NIS-2-Meldefristen erklärt: 24 Stunden, 72 Stunden, 1 Monat
Die Beherrschung von Sicherheitsvorfällen ist ein Kernaspekt der NIS-2-Richtlinie. Eine der größten Herausforderungen für Unternehmen sind die extrem straffen Meldefristen. Wer hier zu spät reagiert, riskiert empfindliche Sanktionen.
Ahmet Izler
Cybersecurity Consultant
Das 3-Stufen-Modell der Meldepflicht
Bei einem erheblichen Sicherheitsvorfall sieht NIS-2 ein gestuftes Meldeverfahren vor, um die Behörden (in Deutschland das BSI) frühzeitig zu informieren:
1. Die Frühwarnung (innerhalb von 24 Stunden)
Unverzüglich, spätestens 24 Stunden nach Kenntnisnahme. Hier muss gemeldet werden, ob der Vorfall vermutlich auf rechtswidrige Handlungen zurückzuführen ist und ob er grenzüberschreitende Auswirkungen haben könnte.
2. Die Meldung (innerhalb von 72 Stunden)
Innerhalb von 72 Stunden muss eine ausführlichere Meldung erfolgen. Diese beinhaltet eine erste Bewertung des Vorfalls, einschließlich Schweregrad, Auswirkungen sowie der Indikatoren für eine Beeinträchtigung.
3. Der Abschlussbericht (nach 1 Monat)
Spätestens einen Monat nach der ersten Meldung ist ein ausführlicher Abschlussbericht fällig. Dieser muss eine detaillierte Beschreibung des Vorfalls, die Ursache, die ergriffenen Abhilfemaßnahmen und die grenzüberschreitenden Auswirkungen enthalten.
Wann gilt ein Vorfall als erheblich?
Ein Vorfall ist nach NIS-2 dann erheblich, wenn:
- Er eine schwerwiegende Störung der Dienste oder der Tätigkeit des Unternehmens verursacht hat oder verursachen kann.
- Er andere natürliche oder juristische Personen durch beträchtliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Vorbereitung ist alles
24 Stunden sind extrem kurz. In einer Krisensituation bleibt keine Zeit, um Zuständigkeiten zu klären oder Formulare zu suchen. Unternehmen benötigen:
- Einen Incident Response Plan: Klare Abläufe und Kommunikationswege.
- Automatisierte Detektion: Tools, die Angriffe sofort erkennen (wie SecureLogical).
- Regelmäßige Übungen: Das Team muss wissen, was im Ernstfall zu tun ist.
