NIS2-Leitfaden · 7 Min.
NIS2-Vorfallmeldung: die Fristen von 24 und 72 Stunden erklärt
Wenn ein erheblicher Vorfall einschlägt, läuft die Uhr sofort, und NIS2 misst seine Fristen in Stunden, nicht in Tagen. Dieser Leitfaden legt dar, was als erheblicher Vorfall zählt, die genaue Meldereihenfolge nach Artikel 23, und den Fall, über den Teams am häufigsten stolpern: der Moment, in dem der Vorfall eines Lieferanten still zu Ihrer Meldepflicht wird.
Die wichtigsten Punkte
- Ein erheblicher Vorfall löst eine gestufte Meldung aus: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats (Art. 23).
- „Erheblich“ bedeutet schwere Betriebsstörung oder finanziellen Verlust oder erheblichen Schaden für andere: nicht jeder Vorfall überspringt diese Hürde.
- Ein Lieferanten- oder Drittparteienvorfall, der Ihren Dienst stört, kann Ihre 24-Stunden-Uhr starten: Sicht auf sie ist Teil der Bereitschaft.
- Meldungen gehen an Ihr nationales CSIRT oder die zuständige Behörde; unter Umständen müssen Sie auch die Empfänger Ihrer Dienste informieren.
Was als „erheblicher“ Vorfall zählt
Nicht jeder Vorfall ist meldepflichtig. Nach Artikel 23 ist ein Vorfall erheblich, wenn er eine schwere Betriebsstörung der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Die Kommission hat für bestimmte digitale Anbieter in einer Durchführungsverordnung konkretere Schwellen gesetzt, doch das Prinzip gilt über die Sektoren hinweg: beurteilen Sie nach Schwere und Reichweite der Auswirkung, nicht danach, wie neuartig der Angriff war. Im Zweifel dokumentieren Sie die Einschätzung: die Entscheidung, nicht zu melden, sollte ebenso vertretbar sein wie die, zu melden.
Der Meldezeitplan (Artikel 23)
Die Meldung erfolgt gestuft: erst ein schnelles Signal, das Detail später. Jede Frist läuft ab dem Moment, in dem Sie von dem erheblichen Vorfall Kenntnis erlangen: nicht ab seinem Beginn.
Binnen 24 Stunden: Frühwarnung
Eine erste Warnung an Ihr CSIRT oder die zuständige Behörde, mit dem Hinweis, ob der Vorfall mutmaßlich böswillig oder rechtswidrig ist und ob er grenzüberschreitende Auswirkungen haben könnte.
Binnen 72 Stunden: Vorfallmeldung
Eine Aktualisierung mit einer ersten Bewertung: Schwere und Auswirkung sowie Kompromittierungsindikatoren, soweit vorhanden.
Auf Anfrage: Zwischenbericht
Wenn das CSIRT oder die Behörde danach fragt, ein Statusupdate zur Bearbeitung des Vorfalls.
Binnen 1 Monat nach der Meldung: Abschlussbericht
Eine ausführliche Darstellung: Grundursache und Art der Bedrohung, die angewandten und noch laufenden Gegenmaßnahmen sowie etwaige grenzüberschreitende Auswirkungen.
Ist der Vorfall am Monatsende noch nicht abgeschlossen, reichen Sie stattdessen einen Fortschrittsbericht ein, mit dem Abschlussbericht binnen eines Monats nach Abschluss der Bearbeitung.
Wenn der Vorfall eines anderen zu Ihrem wird
Die Meldepflicht endet nicht bei Vorfällen, die in Ihren eigenen Systemen beginnen. Erleidet ein Lieferant oder Dienstleister einen Vorfall, der die von Ihnen erbrachten Dienste erheblich stört, kann die Meldepflicht auf Sie fallen, und die 24-Stunden-Uhr startet, wenn Sie Kenntnis erlangen, nicht, wenn der Lieferant es Ihnen schließlich mitteilt.
Das ist der schwierige Teil: Lieferanten legen nicht immer schnell offen, und eine Meldung, die eine Woche zu spät kommt, hat Ihre Frist bereits aufgezehrt. Bereitschaft ruht daher auf unabhängiger Sicht: zu wissen, wann ein kritischer Lieferant auf einer Ransomware-Leak-Seite auftaucht, Anmeldedaten geleakt werden oder er einfach dunkel wird, ohne auf seine E-Mail zu warten.
Sehen Sie, wie Sie und Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Wie man bereit ist, bevor die Uhr läuft
Eine stundenlange Frist einzuhalten ist eine Übung in Vorbereitung, kein Heldentum. Bevor irgendetwas passiert, stellen Sie sicher, dass Sie beantworten können:
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 23 — sowie die Durchführungsverordnung der Kommission zu Schwellen für erhebliche Vorfälle bei bestimmten digitalen Anbietern; den genauen Kanal entnehmen Sie dem Meldeportal Ihres nationalen CSIRT.
Wie norppa.io hilft
Der schwierigste Teil des Zeitplans ist der, den Sie nicht steuern: ein Lieferantenvorfall, von dem Sie zu spät erfahren. norppa.io beobachtet Ihre Lieferanten kontinuierlich (Ransomware-Opferlistungen und Dark-Web-Credential-Leaks werden etwa alle sechs Stunden erneut geprüft, mit sofortiger Warnung) sodass ein Lieferantenereignis Sie rechtzeitig erreicht, um Ihre eigene Uhr zu starten.
Und weil jeder Befund mit Zeitstempel versehen und den NIS2-Artikeln zugeordnet ist, denen er entspricht, ist der Verlauf, den eine 72-Stunden-Meldung oder ein Abschlussbericht nach einem Monat braucht (was wann gesehen und was getan wurde) bereits zusammengestellt und wird nicht unter Druck rekonstruiert.