Ist dieser Vorfall
meldepflichtig?
Die größte Unsicherheit bei einem Sicherheitsvorfall ist die korrekte Einordnung: Handelt es sich um einen nach §32 BSIG und der NIS2-Richtlinie erheblichen Sicherheitsvorfall, der eine Meldepflicht auslöst? Diese Frage muss in den ersten Minuten beantwortet sein — nicht am Ende der Analyse.
Das tatsächliche Problem
Der Vorfall ist da. Die IT prüft noch. Die Geschäftsführung fragt: „Müssen wir melden?" Niemand kann es in diesem Moment verbindlich entscheiden — und die 24-Stunden-Frist läuft.
Das ist kein Ausnahmefall. Die meisten Unternehmen verlieren im Sicherheitsvorfall wertvolle Zeit nicht durch fehlende Technik, sondern durch ungeklärte Zuständigkeiten und fehlende Entscheidungsgrundlagen. Diese Grundlage muss vor dem Vorfall existieren.
Ermittlung eines nach der NIS2-Richtlinie meldepflichtigen Vorfalls in 3 Schritten
Die Meldepflicht nach §32 BSIG entsteht nicht automatisch. Sie ergibt sich aus der strukturierten Prüfung dreier Kriterien — in der nachstehenden Reihenfolge.
Liegt ein Sicherheitsvorfall vor?
Ist die Auswirkung erheblich?
Erheblich ist ein Vorfall, wenn mindestens einer der folgenden Punkte zutrifft:
Haben wir Kenntnis erlangt?
Der Zeitpunkt der Kenntniserlangung startet die 24-Stunden-Uhr — nicht der Zeitpunkt der Behebung, nicht der Abschluss der Analyse.
Erheblicher, meldepflichtiger Vorfall im Sinne von §32 BSIG. 24-Stunden-Frist läuft ab Kenntniserlangung. Incident Owner einbeziehen, Meldeprozess einleiten, Zeitstempel sichern.
Kein erheblicher Vorfall im Sinne von §32 BSIG. Vorgang intern dokumentieren, Lage weiter beobachten. Einordnung bei veränderten Erkenntnissen neu vornehmen.
Die Fristen sind die Folge — nicht der Startpunkt
Sobald alle drei Kriterien erfüllt sind, laufen die Fristen ab Kenntniserlangung — unabhängig von Analyse-Stand oder Behebung.
Eine verspätete oder fehlende Meldung ist nach §65 BSIG ein eigenständiger Bußgeldtatbestand — unabhängig vom Ausgang des Vorfalls und unabhängig von etwaigen Bußgeldern wegen fehlender Registrierung oder Maßnahmen.
Wer entscheidet, wer meldet — und wer gibt frei?
Diese Fragen müssen vor dem Eintritt eines Vorfalls geklärt und dokumentiert sein. Sind die Zuständigkeiten offen, wird die Meldung zur Abstimmungsschleife — und die Frist läuft weiter. Drei Rollen sind zwingend vorab zu benennen:
Wenn die Einordnung getroffen ist, muss sie dokumentiert werden.
Einordnung, Zeitstempel, GF-Kenntnisnahme, Meldepfad und Abschlussnachweis — das sind keine unabhängigen Schritte. Sie folgen einem strukturierten Protokoll und Ablauf, der Sie zum belastbaren Nachweis der Pflichterfüllung führt.
Wer dieses Protokoll im Regal hat, bevor der Vorfall eintritt, handelt im Ernstfall in Minuten statt in Stunden.
Diese Entscheidung muss dokumentiert sein — sonst ist sie im Nachhinein nicht nachweisbar.
Wenn Sie die Einordnung im Vorfall treffen müssen, brauchen Sie ein vorbereitetes Protokoll. Entscheidung, Zeitstempel, GF-Kenntnisnahme und Meldepfad folgen einer festgelegten Struktur — die Sie jetzt einrichten, nicht im Ernstfall.
Wer Incident Response, GF-Freigabe und Meldepfad in einer strukturierten Arbeitsumgebung führen möchte: NIS2-Einordnung vornehmen.