Glossar
NIS2-Meldepflicht
Auch: Meldepflicht Sicherheitsvorfälle, Erheblicher Sicherheitsvorfall, Meldefristen NIS2
Die NIS2-Meldepflicht verpflichtet erfasste Unternehmen, erhebliche Sicherheitsvorfälle der zuständigen Stelle zu melden, und zwar gestuft: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht nach spätestens einem Monat.
Die drei Stufen
- Frühwarnung binnen 24 Stunden nach Kenntnis: Es gibt einen erheblichen Vorfall, möglicherweise durch rechtswidrige oder böswillige Handlung.
- Meldung binnen 72 Stunden: erste Bewertung mit Schwere, Auswirkungen und, soweit bekannt, Hinweisen auf die Ursache.
- Abschlussbericht nach spätestens einem Monat: ausführliche Beschreibung, Ursache und getroffene Maßnahmen.
Die Fristen entstammen der EU-Richtlinie. Die Umsetzung im nationalen Recht, in Österreich das NISG 2026, ist maßgeblich. Prüfen Sie den Wortlaut mit Ihrer Rechtsberatung.
Was ein erheblicher Vorfall ist
Gemeint sind Vorfälle mit gravierenden Betriebsstörungen oder finanziellen Verlusten oder mit erheblichem Schaden für andere. Ein einzelner abgewehrter Phishing-Versuch ist es in der Regel nicht, ein erfolgreicher Angriff mit Ransomware, der den Betrieb lahmlegt, schon.
Warum die Vorbereitung zählt
Mit 24 Stunden bleibt keine Zeit, erst zu überlegen, wer zuständig ist. Folgendes sollte vorher stehen:
- Wer entscheidet, ob ein Vorfall erheblich ist?
- Wer meldet, und wie sind diese Personen auch am Wochenende erreichbar?
- Welche Informationen werden gebraucht, und wo liegen die Protokolle?
- Wie läuft die Zusammenarbeit mit dem IT-Dienstleister?
Zusammenhang mit der Technik
Eine Meldung ist nur so gut wie die Daten dahinter. Wer Anmeldungen und Änderungen in Microsoft 365 protokolliert und Warnungen an die richtige Stelle leitet, kann schnell sagen, was passiert ist. Das ersetzt keine Überwachung rund um die Uhr, macht aber die erste Stunde beherrschbar.
Eine Vorlage für den Ernstfall
Halten Sie auf einer Seite fest: Ansprechpersonen mit Vertretung und Telefonnummern, die Stelle, an die gemeldet wird, die Kriterien für einen erheblichen Vorfall, den Ort der Protokolle und ein Muster für Frühwarnung, Meldung und Abschlussbericht. Üben Sie den Ablauf einmal im Jahr am Beispiel eines angenommenen Angriffs. Das kostet einen Vormittag und spart im Ernstfall Stunden, die dann knapp sind.
Einordnung
Die Meldepflicht gilt für die Kategorien wesentliche und wichtige Einrichtungen. Weitere Hintergründe stehen im Beitrag NIS2: warum das Thema jedes KMU angeht und unter NIS2-Umsetzung.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.