Drei Momente, nicht eine Frist
Wer nach NIS2-Meldepflicht 24 Stunden sucht, stößt meist auf die Vorstellung, dass eine Organisation innerhalb eines Tages alles wissen und melden muss. Das ist nicht korrekt. Artikel 23 der NIS2-Richtlinie sieht drei separate Meldezeitpunkte nach einem erheblichen Vorfall vor: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Jeder Moment erfordert etwas anderes, und die Frist beginnt erst zu laufen, wenn die Organisation sich des Vorfalls bewusst wird — nicht von dem Zeitpunkt an, zu dem der Vorfall tatsächlich stattfand.
Wichtig zu wissen: Diese Meldepflicht gilt für Organisationen, die selbst als wesentlich oder wichtig gemäß NIS2 eingestuft sind, also für Entitäten aus den Sektoren des Anhangs I und II. Unternehmen, die über die Lieferkette betroffen sind — der KMU-Lieferant, der einen Sicherheitsfragebogen von einem großen Kunden erhält — unterliegen dieser Meldepflicht selbst nicht. Sie können jedoch feststellen, dass ein Kunde danach fragt, wie sie mit Vorfällen umgehen, aber das ist etwas anderes als eine gesetzliche Meldepflicht gegenüber einer Aufsichtsbehörde. Sind Sie unsicher, unter welche Kategorie Ihre Organisation fällt, dann bietet die Überprüfung mit ein paar Fragen hierfür einen ersten Anhaltspunkt.
Der erste Moment: eine Warnung, keine Analyse
Die ersten 24 Stunden sind für ein frühes Signal bestimmt, nicht für eine vollständige Analyse. Die Richtlinie spricht hier von einer Frühwarnung: eine kurze Mitteilung, dass möglicherweise ein erheblicher Vorfall vorliegt, und ob der Verdacht besteht, dass der Vorfall durch rechtswidriges Handeln verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte. Was in diesem Moment noch fehlt — die genaue Ursache, das Ausmaß, die betroffenen Systeme — muss nicht vorhanden sein. Hier liegt genau der Missverständnis: 24 Stunden sind keine Frist, um den Vorfall zu beheben oder zu verstehen, sondern eine Frist, um zu melden, dass etwas nicht stimmt.
Der zweite Moment: eine erste Bewertung
Innerhalb von 72 Stunden folgt eine Meldung, die über die erste Warnung hinausgeht. Hier wird eine erste Bewertung des Vorfalls erwartet, mit dem Schweregrad und den Auswirkungen sowie, soweit verfügbar, den Indikatoren, die auf den Vorfall hindeuten. Auch dies ist ausdrücklich ein Zwischenschritt: die Richtlinie erkennt an, dass eine Organisation 72 Stunden nach Kenntnisnahme oft noch nicht das vollständige Bild hat. Was erwartet wird, ist, dass die Organisation zu diesem Zeitpunkt zeigen kann, was sie bisher festgestellt hat und welche Maßnahmen sie ergriffen hat oder erwägt.
Der dritte Moment: der Abschlussbericht
Der Abschlussbericht, spätestens einen Monat nach der Meldung, ist der Ort, an dem der vollständige Sachverhalt festgehalten wird: eine detaillierte Beschreibung des Vorfalls, der Schweregrad und die Auswirkungen, die Art der Bedrohung oder die zugrunde liegende Ursache, die zum Vorfall geführt hat, die getroffenen und laufenden Beheersungsmaßnahmen und gegebenenfalls die grenzüberschreitenden Auswirkungen. Läuft der Vorfall zu diesem Zeitpunkt noch, sieht die Richtlinie einen Zwischenbericht vor und später einen Abschlussbericht, sobald der Vorfall bearbeitet wurde.
Was die Organisation selbst tun muss und was nicht
Diese drei Momente betreffen, WAS gemoldet wird und WANN, nicht WIE eine Organisation den Vorfall technisch handhabt. Die Aufdeckung der Ursache, die Isolierung von Systemen, forensische Untersuchungen — das ist Arbeit für spezialisierte Parteien und liegt außerhalb dessen, was eine Vorbereitungsplattform wie secria.eu tut. Wir bereiten die Texte vor, die in jedem der drei Momente erforderlich sind, auf der Grundlage dessen, was bereits im Cyber-Dossier der Organisation über Maßnahmen und Verantwortliche festgehalten ist; eingereicht wird immer durch die Organisation selbst beim Portal der zuständigen Aufsichtsbehörde.
Die genaue Arbeitsweise und das Portal unterscheiden sich je nach Land, da jeder Mitgliedstaat die Richtlinie in eigene Rechtsvorschriften umsetzt — in den Niederlanden durch das Cybersicherheitsgesetz. Details wie der genaue Meldeprozess bei der Aufsichtsbehörde können daher am besten direkt bei der Aufsichtsbehörde selbst oder im endgültigen nationalen Rechtstext überprüft werden. Eine Übersicht, wie secria.eu Quellen nachverfolgbar macht und mit welchem Datum, finden Sie auf der Seite über die Herkunft unserer Informationen.
Warum dies mehr ist als nur eine Frist im Gedächtnis zu behalten
Die drei Zeitpunkte sind nur erreichbar, wenn eine Organisation vorher weiß, wer einen Vorfall erkennt, wer ihn meldet und welche Informationen dafür bereits vorliegen. Dies ist genau dort, wo die Risikobeheersungsmaßnahmen und das Meldeverfahren zusammenkommen: Eine Organisation, die ihre Maßnahmen als lebendes Register führt und für jede Maßnahme einen Verantwortlichen bestimmt hat, muss bei einem Vorfall nicht von vorne anfangen herauszufinden, wer wofür verantwortlich ist. Weitere Informationen über den Zusammenhang zwischen diesen Maßnahmen und der Meldepflicht sowie anderen Verpflichtungen finden Sie auf der Übersicht der Themen nach Situation.
Haben Sie Fragen dazu, was genau unter einen erheblichen Vorfall fällt oder wie sich die Meldepflicht zu Ihrem Sektor verhält, dann ist die Seite mit häufig gestellten Fragen ein logischer nächster Schritt, neben Rücksprache mit Ihrer Aufsichtsbehörde oder einem Juristen für Ihre spezifische Situation.
Wenn Sie zunächst wissen möchten, ob Ihre Organisation überhaupt der Meldepflicht unterliegt, führen Sie die kostenlose NIS2-Überprüfung durch. Diese gibt Ihnen in einigen wenigen Fragen einen Anhaltspunkt für Ihre Position, mit Erklärung und nächsten Schritten — ohne dass Sie dafür ein Konto benötigen.