NIS2 Meldepflicht 24 Stunden: Diese Schritte bereiten Sie vor

Ein verschlüsselter Server am Freitagabend, ein kompromittiertes Postfach, ein Datenabfluss, den niemand sofort einordnen kann: In solchen Momenten bleibt wenig Zeit zum Nachdenken. Wer unter die NIS2-Regeln fällt, muss zusätzlich damit rechnen, dass für erhebliche Sicherheitsvorfälle eine Meldung an die zuständige Stelle verlangt wird. Die NIS2 Meldepflicht 24 Stunden bedeutet: Nach Kenntnis eines erheblichen Sicherheitsvorfalls ist innerhalb eines Tages eine erste Meldung nötig. Ohne Vorbereitung können fehlende Zuständigkeiten, Zugänge oder Informationen die fristgerechte Meldung erschweren, besonders in einem Unternehmen ohne eigene IT-Abteilung. Dieser Beitrag zeigt, was Sie vorab klären können.

Was die NIS2 Meldepflicht 24 Stunden bedeutet

NIS2 ist die europäische Richtlinie zur Cybersicherheit, die in Deutschland über nationale Gesetzgebung umgesetzt wird. Für betroffene Einrichtungen sieht sie ein gestuftes Meldeverfahren vor:

1. Frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls.
2. Weitere Meldung mit einer ersten Bewertung des Vorfalls innerhalb von 72 Stunden.
3. Abschlussbericht grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung.

Diese Stufen entsprechen der Systematik der Richtlinie. Prüfen Sie die genauen Fristen, Inhalte und Meldewege anhand der in Deutschland geltenden Gesetzesfassung und der Hinweise des Bundesamts für Sicherheit in der Informationstechnik (BSI), das in Deutschland die zentrale Stelle ist. Auch die Frage, welche Vorfälle als erheblich gelten, sollten Sie dort klären. Wir bieten hier bewusst keine Rechtsberatung, sondern die praktische Seite: Wie sind Sie organisatorisch und technisch so aufgestellt, dass Sie die Frist überhaupt einhalten können?

Wichtig ist die Rechenlogik: Entscheidend ist der Zeitpunkt, an dem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erhalten, nicht der Zeitpunkt, an dem er begonnen hat. Wer Auffälligkeiten erst nach Tagen bemerkt, hat ein anderes Problem als die Frist, nämlich die fehlende Erkennung.

Schritt 1: Betroffenheit und Zuständigkeit klären

Bevor Sie einen Meldeprozess aufbauen, sollten Sie wissen, ob Ihr Unternehmen überhaupt unter NIS2 fällt. Das hängt unter anderem von Branche, Größe und Tätigkeit ab, und auch Zulieferer können indirekt betroffen sein, etwa wenn Auftraggeber Sicherheitsanforderungen weitergeben. Einen Überblick über Betroffenheit, Pflichten und Haftung der Geschäftsleitung finden Sie auf unserer Seite zu NIS2. Selbst wenn Sie nicht direkt betroffen sind, kann sich ein Meldeprozess lohnen: Bei Datenschutzvorfällen oder gegenüber Cyberversicherern und Kunden können kurze Reaktionszeiten wichtig sein.

Schritt 2: Vorfälle überhaupt erkennen

Melden kann nur, wer einen Vorfall bemerkt. Prüfen Sie deshalb, welche Signale bei Ihnen überhaupt jemand sieht:

• Wer erhält Warnungen von Firewall, Virenschutz und Endgeräteschutz?
• Wird außerhalb der Geschäftszeiten jemand alarmiert?
• Gibt es Protokolle (Logs) von Servern, Microsoft 365 und Firewall, und wie lange werden sie aufbewahrt?
• Wissen Mitarbeitende, wie sie verdächtige E-Mails oder Verhalten am Rechner intern melden?

Eine überwachte Sicherheitsumgebung kann das Risiko senken, einen Vorfall zu spät zu bemerken. Dazu gehören zum Beispiel Firewall, Endgeräteschutz und ein Security Operations Center (SOC), wie wir es mit Sophos betreuen. Eine Garantie, dass jeder Angriff sofort auffällt, kann es allerdings nicht geben. Umso wichtiger sind klare Abläufe für den Fall, dass ein Hinweis ankommt.

Schritt 3: Rollen und Entscheidungswege festlegen

In den ersten Stunden eines Vorfalls kann es zu Verzögerungen kommen, wenn niemand weiß, wer entscheiden darf. Legen Sie schriftlich fest:

1. Verantwortliche Person für den Vorfall (mit Vertretung), die die Koordination übernimmt.
2. Entscheider in der Geschäftsleitung, die über Meldung, Abschaltung von Systemen und Kommunikation entscheidet.
3. Technischer Ansprechpartner, intern oder beim IT-Dienstleister, mit klarer Erreichbarkeit, auch am Wochenende, soweit vertraglich vereinbart.
4. Meldeverantwortlicher, der die Informationen sammelt und die Erstmeldung vorbereitet.
5. Weitere Stellen, die möglicherweise informiert werden müssen, etwa Datenschutzbeauftragte, Cyberversicherung, Rechtsberatung oder Aufsichtsbehörden.

Halten Sie Telefonnummern so fest, dass sie auch dann zugänglich sind, wenn E-Mail und Server ausfallen, zum Beispiel als Ausdruck oder auf privaten Mobilgeräten der Verantwortlichen.

Schritt 4: Meldeinformationen vorab zusammenstellen

Für eine Erstmeldung brauchen Sie keinen vollständigen Forensikbericht, aber einen ersten Überblick. Bereiten Sie eine Vorlage vor, in der Sie im Ernstfall nur noch ergänzen müssen. Sinnvoll sind unter anderem:

• Kontaktdaten des Unternehmens und der Ansprechpersonen
• Zeitpunkt, an dem der Vorfall bemerkt wurde, und womöglich der Beginn
• Betroffene Systeme, Standorte und Dienste
• Vermutete Ursache, soweit bekannt (zum Beispiel Schadsoftware, Phishing, Fehlkonfiguration), und ausdrücklich als vorläufig gekennzeichnet
• Bekannte Auswirkungen, etwa Ausfall, Datenabfluss oder Verschlüsselung
• Bereits eingeleitete Maßnahmen
• Hinweise, ob eine Auswirkung auf andere Unternehmen oder Länder möglich ist

Welche Angaben die zuständige Stelle konkret verlangt, entnehmen Sie den offiziellen Vorgaben. Prüfen Sie außerdem vorab, wie Sie sich für den Meldeweg registrieren oder anmelden und wer die Zugangsdaten verwaltet. Ein Zugang, der erst im Vorfall beantragt werden muss, kostet Zeit.

Schritt 5: Technische Grundlagen sichern

Damit Sie schnell Auskunft geben können, brauchen Sie ein aktuelles Bild Ihrer IT. Dazu gehören ein Inventar der Systeme, ein Netzplan, eine Übersicht der Cloud-Dienste und die Information, wo besonders schützenswerte Daten liegen. Zusätzlich sollten Backups getestet und von Produktivsystemen getrennt sein. Das kann das Risiko senken, dass die Wiederherstellung vom Angriff mit erfasst wird. Wie ein tragfähiges Konzept aussieht, beschreiben wir unter Backup & Disaster Recovery.

Schritt 6: Den Ernstfall üben

Ein Meldeprozess, der nie getestet wurde, kann Lücken haben, die erst im Vorfall sichtbar werden. Planen Sie eine Übung von etwa ein bis zwei Stunden: Stellen Sie sich ein Szenario vor, etwa verschlüsselte Fileserver oder ein übernommenes Microsoft-365-Konto, und gehen Sie die Schritte durch. Wer erfährt es zuerst? Wer entscheidet? Wo liegt die Meldevorlage? Notieren Sie, was gefehlt hat, und passen Sie den Plan an. Wiederholen Sie die Übung in sinnvollen Abständen und nach größeren Änderungen an der IT.

Checkliste: Das sollten Sie vorbereitet haben

• Betroffenheit durch NIS2 geprüft und dokumentiert
• Verantwortliche und Vertretungen benannt
• Erreichbarkeit der Beteiligten auch außerhalb der Geschäftszeiten geklärt
• Erkennung und Alarmierung (Firewall, Endgeräteschutz, Logs) geprüft
• Vorlage für die Erstmeldung angelegt
• Zugang zum Meldeweg geklärt
• Kontaktliste und Notfallplan offline verfügbar
• Backups getestet und getrennt gesichert
• Übung durchgeführt und Ergebnisse festgehalten

Häufige Fragen

Gilt die Frist ab dem Beginn des Angriffs?

Nach der Logik der Richtlinie kommt es auf den Zeitpunkt an, zu dem Sie von dem erheblichen Sicherheitsvorfall Kenntnis erhalten. Dokumentieren Sie deshalb sauber, wann und wie der Vorfall bemerkt wurde. Die genaue Auslegung im Einzelfall sollten Sie rechtlich prüfen lassen.

Muss ich in 24 Stunden alles geklärt haben?

Nein. Die frühe Meldung dient dazu, die zuständige Stelle zeitnah zu informieren. Details und Ursachenanalyse folgen in den späteren Meldungen. Trotzdem brauchen Sie in der ersten Phase belastbare Eckdaten, und deshalb sind Vorbereitung und Vorlagen wichtig.

Kann mein IT-Dienstleister die Meldung für mich übernehmen?

Ein IT-Dienstleister kann technische Informationen liefern, den Vorfall eingrenzen und bei der Vorbereitung helfen. Die Verantwortung für die Meldung liegt jedoch beim betroffenen Unternehmen und seiner Geschäftsleitung. Welche Unterstützung im Vorfall enthalten ist, hängt vom jeweiligen Vertrag ab.

Ist ein Datenschutzvorfall dasselbe wie ein NIS2-Vorfall?

Nein, die Pflichten können nebeneinander bestehen. Ein Vorfall kann sowohl eine Meldung nach NIS2 als auch eine Meldung nach Datenschutzrecht auslösen, muss es aber nicht. Welche Pflichten greifen, hängt von Tätigkeit, Rechtsrolle und den konkreten Umständen ab. Binden Sie dafür frühzeitig Ihre Datenschutzbeauftragten oder Ihre Rechtsberatung ein.

So unterstützen wir Sie in Münster und im Münsterland

Wir von der comgie IT helfen Unternehmen in Münster und im Münsterland, ihre IT so aufzustellen, dass im Sicherheitsvorfall eine koordinierte Reaktion möglich wird: von der Bestandsaufnahme über Erkennung und Backup bis zum abgestimmten Notfallablauf. Als Einstieg können Sie den kostenlosen IT-Sicherheits- und NIS2-Check nutzen: Der Selbsttest dauert etwa vier Minuten und liefert eine Ampel mit Bericht. Wenn Sie anschließend klären möchten, wo bei Ihnen Handlungsbedarf besteht, buchen Sie gern einen Online-Termin für ein Erstgespräch.