Meldepflicht nach NIS2

Die Meldepflicht nach NIS2 verpflichtet wesentliche und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle unverzüglich an die zuständige nationale Behörde zu melden. In Deutschland ist dies das Bundesamt für Sicherheit in der Informationstechnik (BSI). Art. 23 der NIS-2-Richtlinie definiert ein dreistufiges Meldeverfahren mit klaren Fristen: eine Frühwarnung innerhalb von 24 Stunden, eine Erstmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.

Als erheblicher Sicherheitsvorfall gilt ein Ereignis, das erhebliche Betriebsstörungen verursacht hat oder verursachen könnte, oder das andere natürliche oder juristische Personen erheblich beeinträchtigt. Konkrete Kriterien sind: eine signifikante Anzahl betroffener Nutzer, eine Dauer von mehr als 24 Stunden oder ein finanzieller Schaden oberhalb bestimmter Schwellenwerte. Die genauen Kriterien werden durch ergänzende EU-Durchführungsrechtsakte präzisiert.

Für die praktische Umsetzung der Meldepflicht müssen Organisationen interne Prozesse etablieren: ein Verfahren zur Klassifizierung von Sicherheitsvorfällen, klare Eskalationswege zur Geschäftsführung, vorbereitete Meldevorlagen sowie benannte Ansprechpartner beim BSI. Versäumnisse bei der Meldepflicht können mit erheblichen Bußgeldern geahndet werden und begründen unter Umständen eine persönliche Haftung der Geschäftsführung.