¶ Melderegister und Fristenkontrolle
Muster und Arbeitsgrundlage: Diese Seite enthält ein leeres Steuerungsmodell sowie ausschließlich erfundene Beispieldaten. Sie bestätigt weder die NIS2-Betroffenheit einer Organisation noch einen realen Sicherheitsvorfall oder eine erfolgte Behördenmeldung.
Wichtige Schutzregel: Das Melderegister im Wiki ist eine Steuerungsübersicht. Forensische Rohdaten, Zugangsdaten, Schwachstellendetails, personenbezogene Daten, Kommunikationsinhalte und vertrauliche Behördenunterlagen gehören in die geschützte Vorfallsakte. Im Register stehen nur erforderliche Metadaten und kontrollierte Ablagereferenzen.
Keine automatische Rechtsentscheidung: Der Fristenassistent rechnet Zeitpunkte. Er bewertet weder die Erheblichkeit eines Vorfalls noch die zuständige Meldestelle und übermittelt keine Daten. Diese Entscheidungen werden fachlich und rechtlich geprüft, dokumentiert und freigegeben.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-REG-06-06 |
| Dokumentenart | Verfahrens-, Register- und Kontrollseite |
| Wiki.js-Pfad | /NIS2/06-Vorfaelle-und-Meldepflichten/Melderegister-und-Fristenkontrolle |
| Verantwortlich | Incident-Management sowie festzulegende NIS2-/Compliance-Koordination |
| Mitwirkend | Informationssicherheit, Recht/Compliance, Datenschutz, IT/OT, Kommunikation und betroffene Dienstverantwortung |
| Fachlich geprüft durch | Recht/Compliance und Informationssicherheitsfunktion – ausstehend |
| Freigabe durch | Geschäftsführung – ausstehend |
| Status | Entwurf – Musterregister; keine reale Meldung dokumentiert |
| Version / Stand | 0.1 / 09.08.2026 |
| Gültig ab | Nach organisationsbezogener Prüfung, Anpassung und Freigabe |
| Nächste Prüfung | Mindestens jährlich, nach Übungen, Änderungen des Meldewegs und jedem erheblichen Sicherheitsvorfall |
| Schutzklasse | Register intern; Vorfallsakte und Originalmeldungen vertraulich bis streng vertraulich |
| Rechtsbezug | § 2 Nummer 11 und 40, § 32 BSIG sowie Artikel 23 NIS-2-Richtlinie |
| Schnittstellen | Incident Response, Datenschutzverletzungen, BCM, Krisenkommunikation, Lieferantensteuerung und Nachweismanagement |
Die Grafik trennt Kenntniserlangung, Meldestufen und Abschluss. Zum Vergrößern in einem neuen Tab öffnen.
¶ 1. Zweck und erwartetes Ergebnis
Das Verfahren soll sicherstellen, dass ein möglicher erheblicher Sicherheitsvorfall nicht zwischen Technik, Geschäftsleitung, Recht und Behördenkommunikation verloren geht. Es schafft eine gemeinsame Zeit- und Entscheidungsachse, ohne die geschützte Vorfallsakte zu duplizieren.
Am Ende eines Vorgangs müssen mindestens folgende Ergebnisse nachvollziehbar sein:
| Ergebnis | Kontrollfrage | Führender Nachweis |
|---|---|---|
| Ereignis eindeutig identifiziert | Welcher Fall wird mit welcher ID geführt? | Vorfalls-ID und Aktenreferenz |
| Kenntniserlangung bestimmt | Wann lagen der Organisation genügend belastbare Tatsachen vor? | Zeitstempel, Quelle und Begründung |
| Erheblichkeit entschieden | Warum war der Vorfall erheblich, nicht erheblich oder noch offen? | Entscheidungsvermerk mit Prüfkriterien |
| Fristen gesteuert | Welche gesetzliche und zusätzliche Frist galt, wer überwachte sie? | Fristenkontrolle und Eskalationsprotokoll |
| Meldungen nachgewiesen | Was wurde wann durch wen über welchen Kanal übermittelt? | Versandbestätigung und freigegebene Meldungsfassung |
| Folgeberichte verfolgt | Waren Zwischen-, Fortschritts- oder Abschlussinformationen erforderlich? | Behördenanfrage, Folgeauftrag und Termin |
| Parallelpflichten geprüft | Waren DSGVO-, Kunden-, Versicherer- oder Sektormeldungen betroffen? | getrennte Entscheidungen und Referenzen |
| Fall kontrolliert geschlossen | Sind Maßnahmen, Nachweise und Lessons Learned übergeben? | Abschlussfreigabe und Maßnahmenreferenzen |
¶ 2. Steuerungscockpit
Die operative Übersicht zeigt nicht nur „offen“ oder „geschlossen“, sondern die wenigen Zustände, die sofortiges Handeln verlangen.
Kenntniszeitpunkt fehlt, Frist gefährdet oder Owner nicht erreichbar.
Erheblichkeit, Zuständigkeit oder Meldeinhalt noch nicht freigegeben.
24-/72-Stunden- oder Folgebericht terminiert und aktiv überwacht.
Versand bestätigt, Folgeauftrag geklärt und Original geschützt abgelegt.
Für die tägliche Lagebesprechung werden mindestens diese Kennzahlen angezeigt: Fälle ohne Incident Owner, Fälle ohne dokumentierte Kenntniserlangung, nächste 24-/72-Stunden-Frist, überfällige Freigaben, offene Behördenrückfragen und fällige Abschluss- beziehungsweise Fortschrittsmeldungen.
¶ 3. Meldekette als kontrollierter Ablauf
Fakten, Quelle, Zeit und dienstliche Auswirkung sichern.
§ 2 Nummer 11 BSIG anhand belegbarer Auswirkungen prüfen.
Frühe Erstmeldung unverzüglich, spätestens nach 24 Stunden.
Vorfallmeldung mit aktualisierter Bewertung und Indikatoren.
Behördenanforderung, Lageänderung und Fortschritt verfolgen.
Grundursache, Abhilfe, grenzüberschreitende Wirkung und Nachweise.
Jeder Übergang besitzt einen benannten Owner, einen Solltermin, ein Vier-Augen-Prinzip und einen Nachweis. Eine technische Störung darf den Entscheidungs- oder Meldeprozess nicht stoppen; dafür werden Ersatzkanal und Vertretung festgelegt.
¶ 4. Begriffe sauber trennen
| Begriff | Praktische Bedeutung | Registerfolge |
|---|---|---|
| Beinahevorfall | Beeinträchtigung wäre möglich gewesen, ist aber verhindert worden oder nicht eingetreten | erfassen, auswerten und Risiken verbessern; gesetzliche Meldepflicht separat prüfen |
| Sicherheitsereignis | organisationsinterner Sammelbegriff für eine Beobachtung oder Warnung | triagieren; noch keine Aussage zur Rechtsqualität |
| Sicherheitsvorfall | Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder bereitgestellten Diensten wurde beeinträchtigt | Incident-Verfahren und Erheblichkeitsprüfung starten |
| Erheblicher Sicherheitsvorfall | schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder möglich; alternativ erhebliche materielle oder immaterielle Schäden für andere verursacht oder möglich | gestufte Meldung nach § 32 BSIG prüfen und steuern |
| Datenschutzverletzung | Verletzung des Schutzes personenbezogener Daten | eigenständige DSGVO-Prüfung und eigene Fristen |
| Krise/Notfall | Lage überschreitet definierte Betriebs- oder Führungsgrenzen | Krisen- und BCM-Verfahren aktivieren; NIS2-Prüfung bleibt bestehen |
Die Kategorien können sich überschneiden. Ein Ransomware-Vorfall kann gleichzeitig Sicherheitsvorfall, Datenschutzverletzung, Betriebsunterbrechung und vertraglich meldepflichtiges Ereignis sein. Eine positive oder negative Entscheidung in einem Regelwerk ersetzt keine andere Prüfung.
¶ 5. Wann beginnt die gesetzliche Frist?
§ 32 BSIG knüpft die 24- und 72-Stunden-Frist an die Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Deshalb müssen mehrere Zeitpunkte getrennt werden:
| Zeitstempel | Beispiel | Bedeutung |
|---|---|---|
| technischer Eintritt | Schadcode begann um 01:15 Uhr | kann erst später feststehen; nicht automatisch Fristbeginn |
| erste technische Erkennung | Alarm um 06:42 Uhr | kann ein Verdacht ohne belastbare Auswirkungen sein |
| interne Weitergabe | Service Desk informiert Incident Team um 07:05 Uhr | wichtig für interne Reaktionszeiten |
| dokumentierte Kenntniserlangung | Lagebild um 08:20 Uhr bestätigt erheblichen Dienstausfall | maßgeblicher, zu begründender Ausgangspunkt der gesetzlichen Zeitrechnung |
| Leitungsinformation | Geschäftsleitung um 08:35 Uhr informiert | darf die Frist nicht künstlich verschieben |
| tatsächlicher Versand | Meldung um 14:10 Uhr übermittelt | Ausgangspunkt für Versandnachweis und grundsätzlich für die Monatsfrist der Abschlussmeldung |
Der Kenntniszeitpunkt wird nicht taktisch gewählt. Incident Owner und Rechts-/NIS2-Funktion dokumentieren, welche Tatsachen wann vorlagen und warum daraus die Kenntnis eines erheblichen Sicherheitsvorfalls abgeleitet wurde. Bei Unsicherheit wird früh eskaliert; fehlende Detailinformationen sind kein Grund, die erste Meldestufe bis zur vollständigen Forensik zurückzuhalten.
¶ 6. Erheblichkeit entscheiden
Die Entscheidung orientiert sich an den gesetzlichen Kriterien und an organisationsspezifischen Schwellen, die vor einem Vorfall genehmigt wurden.
| Prüfbereich | Leitfragen | Belege |
|---|---|---|
| Betriebsstörung | Welcher relevante Dienst ist beeinträchtigt? Wie lange, wie breit und mit welchem Wiederanlaufziel? | Monitoring, Servicebericht, BIA, Kundenwirkung |
| Finanzielle Wirkung | Sind unmittelbare oder plausible erhebliche Verluste entstanden? | Ausfallkosten, Vertragsfolgen, Wiederherstellungskosten |
| Wirkung auf andere | Können Kunden, Bürger, Lieferanten oder andere Rechtsträger erheblich materiell oder immateriell geschädigt werden? | Betroffenenzahl, Abhängigkeiten, Schadensszenario |
| Sicherheitswirkung | Welche Verfügbarkeit, Integrität oder Vertraulichkeit ist betroffen? | technische Analyse, Daten- und Systembezug |
| Kaskadenwirkung | Entstehen Folgen in Lieferketten, verbundenen Unternehmen oder kritischen Diensten? | Abhängigkeitskarte, Providerinformationen |
| Unsicherheit | Welche Fakten fehlen und bis wann werden sie nachgeliefert? | Ermittlungsauftrag und nächste Entscheidung |
Das Ergebnis lautet nicht nur „ja“ oder „nein“. Zulässige Arbeitszustände sind Prüfung läuft, erheblich, nicht erheblich und neue Bewertung erforderlich. Für jede Entscheidung werden Kriterien, Faktenbasis, Entscheider und Zeitpunkt protokolliert.
Prüfhilfe A – Kenntniserlangung dokumentieren
- Welche Quelle meldete welches Ereignis?
- Wann wurde die Information technisch empfangen und wann durch eine zuständige Person bewertet?
- Welche Auswirkungen waren zu diesem Zeitpunkt bestätigt oder plausibel?
- Wann war erkennbar, dass ein erheblicher Sicherheitsvorfall vorliegt oder vorliegen kann?
- Wer bestätigte diesen Zeitpunkt, und welche Belege liegen zugrunde?
- Welche Unsicherheiten bestanden weiter?
Ein später bekannt gewordener Eintrittszeitpunkt wird ergänzt, überschreibt aber nicht den ursprünglich dokumentierten Kenntnis- und Entscheidungsverlauf.
¶ 7. Gesetzliche Meldestufen und Fristen
| Meldestufe | Fristbezug | Mindestziel im Verfahren | Registerstatus |
|---|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntniserlangung | erste Einordnung einschließlich Verdacht auf rechtswidrige oder böswillige Handlung und möglicher grenzüberschreitender Wirkung | 24h offen, in Freigabe, gesendet |
| Vorfallmeldung | unverzüglich, spätestens 72 Stunden nach Kenntniserlangung | Aktualisierung, erste Bewertung von Schwere und Auswirkungen sowie verfügbare Kompromittierungsindikatoren | 72h offen, in Freigabe, gesendet |
| Zwischenbericht | auf Ersuchen des BSI | relevante Statusinformationen innerhalb der gesetzten Frist | angefordert, in Bearbeitung, gesendet |
| Abschlussmeldung | grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen | Abschluss offen, gesendet |
| Fortschrittsmeldung | wenn der Vorfall zum Monatszeitpunkt noch andauert | Lage und Fortschritt statt eines unzutreffenden Abschlusses | Fortschritt offen, danach neuer Abschlusstermin |
Die gesetzlichen Angaben werden gegen die im Meldeportal tatsächlich geforderten Felder geprüft. Interne Vorlagen dürfen das Portal nicht veralten lassen. Eine Meldung wird so früh wie möglich belastbar vorbereitet; „spätestens“ ist kein geplanter Versandzeitpunkt.
¶ 8. Interaktiver Fristenassistent
¶ 24-, 72-Stunden- und Monatsfrist berechnen
Die Berechnung verwendet die lokale Zeitzone des Browsers. Dokumentieren Sie den maßgeblichen Zeitpunkt und den tatsächlichen Versand immer im freigegebenen Register.
¶ Rechnerische Orientierung
Kontrollhinweis: Interne Sicherheitsmargen, Behördenanforderungen, weitere Rechtsgrundlagen und die aktuelle Verfügbarkeit des vorgesehenen Meldekanals bleiben separat zu prüfen. Der Assistent speichert und versendet keine Eingaben.
Falls JavaScript deaktiviert ist, gilt folgende manuelle Orientierung:
| Berechnung | Rechenregel |
|---|---|
| frühe Erstmeldung | Kenntniserlangung + 24 Zeitstunden |
| Vorfallmeldung | Kenntniserlangung + 72 Zeitstunden |
| Abschlussmeldung | grundsätzlich tatsächliche Übermittlung der 72-Stunden-Meldung + ein Kalendermonat |
| Fortschrittsmeldung | zum errechneten Monatszeitpunkt, wenn der Vorfall noch andauert |
¶ 9. Interne Sicherheitsmargen
Die Organisation legt frühere interne Zielzeiten fest. Beispielwerte müssen an Erreichbarkeit, Vier-Augen-Prüfung und Technik angepasst werden:
| Interner Meilenstein | Beispielziel | Eskalation bei Gefahr |
|---|---|---|
| Incident Owner bestätigt | 30 Minuten nach interner Alarmierung | Vertretung und Incident Lead |
| Kenntnis- und Erheblichkeitsentscheidung | spätestens 2 Stunden nach belastbarer Lage | NIS2-Koordination und Geschäftsleitung |
| Entwurf frühe Erstmeldung | 8 Stunden nach Kenntniserlangung | Recht, Informationssicherheit und Kommunikation |
| Freigabe frühe Erstmeldung | 16 Stunden nach Kenntniserlangung | Geschäftsleitungsvertretung |
| Entwurf 72-Stunden-Meldung | 48 Stunden nach Kenntniserlangung | erweitertes Incident Team |
| Freigabe 72-Stunden-Meldung | 60 Stunden nach Kenntniserlangung | Geschäftsleitung / bevollmächtigte Rolle |
| Abschlussentwurf | 20 Kalendertage nach tatsächlicher 72-Stunden-Meldung | Maßnahmenowner und Rechtsfunktion |
Interne Zielzeiten sind Steuerungswerte, keine Änderung der gesetzlichen Frist. Wochenenden, Feiertage, Urlaub und Krankheit sind durch Bereitschaft und Vertretung abzudecken.
¶ 10. Mindestfelder des Melderegisters
| Feldgruppe | Pflichtfelder im Steuerungsregister |
|---|---|
| Identität | Vorfalls-ID, Kurztitel, Vertraulichkeitsstufe, Link zur geschützten Akte |
| Dienstebezug | relevante Dienste, Prozesse, Systeme, Standorte und Drittparteien |
| Zeitachse | Eintritt soweit bekannt, Erkennung, interne Meldung, Kenntniserlangung, jede Freigabe und Übermittlung |
| Bewertung | Status Sicherheitsvorfall, Erheblichkeit, Kriterien, Unsicherheiten und nächste Neubewertung |
| Verantwortung | Incident Owner, NIS2-Owner, Entscheider, Stellvertretung und meldende Person |
| Fristen | 24h-, 72h-, Zwischen-, Fortschritts- und Abschlussfrist; interner Solltermin; Ampel |
| Meldung | Kanal, Vorgangsnummer, Fassung, Freigabe, Versandbestätigung und Behördenrückmeldung |
| Parallelpflichten | DSGVO, Kunde/Vertrag, Versicherer, Strafverfolgung, Sektoraufsicht und Kommunikation |
| Abschluss | Ursache, Folgen, Abhilfe, offene Maßnahmen, Lessons Learned und Abschlussfreigabe |
Freitext wird begrenzt. Details werden in der geschützten Vorfallsakte geführt, sodass Zugriffsrechte, Löschung, Beweissicherung und Need-to-know-Prinzip kontrolliert bleiben.
¶ 11. Statusmodell und Ampellogik
| Ampel | Zustand | Verpflichtende Aktion |
|---|---|---|
| Rot | Frist überschritten, weniger als definierte Reserve, Owner fehlt oder Versand unbestätigt | sofortige Eskalation; Geschäftsleitung und Rechtsfunktion informieren |
| Gelb | Entscheidung oder Freigabe offen; Frist läuft | nächsten Schritt, Owner und Termin innerhalb der Lagebesprechung bestätigen |
| Blau | Meldung versandt, Folgeauftrag oder Abschluss läuft | Behördensichtung, Rückfragen und nächste Frist überwachen |
| Grün | Meldestufe nachgewiesen und alle Folgeaufgaben kontrolliert | Nachweis sichern; keine automatische Fallschließung |
| Grau | nicht anwendbar oder noch nicht ausgelöst | Begründung und Prüftermin dokumentieren |
Die Ampel ergibt sich aus Daten, nicht aus subjektivem Eindruck. Ein grüner 24-Stunden-Schritt kann neben einer roten 72-Stunden-Freigabe stehen.
¶ 12. Inhalt der frühen Erstmeldung
Die erste Meldestufe wird knapp, zutreffend und als vorläufig gekennzeichnet erstellt. Typische Arbeitsfelder sind:
| Inhalt | Qualitätsfrage |
|---|---|
| Identifikation der Einrichtung | Stimmen Rechtsträger, Registrierungs- und Kontaktdaten? |
| Vorfallsreferenz | Ist die interne ID eindeutig und ohne unnötige Geheimnisse? |
| Zeitangaben | Sind Eintritt, Entdeckung und Kenntniserlangung getrennt? |
| betroffener Dienst | Ist die tatsächliche oder mögliche Beeinträchtigung verständlich? |
| erste Wirkung | Was ist bestätigt, was nur vermutet? |
| vermutete Ursache | Gibt es Hinweise auf rechtswidrige oder böswillige Handlungen? |
| grenzüberschreitende Wirkung | Sind Dienste oder Empfänger in anderen Mitgliedstaaten möglicherweise betroffen? |
| Kontakt | Ist eine erreichbare und autorisierte Rückfrageperson angegeben? |
Prüfhilfe B – Freigabe der 24-Stunden-Meldung
- Kenntniszeitpunkt und Frist wurden durch eine zweite Person kontrolliert.
- Tatsachen, Annahmen und unbekannte Punkte sind sprachlich getrennt.
- Es wurden keine unnötigen Zugangsdaten, Exploitdetails oder personenbezogenen Daten aufgenommen.
- Dienstebezug und mögliche Auswirkungen sind erkennbar.
- Kontaktperson und Vertretung sind erreichbar.
- Versandkanal und Berechtigung wurden getestet.
- Nächste Aktualisierung und Owner der 72-Stunden-Meldung sind terminiert.
¶ 13. Inhalt der 72-Stunden-Vorfallmeldung
Die zweite Meldestufe aktualisiert die frühe Erstmeldung. Sie enthält eine erste belastbare Bewertung, darf aber offen benennen, dass die Untersuchung läuft.
| Bereich | Erwartete Information |
|---|---|
| Lageentwicklung | Änderungen seit der Erstmeldung und aktueller Status |
| Schweregrad | Ausmaß, Dauer, betroffene Dienste und Nutzer/Empfänger |
| Auswirkungen | betriebliche, finanzielle und mögliche Schäden für andere |
| technische Erkenntnisse | relevante, freigegebene Kompromittierungsindikatoren und Angriffsweg soweit bekannt |
| Maßnahmen | Eindämmung, Wiederherstellung, Schutz anderer und Wirksamkeitsstand |
| offene Punkte | Ermittlungsfragen, Abhängigkeiten und erwartete Nachlieferung |
| Folgebericht | Verantwortlicher, nächster Termin und Kommunikationsweg |
Eine Meldung ist erst gesendet, wenn die Übermittlung technisch bestätigt wurde. Ein Entwurf, Screenshot vor Absenden oder interner Freigabevermerk reicht nicht aus.
¶ 14. Zwischen-, Fortschritts- und Abschlussmeldung
| Bericht | Auslöser | Steuerungsregel |
|---|---|---|
| Zwischenbericht | ausdrückliches Ersuchen des BSI | Anfrage mit Eingang, Frist, Inhalt, Owner und Versand erfassen |
| Fortschrittsmeldung | Vorfall ist zum Monatszeitpunkt nicht abschließend bearbeitet | kein künstlicher Abschluss; Stand, Maßnahmen und nächste Planung transparent melden |
| Abschlussmeldung | Vorfall abschließend bearbeitet | ausführliche Beschreibung, Art der Bedrohung/Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen |
Nach einer Fortschrittsmeldung bleibt der Fall offen. Der spätere Abschluss wird neu terminiert, abgestimmt und nachgewiesen. Behördenrückfragen werden nicht nur in E-Mails einzelner Personen gehalten, sondern in der Vorfallsakte und Fristensteuerung referenziert.
Prüfhilfe C – Abschlussqualität
- Zeitlinie und Meldungsfassungen sind vollständig.
- Grundursache und beitragende Faktoren sind nachvollziehbar.
- Eindämmung, Wiederherstellung und dauerhafte Abhilfe werden unterschieden.
- Auswirkungen auf Dienste, Dritte und andere Mitgliedstaaten sind abschließend bewertet.
- Korrekturmaßnahmen besitzen Owner, Termin und Wirksamkeitsprüfung.
- Parallelverfahren sind abgeschlossen oder kontrolliert übergeben.
- Geschäftsleitung erhält eine entscheidungsfähige Zusammenfassung.
¶ 15. Rollen und Vier-Augen-Prinzip
| Rolle | Kernaufgabe | Darf nicht allein |
|---|---|---|
| Meldende Person / SOC / Service Desk | Ereignis erfassen, Belege sichern, eskalieren | Erheblichkeit endgültig verneinen |
| Incident Owner | Lage führen, Zeitachse und Maßnahmen koordinieren | Rechtsentscheidung ohne Fachprüfung treffen |
| NIS2-Koordination | §-32-Prozess, Register und Fristen steuern | technische Tatsachen ungeprüft verändern |
| Informationssicherheit | Sicherheitsbewertung, Indikatoren und Maßnahmen prüfen | personenbezogene Bewertung der DSGVO ersetzen |
| Recht/Compliance | Erheblichkeit, Zuständigkeit, Inhalt und Parallelpflichten prüfen | Fristbeginn bis zur vollständigen Gewissheit verschieben |
| Datenschutzfunktion | Datenschutzverletzung eigenständig prüfen | NIS2-Meldung automatisch aus DSGVO-Ergebnis ableiten |
| Geschäftsleitung / Bevollmächtigte | Eskalation, Ressourcen und definierte Freigaben | operative Untersuchung behindern oder Fakten beschönigen |
| Kommunikation | abgestimmte interne/externe Aussagen | Behördenmeldung durch Presseinformation ersetzen |
Vertretung, Erreichbarkeit und Meldeportal-Berechtigungen werden vorab getestet. Für Wochenenden und Feiertage gelten dieselben Verantwortungs- und Eskalationsregeln.
¶ 16. Parallelpflichten koordinieren
| Prüfpfad | Typischer Auslöser | Eigene Frist/Entscheidung | Führende Funktion |
|---|---|---|---|
| NIS2/BSIG | erheblicher Sicherheitsvorfall | § 32 BSIG; gestufte Meldung | NIS2-Koordination/Recht |
| DSGVO | Verletzung des Schutzes personenbezogener Daten | eigene Risikoprüfung und gegebenenfalls 72 Stunden | Datenschutz |
| Kunde/Vertrag | SLA-, Sicherheits- oder Informationspflicht | Vertragswortlaut und vereinbarter Kanal | Vertragsowner/Recht |
| Versicherer | versichertes Cyberereignis | Police, Obliegenheiten und Sofortkontakte | Versicherung/Recht |
| Strafverfolgung | Straftatverdacht und Beweissicherung | Lage- und Rechtsentscheidung | Recht/Geschäftsleitung |
| Sektoraufsicht | besondere gesetzliche Aufsicht | sektorspezifische Vorgabe | Regulatorik/Compliance |
| TISAX | Sicherheitsvorfall kann Nachweise, Kundenpflichten oder Assessment betreffen | keine pauschale eigenständige NIS2-Meldefrist | TISAX-/Kundenverantwortung |
Die Vorgänge erhalten gemeinsame Querverweise, behalten aber eigene Rechtsgrundlage, Inhalt, Empfänger, Freigabe und Versandnachweis.
¶ 17. Lieferanten- und Cloud-Vorfälle
Ein Vorfall bei einem unmittelbaren Anbieter kann eine eigene Meldepflicht der Einrichtung auslösen, wenn die relevanten Dienste der Einrichtung erheblich betroffen sind oder sein können. Deshalb verlangt der Incident-Prozess vom Provider zeitnahe und nutzbare Informationen.
| Benötigte Providerinformation | Verwendung |
|---|---|
| Beginn, Erkennung und Meldungszeit des Providers | eigene Zeitachse und Plausibilisierung |
| betroffene Mandanten, Dienste und Regionen | Scope und Auswirkungsanalyse |
| Verfügbarkeit, Integrität, Vertraulichkeit | Sicherheits- und Erheblichkeitsprüfung |
| Indikatoren und empfohlene Maßnahmen | Erkennung, Eindämmung und Schutz |
| Wiederherstellungsprognose | Dienstkontinuität und Kommunikation |
| Unterauftragnehmerbezug | Kaskaden- und Konzentrationsrisiko |
Der Provider entscheidet nicht über die Meldepflicht der eigenen Organisation. Die Verantwortungsgrenze ist im Lieferketten-Risikomanagement zu dokumentieren.
¶ 18. Übermittlung, Portal und Ersatzverfahren
Nach aktueller BSI-Information erfolgen NIS2-Registrierung und Sicherheitsvorfallmeldungen über das BSI-Portal. Betreiber kritischer Anlagen und Bundesbehörden sollen übergangsweise vorrangig das etablierte MIP nutzen; eine identische Meldung muss nicht doppelt eingereicht werden. Vor einem realen Versand werden Zielgruppe, aktueller Kanal und Portalhinweise erneut geprüft.
| Kontrolle | Sollzustand |
|---|---|
| Portalzugang | mindestens zwei autorisierte und regelmäßig überprüfte Konten |
| starke Authentisierung | organisationskonform eingerichtet und getestet |
| Berechtigung | meldende und freigebende Rollen dokumentiert |
| Erreichbarkeit | Zugang auch außerhalb normaler Arbeitszeit organisatorisch möglich |
| Versandnachweis | Vorgangsnummer, Zeit, Fassung und Bestätigung geschützt gespeichert |
| Ersatzkanal | aktuelle Behördenkontakt- und Eskalationsinformation offline verfügbar |
| Störung | Fehlversuche, Screenshots, Anruf/Alternative und Nachsendung protokolliert |
Eine Portalstörung stoppt weder interne Eskalation noch Beweissicherung. Das Team dokumentiert den Versuch, nutzt den freigegebenen Ersatzweg und übermittelt nach Wiederverfügbarkeit kontrolliert nach.
¶ 19. Datenschutz, Geheimhaltung und Datenminimierung
Meldungen enthalten nur die erforderlichen Informationen. Vor der Übermittlung werden insbesondere folgende Risiken geprüft:
- unnötige Namen, Kontaktdaten oder Kommunikationsinhalte;
- Zugangsdaten, Schlüssel, vollständige IP-Listen oder ausnutzbare Schwachstellendetails;
- Geschäftsgeheimnisse und Kundeninformationen ohne Meldeerfordernis;
- ungeprüfte Schuldzuweisungen oder Angaben zu Dritten;
- Klassifizierungs- und Übertragungsanforderungen der Behörde;
- Aufbewahrung und Zugriff auf Entwürfe, Originale und Versandbestätigungen.
Die Datenminimierung darf die gesetzlich erforderliche Lagebeschreibung nicht unbrauchbar machen. Bei Unsicherheit stimmen Recht, Informationssicherheit und Datenschutz eine sachgerechte Fassung ab.
¶ 20. Versionen und Korrekturen
| Artefakt | Benennung | Kontrollregel |
|---|---|---|
| frühe Erstmeldung | INC-YYYY-NNN_NIS2-24h_V1.0 |
versandte Fassung unveränderbar archivieren |
| 72-Stunden-Meldung | INC-YYYY-NNN_NIS2-72h_V1.0 |
Bezug auf Erstmeldung und Änderungen kennzeichnen |
| Zwischen-/Fortschrittsmeldung | INC-YYYY-NNN_NIS2-Folge_YYYYMMDD_V1.0 |
Behördenanfrage und Frist referenzieren |
| Abschlussmeldung | INC-YYYY-NNN_NIS2-Abschluss_V1.0 |
Abschlussfreigabe und Maßnahmenübergabe belegen |
| Korrektur | neue Version mit Korrekturgrund | keine bereits versandte Fassung überschreiben |
Falsche Angaben werden transparent korrigiert. Das Register hält fest, welche Information geändert wurde, warum, wann und über welchen Kanal die Korrektur erfolgte.
¶ 21. Fiktives Musterregister
| ID | Fall | Kenntnis | Erheblichkeit | 24h | 72h | Folge | Status | Akte |
|---|---|---|---|---|---|---|---|---|
| DEMO-2026-001 | Ausfall eines erfundenen Portaldienstes | 09.08.2026, 10:00 | Prüfung läuft | 10.08., 10:00 | 12.08., 10:00 | noch nicht ausgelöst | Gelb | GESCHUETZT/DEMO-2026-001 |
| DEMO-2026-002 | Manipulationsverdacht in einer Testumgebung | 07.08.2026, 14:30 | nicht erheblich, Review offen | n/a, begründet | n/a, begründet | Review 14.08. | Grau | GESCHUETZT/DEMO-2026-002 |
Die Datensätze sind erfunden und keine Empfehlung für eine konkrete Einstufung. In der produktiven Fassung werden Ansichten nach Frist, Status, Dienst, Owner und Parallelpflicht gefiltert; vertrauliche Details bleiben außerhalb des öffentlichen Wikis.
¶ 22. Technische Registeransichten
Für eine spätere geschützte Umsetzung sind folgende Bausteine sinnvoll:
| Ansicht | Nutzen | Mindestfilter |
|---|---|---|
| Fristenboard | nächste und gefährdete Meldestufen | Ampel, Restzeit, Owner, Dienst |
| Ereignis-zu-Meldung | Entscheidungspfad sichtbar machen | Ereignisstatus, Erheblichkeit, Begründung |
| Parallelpflichten-Matrix | getrennte Pflichten koordiniert verfolgen | NIS2, DSGVO, Vertrag, Sektor, Versicherer |
| Behördenkommunikation | Anfragen und Folgetermine kontrollieren | Vorgangsnummer, Anfrage, Fälligkeit, Versand |
| Maßnahmenübergabe | Fallabschluss mit Verbesserung verbinden | Ursache, Maßnahme, Owner, Zieltermin, Wirksamkeit |
Eine automatisierte Ampel darf nur aus verlässlichen Pflichtfeldern rechnen. Fehlende Daten werden als Warnung angezeigt und nicht als „grün“ interpretiert.
¶ 23. Eskalationsmatrix
| Auslöser | Sofortinformation | Entscheidung/Eskalation |
|---|---|---|
| Kenntniszeitpunkt nicht bestimmbar | Incident Owner, NIS2-Koordination, Recht | vorläufige Zeitbasis und Ermittlungsauftrag festlegen |
| weniger als interne Reserve bis 24h/72h | Geschäftsleitung, Freigaberolle | vereinfachte belastbare Meldung priorisieren |
| Meldeportal nicht erreichbar | Behördenkontaktstelle, IT, Recht | Ersatzweg aktivieren und Versuche protokollieren |
| wesentliche Lageänderung | Incident Team, Recht, Kommunikation | Aktualisierung oder freiwillige Nachmeldung prüfen |
| Datenschutzbezug | Datenschutzfunktion | getrennte DSGVO-Bewertung eröffnen |
| Lieferant liefert keine Informationen | Einkauf, Dienstowner, Recht, Geschäftsleitung | Vertragseskalation und eigene Annahmen dokumentieren |
| Frist überschritten | Geschäftsleitung und Recht | unverzügliches weiteres Vorgehen, Gründe und Korrekturmaßnahmen dokumentieren |
Prüfhilfe D – Schicht- und Wochenendübergabe
- aktuelle Lage, Kenntniszeitpunkt und nächste gesetzliche/interne Frist;
- offene Entscheidung mit Entscheider und spätestem Rückmeldezeitpunkt;
- vorbereitete Meldungsfassung und fehlende Informationen;
- Portalzugang, Freigabe- und Vertretungsrolle;
- offene Behörden-, Lieferanten- und Datenschutzkommunikation;
- nächster Lagecall und bestätigte Erreichbarkeit.
Die Übergabe wird angenommen und protokolliert. Eine versandte E-Mail ohne Bestätigung ist keine abgeschlossene Übergabe.
¶ 24. Nachweise und Aufbewahrung
| Nachweis | Ablageprinzip | Qualitätsmerkmal |
|---|---|---|
| Zeitlinie | geschützte Vorfallsakte | Quelle und Zeitzone je wesentlichem Zeitpunkt |
| Entscheidungsvermerk | geschützte Vorfallsakte | Kriterien, Fakten, Entscheider und offene Punkte |
| freigegebene Meldung | unveränderbare Fassung | Version und Freigabe erkennbar |
| Versandbestätigung | bei Meldungsfassung | Kanal, Zeit, Vorgangsnummer und Empfänger |
| Behördenkommunikation | fallbezogene Akte | Eingang, Auftrag, Frist und Antwort |
| Maßnahmenübergabe | Maßnahmen-/Risikoregister | Owner, Termin, Status und Wirksamkeitsprüfung |
| Übungsnachweis | Nachweisregister | Szenario, Ziel, Ergebnis und Verbesserung |
Aufbewahrungsdauer und Löschung werden anhand gesetzlicher, vertraglicher, beweissichernder und datenschutzrechtlicher Anforderungen festgelegt. Das öffentliche Wiki enthält keine Originalakte.
¶ 25. Kennzahlen zur Steuerung
| Kennzahl | Aussage | Warnsignal |
|---|---|---|
| Zeit Erkennung bis Triage | operative Reaktionsfähigkeit | wiederholte Verzögerung außerhalb Zielwert |
| Zeit bis Kenntnisentscheidung | Qualität der Eskalation | lange unklare Zuständigkeit |
| Fristreserve 24h/72h | Belastbarkeit des Meldeprozesses | Versand erst kurz vor Frist |
| Fälle ohne vollständige Zeitachse | Nachweisqualität | fehlende Quelle oder Zeitzone |
| Korrekturquote versandter Meldungen | Qualität der Faktenprüfung | vermeidbare Fehler und widersprüchliche Fassungen |
| offene Behördenrückfragen | Follow-up-Fähigkeit | überfällige Antworten |
| Maßnahmen aus Vorfällen überfällig | Lern- und Verbesserungsfähigkeit | Abschluss ohne dauerhafte Abhilfe |
| Übungserfolgsquote | Einsatzbereitschaft | Portal, Vertretung oder Freigabe nicht funktionsfähig |
Kennzahlen werden im Kontext bewertet. Eine sehr kurze Meldezeit ist kein Qualitätsbeweis, wenn Angaben unzutreffend oder unkontrolliert waren.
¶ 26. Regelmäßige Übungen
Mindestens jährlich und nach wesentlichen Änderungen wird eine Tabletop- oder Praxissimulation durchgeführt. Ein sinnvolles Szenario kombiniert Ausfall eines relevanten Dienstes, unvollständige Providerinformationen, mögliche Datenschutzverletzung, Wochenendbetrieb und Portalstörung.
Prüfhilfe E – Übungsziele
- Wird der Incident Owner innerhalb der Zielzeit erreicht?
- Können Erkennung, Kenntniserlangung und Erheblichkeitsentscheidung getrennt dokumentiert werden?
- Rechnet die Fristenkontrolle korrekt und eskaliert sie rechtzeitig?
- Sind Portalzugang und Vertretung funktionsfähig?
- Werden NIS2, DSGVO und Vertragsmeldungen getrennt koordiniert?
- Ist eine belastbare 24-Stunden-Meldung trotz unvollständiger Forensik möglich?
- Werden Verbesserungspunkte mit Owner, Termin und Wirksamkeitsprüfung übernommen?
Übungsergebnisse werden im Nachweisregister referenziert und mit Wirksamkeitsprüfungen verknüpft.
¶ 27. Qualitätsgate vor Versand
| Gate | Prüfer 1 | Prüfer 2 | Stop-Kriterium |
|---|---|---|---|
| Frist und Rechtsbezug | NIS2-Koordination | Recht/Compliance | Kenntniszeitpunkt nicht begründet |
| technische Fakten | Incident Owner | Informationssicherheit | Tatsachen und Annahmen vermischt |
| Dienst und Auswirkungen | Dienstowner | Incident Lead | falscher Scope oder widersprüchliche Wirkung |
| Datenminimierung | Meldungsautor | Datenschutz/Recht | unnötige Geheimnisse oder personenbezogene Daten |
| Freigabe | benannte Freigaberolle | Vertretung/Vier-Augen-Prüfung | keine dokumentierte Autorisierung |
| Versand | meldende Person | Nachweisverantwortung | keine Bestätigung oder falscher Kanal |
Kann ein Detail vor Fristablauf nicht geklärt werden, wird der Unsicherheitsstand transparent gemeldet und nachgeliefert. Ein ungeklärtes Detail rechtfertigt nicht automatisch das Auslassen einer fälligen Meldung.
¶ 28. Fallabschluss und Lessons Learned
Ein Fall wird erst geschlossen, wenn:
- alle ausgelösten Meldestufen übermittelt und nachgewiesen sind;
- Behördenrückfragen beantwortet oder kontrolliert übergeben wurden;
- Parallelpflichten einen dokumentierten Abschlussstatus besitzen;
- Ursachen und beitragende Faktoren bewertet wurden;
- Korrektur- und Verbesserungsmaßnahmen in führende Register übernommen sind;
- Restrisiken entschieden und Wirksamkeitsprüfungen terminiert wurden;
- Geschäftsleitung eine angemessene Abschlussinformation erhalten hat;
- Vorfallsakte, Aufbewahrung und Zugriffsrechte geprüft wurden.
Der Abschluss des Melderegisters schließt nicht automatisch alle technischen, rechtlichen oder vertraglichen Folgearbeiten.
¶ 29. Offene organisationsbezogene Entscheidungen
| Entscheidung | Verantwortlich | Status im Muster |
|---|---|---|
| verbindliche Kenntnis- und Erheblichkeitskriterien | Geschäftsleitung, Recht, Informationssicherheit | offen |
| interne Sicherheitsmargen | Incident Management und Geschäftsleitung | Beispielwerte, nicht freigegeben |
| Portalrollen und Vertretungen | Geschäftsleitung/NIS2-Koordination | offen |
| Ersatzmeldeweg bei Portalstörung | Recht und Behördenkontaktstelle | offen |
| Schutzklasse und Ablage der Vorfallsakte | Informationssicherheit/Datenschutz | offen |
| sektorspezifische Parallelpflichten | Recht/Compliance | offen |
| Aufbewahrungs- und Löschfristen | Recht, Datenschutz, Records Management | offen |
| Übungsrhythmus und Zielwerte | Geschäftsleitung | offen |
¶ 30. Schnittstellen und interne Links
- Behörden und Kontaktstellen – aktueller Meldeweg, Zuständigkeit und Ersatzkontakte
- Rollen und Verantwortlichkeiten – Befugnisse, Vertretungen und Übergaben
- Relevante Dienste und Prozesse – dienstbezogener Scope und Auswirkungen
- NIS2-Risikoregister – Risiken und Folgerisiken aus dem Vorfall
- Risikobehandlungsplan – Korrektur- und Verbesserungsmaßnahmen
- Incident Response – operative Erkennung, Eindämmung und Wiederherstellung
- Meldeweg für Sicherheitsvorfälle – interne Alarmierung und Eskalation
- Kontakt- und Eskalationslisten – geschützte Erreichbarkeiten und Vertretung
- Vorfall- und Notfallübungen – Übungsplanung und Nachweise
Die folgenden Seiten gehören zur geplanten Vertiefung und werden bis zur tatsächlichen Anlage bewusst nicht als funktionsfähige Links dargestellt:
/NIS2/06-Vorfaelle-und-Meldepflichten/Erheblichkeitsbewertung/NIS2/06-Vorfaelle-und-Meldepflichten/24h-und-72h-Meldungen/NIS2/06-Vorfaelle-und-Meldepflichten/Abschluss-und-Fortschrittsmeldung/NIS2/06-Vorfaelle-und-Meldepflichten/Krisenkommunikation
¶ 31. Offizielle Quellen und Meldestellen
- § 2 BSIG – Begriffsbestimmungen, insbesondere Sicherheitsvorfall und erheblicher Sicherheitsvorfall
- § 32 BSIG – Meldepflichten bei erheblichen Sicherheitsvorfällen
- NIS-2-Richtlinie (EU) 2022/2555 – insbesondere Artikel 23
- BSI – aktuelle Informationen zu NIS2-Registrierung und Vorfallmeldung
- BSI-Portal – Registrierung und Sicherheitsvorfallmeldung
- BSI – Informationen für kritische Infrastrukturen und meldepflichtige Unternehmen
Externe Quellen und Meldewege werden vor einem realen Vorgang auf Aktualität, Zuständigkeit und Erreichbarkeit geprüft.
¶ 32. Unterstützung durch SMCT MANAGEMENT
Unterstützung bei NIS2-Betroffenheit, Meldeprozessen, Übungen, Rollen und kontrollierter Nachweisführung
NIS2-Beratung auf smct-management.de in einem neuen Tab öffnen
Die organisationsbezogene Umsetzung umfasst nicht nur eine Vorlage. Erforderlich sind belastbare Zuständigkeiten, erreichbare Vertretungen, getestete Zugänge, sichere Vorfallsakten, abgestimmte Parallelverfahren und Übungen unter Zeitdruck.
¶ 33. Änderungshistorie
| Version | Datum | Änderung | Status |
|---|---|---|---|
| 0.1 | 09.08.2026 | Erstanlage mit Registermodell, Rechts- und Fristenlogik, interaktivem Fristenassistenten, Eskalationen, Nachweisen und Navigation | Entwurf |