage-2-Arten mit großem oder mittlerem Unternehmen sind wichtige Einrichtungen (§ 24 Abs. 1 und 2 NISG 2026). Groß heißt dort: zumindest 250 Mitarbeiter oder ein Jahresumsatz über 50 Mio. EUR bei einer Bilanzsumme über 43 Mio. EUR; mittel: zumindest 50 Mitarbeiter oder ein Jahresumsatz über 10 Mio. EUR bei einer Bilanzsumme über 10 Mio. EUR (§ 25 Abs. 2 und 3 NISG 2026).

Was gemeldet wird: der erhebliche Sicherheitsvorfall

Die Meldekette löst nur ein erheblicher Sicherheitsvorfall aus. In Deutschland ist er erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG). Österreich kennt dieselbe Zweiteilung, verlangt in der ersten Fallgruppe aber schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste (§ 35 Abs. 1 Z 1 NISG 2026); die zweite Fallgruppe (erhebliche materielle oder immaterielle Schäden bei anderen Personen) entspricht der deutschen (§ 35 Abs. 1 Z 2 NISG 2026).

Quantitative Schwellen gibt es nur ausschnittsweise: Die EU-Durchführungsverordnung 2024/2690 konkretisiert die Erheblichkeit mit Zahlenkriterien — unter anderem Anzahl betroffener Nutzer, finanzielle Auswirkungen und Dauer —, aber nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, TLD-Name-Registries, Cloud- und Rechenzentrumsdienste, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter (vgl. § 30 Abs. 3 BSIG). Für alle übrigen Einrichtungen in Deutschland gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG allein die Definition des § 2 Nr. 11 BSIG. Praxisempfehlung: Halten Sie die Erheblichkeitsprüfung samt Begründung schriftlich fest — auch dann, wenn sie negativ ausfällt und keine Meldung folgt.

Die Meldekette 24/72/30 im Überblick

Die Meldekette hat vier Stufen: Frühwarnung binnen 24 Stunden ab Kenntnis, Meldung mit Erstbewertung binnen 72 Stunden ab Kenntnis, Zwischenmeldung auf Ersuchen der Behörde und Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung (§ 32 Abs. 1 Nr. 1 bis 4 BSIG). Alle Stufen gehen an dieselbe Stelle: in Deutschland an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG), in Österreich an das zuständige sektorspezifische CSIRT und, wenn es ein solches nicht gibt, an das nationale CSIRT (§ 34 Abs. 1 NISG 2026). Fristbeginn ist bei der 24- und der 72-Stunden-Stufe jeweils die Kenntnis. Die Inhaltsspalte gibt die deutsche Fassung nach § 32 BSIG wieder; die österreichische Kette nach § 34 Abs. 2 NISG 2026 ist in den Stufen nach § 32 Abs. 1 Nr. 1 bis 4 BSIG stufen- und fristgleich; bei der Fortschrittsmeldung setzt Österreich zusätzlich eine ausdrückliche Monatsfrist (siehe letzte Tabellenzeile). Die Fundstellen stehen in der letzten Spalte, die Abweichungen im Abschnitt Österreich.

Die Kurzformel 24/72/30 ist ein Merkschema. Rechtlich sind es 24 Stunden, 72 Stunden und ein Monat — die dritte Frist ist eine Monatsfrist, kein 30-Tage-Zeitraum, und sie läuft ab der 72-Stunden-Meldung. Beispiel: Kenntnis am Freitag, 22:10 Uhr — Frühwarnung bis Samstag, 22:10 Uhr; Meldung mit Erstbewertung bis Montag, 22:10 Uhr; Abschlussmeldung einen Monat nach der tatsächlich abgegebenen Meldung mit Erstbewertung — wird diese vor Fristablauf abgegeben, läuft der Monat ab diesem früheren Zeitpunkt (§ 32 Abs. 1 Nr. 4 BSIG).

1. Vorfall erkennen

Die Erkennung ist der fristauslösende Schritt: Rechtlich zählt allein, wann die Einrichtung Kenntnis erlangt — ab diesem Zeitpunkt laufen die 24 und die 72 Stunden, nicht ab dem Beginn des Vorfalls (§ 32 Abs. 1 Nr. 1 und 2 BSIG). Trigger: SOC-Alert, IT-Failure, Lieferanten-Notiz, User-Bericht. Krisenstab aktivieren binnen 30 Min. — Praxisempfehlung: diese 30 Minuten sind eine hausinterne Reaktionszeit, keine gesetzliche Frist.

Direkt nach der Kenntnis folgt die Erheblichkeitsprüfung nach § 2 Nr. 11 BSIG — sie entscheidet, ob die Meldekette überhaupt anläuft. Praxisempfehlung: Halten Sie den Kenntniszeitpunkt mit Datum, Uhrzeit und Quelle fest, weil er beide Fristen bestimmt und in jeder späteren Stufe belegbar bleiben sollte; legen Sie vorab fest, wer die Erheblichkeit bewertet und wer die Meldung freigibt, damit diese Entscheidung nicht erst im Vorfall organisiert werden muss. Die Erreichbarkeit dieser Rollen sollte rund um die Uhr sichergestellt sein, weil die 24-Stunden-Frist an keine Geschäftszeiten gebunden ist.

2. 24h-Erstmeldung BSI

Innerhalb von 24 Stunden ab Kenntnis geht die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 Nr. 1 BSIG). Portal: bsi.bund.de/meldungen. Das Portal ist seit dem 06.01.2026 online und nimmt die Meldung strukturiert entgegen. Praxisübliche Angaben neben den gesetzlichen Inhalten (siehe Tabelle oben): Zeitpunkt, Art (Ransomware/DDoS/etc.), erste Schadensschätzung, Maßnahmen, Kontaktperson. Praxisempfehlung: Klären Sie die Registrierung nach § 33 Abs. 1 BSIG vorab — sie geht der Meldung praktisch voraus.

Was inhaltlich zu übermitteln ist, zeigt die Tabelle oben; hier zählt zusätzlich: Die 24 Stunden sind eine Obergrenze, kein Termin — das Gesetz verlangt die Meldung unverzüglich, spätestens binnen 24 Stunden. Bedrohungsart und Ursache gehören erst in die Abschlussmeldung (§ 32 Abs. 1 Nr. 4 BSIG) — die Erstmeldung ist eine Frühwarnung, ihre Angaben werden in der 72-Stunden-Meldung bestätigt oder aktualisiert (§ 32 Abs. 1 Nr. 2 BSIG). Praxisempfehlung: Melden Sie fristgerecht auch mit unvollständigem Bild und aktualisieren Sie in der 72-Stunden-Meldung.

3. 72h-Update

Spätestens 72 Stunden nach Kenntnis folgt die Meldung mit Erstbewertung (§ 32 Abs. 1 Nr. 2 BSIG). Praxisübliche Inhalte der Meldung: detaillierte Schadens-Bewertung, technische Indikatoren (IOCs), Schwachstellen-Identifikation, weitere Maßnahmen.

Was inhaltlich zu übermitteln ist, zeigt die Tabelle oben; hier zählt zusätzlich: Kompromittierungsindikatoren sind nur zu übermitteln, soweit vorhanden (§ 32 Abs. 1 Nr. 2 BSIG). Unabhängig von den drei Zeitstufen kann das BSI jederzeit eine Zwischenmeldung über relevante Statusaktualisierungen verlangen (§ 32 Abs. 1 Nr. 3 BSIG); Österreich sieht den Zwischenbericht auf Ersuchen ebenso vor (§ 34 Abs. 2 Z 3 NISG 2026). Praxisempfehlung: Kompromittierungsindikatoren stammen typischerweise aus der technischen Analyse des eigenen SOC oder eines Forensik-Dienstleisters — klären Sie vorab, wer sie aufbereitet und freigibt, damit die Stufe nicht an der Zulieferung scheitert; führen Sie die Bewertung zudem fortlaufend im Vorfallsprotokoll mit, damit ein Ersuchen um Zwischenmeldung ohne Neuaufbereitung beantwortet werden kann.

4. Abschlussbericht (1 Monat)

Die Abschlussmeldung ist spätestens einen Monat nach der 72-Stunden-Meldung fällig (§ 32 Abs. 1 Nr. 4 BSIG) — nicht ab Vorfall-Ende. Sie enthält die ausführliche Beschreibung des Vorfalls, Bedrohungsart und Ursache (Ursachenanalyse, Lessons Learned) sowie die getroffenen und die laufenden Abhilfemaßnahmen (Maßnahmen-Plan und Vermeidungs-Strategie), gegebenenfalls ergänzt um grenzüberschreitende Auswirkungen.

Dauert der Vorfall zu diesem Zeitpunkt noch an, tritt zunächst die Fortschrittsmeldung an ihre Stelle (§ 32 Abs. 2 BSIG); die Abschlussmeldung folgt erst nach Abschluss der Bearbeitung. In Österreich ist der Abschlussbericht in diesem Fall binnen eines Monats nach Beendigung der Vorfallsbehandlung zu übermitteln (§ 34 Abs. 2 Z 5 NISG 2026).

5. Parallele DSGVO Art. 33

Bei Datenpanne: ZUSÄTZLICH 72h-Meldung an die zuständige Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) — in Deutschland an die zuständige Landesdatenschutzbehörde (bzw. den BfDI), in Österreich an die Datenschutzbehörde. Adressat ist die Aufsichtsbehörde, nicht der eigene Datenschutzbeauftragte. NIS2 + DSGVO laufen parallel.

Die datenschutzrechtliche Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wurde; zu melden ist unverzüglich und möglichst binnen 72 Stunden. Sie entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; erfolgt die Meldung später als 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO); sie ist entbehrlich, wenn geeignete Schutzmaßnahmen wie Verschlüsselung angewandt wurden, das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder die Benachrichtigung unverhältnismäßigen Aufwand bedeutet — dann tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3 DSGVO). Die Auslöser unterscheiden sich: NIS2 fragt nach schwerwiegender Betriebsstörung, finanziellen Verlusten oder erheblichen Schäden bei Dritten (§ 2 Nr. 11 BSIG), die DSGVO nach dem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Bei den Sanktionen greift eine Grenze: Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

6. Lieferanten-Eskalation

Maßgeblich ist nicht, bei wem der Vorfall passiert ist, sondern ob er für Ihre Einrichtung die Schwelle des erheblichen Sicherheitsvorfalls nach § 2 Nr. 11 BSIG erreicht: Erreicht ein Vorfall beim Dienstleister diese Schwelle, müssen Sie melden — auch wenn Sie nicht primär verantwortlich sind; Ihre 24-Stunden-Frist läuft ab Ihrer Kenntnis.

Damit diese Kenntnis früh genug entsteht, verlangt § 30 Abs. 2 Nr. 4 BSIG Maßnahmen zur Sicherheit der Lieferkette; in Österreich steht die gleichlaufende Pflicht in § 32 Abs. 4 lit. d NISG 2026. Praxisempfehlungen für die Vertragsgestaltung — keine gesetzlichen Fristen, sondern Regelungen, die Sie selbst vereinbaren: Meldung des Lieferanten an Sie innerhalb von 24 Stunden, Lieferanten-Fragebogen mit Risikoklassifizierung, Cybersecurity-Klauseln im Standardvertrag und ein Right-to-Audit für kritische Lieferanten. Kritisch ist dabei ein Lieferant, dessen Ausfall oder Kompromittierung bei Ihnen die Schwelle des § 2 Nr. 11 BSIG erreichen kann — also schwerwiegende Betriebsstörungen oder erhebliche Schäden bei Dritten auslösen würde. Die Klausel sollte mindestens regeln: einen rund um die Uhr erreichbaren Meldekanal mit benannter Kontaktperson, die Mitwirkung bei Ihren Meldungen nach § 32 BSIG und die Weitergabe von Kompromittierungsindikatoren. Werden personenbezogene Daten im Auftrag verarbeitet, kommt der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO hinzu, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Pflichten und Rechte des Verantwortlichen festlegt; die Meldewege zwischen Auftragsverarbeiter und Verantwortlichem sollten Sie dort ausdrücklich mitregeln (Praxisempfehlung).

Österreich (NISG 2026): Meldung ans CSIRT statt ans BSI

DE/AT-Unterschied: Der obige Walkthrough beschreibt den deutschen Meldeweg über das BSI-Portal. In Österreich gelten dieselben Stufen und Fristen, doch die Meldung erfolgt nicht ans BSI, sondern an das zuständige (sektorspezifische bzw. nationale) CSIRT gemäß § 34 NISG 2026; Aufsichtsbehörde ist die Cybersicherheitsbehörde. Bußgeldrahmen: bis 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. EUR bzw. 1,4 % (wichtige Einrichtungen) nach § 45 NISG 2026.

Verbindlich wird dieser Meldeweg mit dem Anwendungsbeginn des NISG 2026 am 01.10.2026; kundgemacht ist das Gesetz seit dem 23.12.2025 (BGBl. I Nr. 94/2025). Adressat ist nach § 34 Abs. 1 NISG 2026 das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen das nationale CSIRT; von dort wird die Meldung an die Cybersicherheitsbehörde weitergeleitet. Solange kein nationales CSIRT besteht, nimmt GovCERT dessen Aufgaben wahr (§ 8 Abs. 4 letzter Satz in Verbindung mit der Übergangsregel des § 51 Abs. 6 NISG 2026); für die öffentliche Verwaltung ist GovCERT das sektorspezifische CSIRT (§ 8 Abs. 4 NISG 2026). Zuständige Behörde für Aufsicht und Durchsetzung ist das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit Sitz in Wien (§ 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026); Verwaltungsstrafen verhängt dagegen die Bezirksverwaltungsbehörde (§ 44 Abs. 1 NISG 2026). Wer als Konzern in beiden Ländern tätig ist, meldet getrennt: Die Registrierung erfolgt in Deutschland über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, und zwar spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG); in Österreich bei der Cybersicherheitsbehörde binnen drei Monaten ab Inkrafttreten, also bis Ende 2026 (§ 29 Abs. 2 und 3 NISG 2026).

Vorfall-Dokumentation: was während der Meldekette mitlaufen muss

Die Dokumentation ist selbst Pflicht: § 30 Abs. 1 BSIG verlangt, die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren — also nicht nur die Maßnahmen selbst, sondern ihre Einhaltung —, und die Bewältigung von Sicherheitsvorfällen ist einer der zehn Pflichtbereiche (§ 30 Abs. 2 Nr. 2 BSIG; in Österreich § 32 Abs. 4 lit. b NISG 2026).

Die Mindeststruktur der Vorfallsakte ergibt sich unmittelbar aus den Meldestufen (siehe Tabelle oben): Was Sie je Stufe melden müssen, muss die Akte zum Fristzeitpunkt hergeben. Konkret sind das (1) der Kenntniszeitpunkt mit Datum, Uhrzeit und Quelle, (2) der Verdacht auf eine rechtswidrige oder böswillige Handlung sowie mögliche grenzüberschreitende Auswirkungen (Stufe 24 Stunden), (3) Schweregrad, Auswirkungen und Kompromittierungsindikatoren (Stufe 72 Stunden) und (4) Bedrohungsart und Ursache sowie getroffene und laufende Abhilfemaßnahmen (Abschlussmeldung). Praxisempfehlungen — bewährte Arbeitsweise, keine gesetzlichen Vorgaben: Ergebnis und Begründung der Erheblichkeitsprüfung nach § 2 Nr. 11 BSIG schriftlich festhalten, ein laufendes Protokoll mit Zeitstempeln statt nachträglicher Rekonstruktion, Versandnachweise zu jeder Stufe, eine Versionsführung der Meldetexte und eine dokumentierte Freigabe durch die Geschäftsleitung, die die Umsetzung der Risikomanagementmaßnahmen ohnehin zu überwachen hat (§ 38 Abs. 1 BSIG; in Österreich § 31 Abs. 1 NISG 2026).

Sanktionen bei unterlassener oder verspäteter Meldung

Verstöße gegen die Meldepflichten sind bußgeldbewehrt. In Deutschland kann die Ordnungswidrigkeit gegen besonders wichtige Einrichtungen mit bis zu 10 Mio. EUR, gegen wichtige Einrichtungen mit bis zu 7 Mio. EUR geahndet werden (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG).

Ein pauschales „der höhere Wert gilt“ kennt das BSIG dabei nicht: Die Umsatzvariante — bis 2 % für besonders wichtige (§ 65 Abs. 6 BSIG) und bis 1,4 % für wichtige Einrichtungen (§ 65 Abs. 7 BSIG) des weltweiten Gesamtumsatzes — greift nur bei einem Gesamtumsatz von mehr als 500 Mio. EUR und nur für die dort bezeichneten Verstöße. Gesamtumsatz ist die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). In Österreich gilt dagegen der jeweils höhere Betrag: bis 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen (§ 45 Abs. 2 NISG 2026) und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen (§ 45 Abs. 3 NISG 2026); sonstige Übertretungen werden mit bis zu 50.000 EUR, im Wiederholungsfall bis zu 100.000 EUR geahndet (§ 45 Abs. 4 NISG 2026).