Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) steigt die Zahl der betroffenen deutschen Unternehmen auf rund 29 000. Die Meldepflichten bei Sicherheitsvorfällen sind dabei das schärfste Instrument: Wer nicht innerhalb von 24 Stunden reagiert, riskiert Bußgelder. Unabhängig davon, ob der Vorfall noch andauert.
NIS2 ist kein reines IT-Gesetz. Es ist ein Compliance-Rahmen mit verbindlichen Fristen, persönlicher Managementhaftung und klaren Konsequenzen bei Verletzung der Meldepflichten. Dieser Leitfaden erklärt, welche Unternehmen betroffen sind, wie die dreistufige Meldekette funktioniert und was bei einem Vorfall am Freitagabend zu tun ist.
Verbindung zur DSGVO: NIS2 und DSGVO erzeugen parallele Meldepflichten. Ein Ransomware-Angriff muss an das BSI (NIS2, binnen 24 Stunden) und an die Datenschutzbehörde (DSGVO, binnen 72 Stunden) gemeldet werden. Wer beide Regime gemeinsam aufbaut, spart rund 30 % Doppelarbeit.
Wer ist in Deutschland betroffen?
Das NIS2UmsuCG unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Wesentliche Einrichtungen: mehr als 250 Mitarbeitende ODER mehr als 50 Mio. Euro Jahresumsatz in einem der sieben hochkritischen Sektoren (Energie, Transport, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, digitale Infrastruktur). Wichtige Einrichtungen: 50 bis 250 Mitarbeitende ODER 10 bis 50 Mio. Euro Jahresumsatz in einem der 18 NIS2-Sektoren.
Auch Unternehmen, die nicht direkt die Schwellenwerte erreichen, können indirekt betroffen sein. Nämlich als Lieferanten oder IT-Dienstleister betroffener Einrichtungen. Das BSI kann sie über sogenannte Durchreichklauseln verpflichten.
Schritt 01 · Vorfallsdefinition
Was gilt als erheblicher Sicherheitsvorfall?
Das NIS2UmsuCG definiert vier Kriterien für einen meldepflichtigen Vorfall. Erheblich ist ein Vorfall, wenn er eine schwerwiegende Betriebsunterbrechung verursacht, erhebliche finanzielle Verluste nach sich zieht, andere Personen oder Einrichtungen durch physische oder immaterielle Schäden betrifft oder wenn er durch einen Cyberangriff ausgelöst wurde, der ein System kompromittiert hat.
In der Praxis gilt: Ransomware, DDoS-Angriffe mit Diensteausfall, erfolgreiche Phishing-Angriffe mit Datenzugriff und Systemausfälle, die kritische Dienstleistungen unterbrechen, sind stets meldepflichtig.
Schritt 02 · Meldepflichten
Die dreistufige Meldekette aufbauen
Das NIS2UmsuCG schreibt drei Stufen vor. Stufe 1: Frühwarnung binnen 24 Stunden an das BSI. Inhalt: Art und Zeitpunkt des Vorfalls, erste Auswirkungsabschätzung, ob ein Cyberangriff vorliegt. Stufe 2: Vorfallmeldung binnen 72 Stunden: vollständige Beschreibung, betroffene Systeme, Schwere und Auswirkungen sowie erste Gegenmaßnahmen. Stufe 3: Abschlussbericht nach spätestens einem Monat: vollständige Ursachenanalyse, ergriffene Maßnahmen und Empfehlungen zur Prävention.
Wichtig: Die 24-Stunden-Frist beginnt, sobald die Einrichtung Kenntnis vom Vorfall erlangt. Nicht erst beim nächsten Arbeitstag. Ein Vorfall am Freitagabend um 20 Uhr muss bis Samstagabend um 20 Uhr erstgemeldet sein.
Fristbeginn: Die Uhr läuft ab dem Moment der Kenntnisnahme. Nicht ab dem nächsten Montag. Stellen Sie sicher, dass Ihr IT-Monitoring und Ihre Notfallkontakte auch am Wochenende und nachts erreichbar sind. Eine verspätete Erstmeldung ist unabhängig vom Ausgang des Vorfalls bußgeldbewehrt.
Schritt 03 · BSI-Meldeplattform
BSI-Meldeplattform einrichten und testen
Das BSI stellt unter meldeplattform.bsi.bund.de eine dedizierte Plattform für NIS2-Meldungen bereit. Betroffene Einrichtungen müssen sich dort registrieren, bevor ein Vorfall eintritt. Die Registrierung umfasst Unternehmensname und Rechtsform, Sektor und Kategorie (wesentlich oder wichtig), Kontaktperson für Sicherheitsmeldungen mit 24/7-Erreichbarkeit sowie aktuelle IT-Kontaktinformationen.
Empfehlung: Legen Sie die Meldeplattform als Lesezeichen auf dem Notfall-Laptop an. Testen Sie mindestens einmal jährlich den Anmeldevorgang und prüfen Sie, ob die hinterlegte Kontaktperson noch korrekt ist.
Schritt 04 · Managementhaftung
Geschäftsführerhaftung dokumentieren
Art. 20 NIS2 und § 38 NIS2UmsuCG verpflichten Geschäftsführer und Vorstände persönlich zur Überwachung der NIS2-Umsetzung. Bei einem Verstoß prüft das BSI, ob die Geschäftsleitung ihrer Aufsichtspflicht nachgekommen ist. Im Bußgeldverfahren ist die dokumentierte Schulung der zentrale Entlastungsbeweis.
Mindeststandard: jährliche, schriftlich dokumentierte NIS2-Schulung für die gesamte Geschäftsleitung. Teilnahme protokollieren. Die Schulungsdokumentation muss mindestens fünf Jahre aufbewahrt werden.
Schritt 05 · Lieferkette
Lieferkettenpflichten gegenüber IT-Dienstleistern umsetzen
NIS2 verlangt, dass betroffene Einrichtungen auch die Sicherheit ihrer Lieferkette gewährleisten. IT-Dienstleister, Cloud-Anbieter und Software-Lieferanten müssen vertraglich zur Einhaltung von Mindestsicherheitsstandards verpflichtet werden. Analog zum Auftragsverarbeitungsvertrag nach DSGVO, nur aus Cybersicherheitsperspektive.
Mindestinhalte des NIS2-Lieferantenvertrags: Meldepflicht des Lieferanten bei Sicherheitsvorfällen binnen 24 Stunden, Audit- und Inspektionsrecht, Anforderungen an Patch-Management und Zugangskontrolle, Subunternehmer-Klausel sowie Nachweis von Sicherheitszertifizierungen (ISO 27001 oder BSI-Grundschutz empfohlen).
NIS2 und DSGVO: Parallele Meldewege
Die DSGVO schützt personenbezogene Daten. NIS2 schützt die Verfügbarkeit und Integrität kritischer Dienste. Ein Ransomware-Angriff, der Patientendaten verschlüsselt, ist gleichzeitig ein DSGVO-Vorfall (72 Stunden an den Landesdatenschutzbeauftragten) und ein NIS2-Vorfall (24 Stunden an das BSI). Mit unterschiedlichen Fristen und unterschiedlichen Meldeinhalten.
Wer beide Regime in einem integrierten Sicherheitsmanagement zusammenführt, vermeidet Doppelmeldungen, spart rund 30 % Aufwand und reduziert das Risiko von Fristenkollisionen. ISO 27001 deckt dabei rund 80 % beider Anforderungsrahmen ab.
NIS2-Meldepflichten sind kein IT-Problem. Sie sind eine Führungsaufgabe. Wer am Montagmorgen aufwacht und seinen Freitag-Vorfall erstmeldet, hat bereits versäumt. Aus der Beratungspraxis
Checkliste: Was jetzt zu tun ist
Sieben Fragen entscheiden über NIS2-Betroffenheit und Handlungsbedarf: Sektor, Größe, Lieferantenstatus, BSI-Registrierung, Meldekette, Schulungsnachweis und Lieferantenverträge. Wer auch nur eine dieser Fragen mit Handlungsbedarf beantwortet, sollte innerhalb von acht Wochen die Grundstruktur aufgebaut haben.
Im ersten Strategiegespräch prüfen wir, ob das NIS2UmsuCG für Ihr Unternehmen verbindlich ist, welche Pflichten konkret greifen und wie sich NIS2-Compliance und DSGVO-Compliance sinnvoll kombinieren lassen. Für Unternehmen mit beiden Projekten reduziert sich der Gesamtaufwand um rund 30 %.
