NIS-2
Meldepflichten unter NIS-2: Was im Ernstfall zu tun ist
Ein Sicherheitsvorfall ist immer eine Ausnahmesituation. Unter NIS-2 kommt eine zusätzliche Herausforderung hinzu: Erhebliche Vorfälle müssen in einem festen, mehrstufigen Verfahren an die zuständige Stelle gemeldet werden, in Deutschland an das BSI.
Die Fristen im Überblick
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls, mit einer ersten Einschätzung, ob ein rechtswidriges oder böswilliges Handeln vermutet wird.
- Vorfallmeldung innerhalb von 72 Stunden mit einer Bewertung von Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
- Abschlussbericht nach einem Monat mit Ursache, getroffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Wann ist ein Vorfall erheblich?
Ein Vorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen erheblich schädigt. Diese Einschätzung muss schnell getroffen werden, deshalb sollten Kriterien vorab festgelegt sein.
Vorbereitung ist alles
Wer erst im Ernstfall überlegt, wer meldet und welche Informationen nötig sind, verliert wertvolle Stunden. Bewährt haben sich:
- ein dokumentierter Incident-Response-Prozess mit klaren Rollen
- vorbereitete Meldevorlagen und Kontaktwege
- zentrale Protokollierung, damit Ursachen nachvollziehbar sind
- regelmäßige Übungen, etwa als Tabletop-Szenario
Schnittstelle zur DSGVO
Sind personenbezogene Daten betroffen, gilt zusätzlich die DSGVO-Meldepflicht an die Datenschutzaufsicht innerhalb von 72 Stunden. Beide Prozesse sollten aufeinander abgestimmt sein, damit im Ernstfall keine Meldung vergessen wird und Informationen konsistent bleiben.
Ein gut geübter Meldeprozess reduziert nicht nur das Haftungsrisiko, sondern verkürzt auch die Zeit bis zur Wiederherstellung des Betriebs.