Wann muss ich einen Cybersicherheitsvorfall bei der Aufsichtsbehörde melden

Die Meldung folgt einem Zeitplan mit mehreren Momenten

Ein meldungspflichtiger Vorfall wird nicht auf einmal gemeldet, sondern in Schritten: zunächst eine Frühwarnung, danach eine ausführlichere Meldung und später ein Abschlussbericht. Das entspricht der Natur eines Vorfalls — unmittelbar nach der Entdeckung ist oft noch nicht klar, was genau passiert ist, während die Aufsichtsbehörde dennoch schnell wissen muss, dass etwas vorliegt. Die genauen Zeitpunkte und der Inhalt, der in jedem Moment erwartet wird, sind auf der Website des NCSC und im Cybersicherheitsgesetz beschrieben; diese Quellen geben auch an, wann ein Vorfall als «erheblich» genug gilt, um unter die Meldungspflicht zu fallen.

Für diejenigen, die sich fragen, ob dies sie betrifft: Die Meldungspflicht gilt für wesentliche und wichtige Einrichtungen, und das ist eine andere Frage als Woher weiß ich, ob mein Unternehmen unter die NIS2-Richtlinie fällt. Bei welcher Stelle eine Meldung eingereicht wird, unterscheidet sich darüber hinaus je nach Sektor — das ergibt sich aus Welche Aufsichtsbehörde beaufsichtigt meinen Sektor unter der NIS2-Richtlinie. Wer von einem Auftraggeber mitbekommt, dass eine Meldungspflicht besteht, aber selbst nicht verpflichtet ist, erhält diese Frage normalerweise nicht unmittelbar von einer Aufsichtsbehörde, sondern indirekt zurück in einem Cybersicherheitsfragebogen dieses Auftraggebers.

Wo dies aus folgt: Artikel 21 und das nationale Gesetz

Die Meldungspflicht hängt mit der Sorgfaltspflicht aus Artikel 21 Absatz 2 der NIS2-Richtlinie zusammen: Wer verpflichtet ist, Risiken zu beherrschen, ist auch verpflichtet, Vorfälle, die diese durchbrechen, zu melden. Die Richtlinie selbst beschreibt das Prinzip; die genauen Zeitpunkte, Fristen und das Format der Meldung sind im Cybersicherheitsgesetz und in der Aufklärung des NCSC ausgearbeitet, die den Gesetzestext in einen praktischen Prozess umsetzen. Für den Inhalt einer Meldung ist es hilfreich zu wissen, welche Maßnahmen zum Zeitpunkt des Vorfalls bereits ergriffen worden waren — eine Übersicht davon gehört zu Welche zehn Maßnahmen muss ich nach der NIS2-Richtlinie ergreifen.