NIS2-Leitfaden · 7 Min.
NIS2-Vorfallmeldung: die 24- und 72-Stunden-Fristen erklärt
Wenn ein erheblicher Vorfall eintritt, läuft die Uhr sofort — und NIS2 setzt eine Reihe harter Fristen, gemessen in Stunden, nicht Tagen. Dieser Leitfaden erklärt, was als erheblicher Vorfall gilt, den genauen Meldezeitplan nach Artikel 23 und die Situation, die Teams am häufigsten übersehen: wann der Vorfall eines Lieferanten zu Ihrer Meldepflicht wird.
Wichtigste Punkte
- Ein erheblicher Vorfall löst eine gestufte Meldung aus: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats (Art. 23).
- "Erheblich" bedeutet schwere Betriebsstörung oder finanziellen Verlust oder erheblichen Schaden für andere — nicht jeder Vorfall erfüllt die Schwelle.
- Ein Vorfall bei einem Lieferanten oder Dritten, der Ihren Dienst stört, kann Ihre 24-Stunden-Uhr starten — Sichtbarkeit auf sie gehört zur Bereitschaft.
- Meldungen gehen an Ihr nationales CSIRT oder die zuständige Behörde; ggf. müssen Sie auch die Empfänger Ihrer Dienste informieren.
Was als "erheblicher" Vorfall gilt
Nicht jeder Vorfall ist meldepflichtig. Nach Artikel 23 ist ein Vorfall erheblich, wenn er eine schwere Betriebsstörung der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Die Kommission hat für bestimmte digitale Anbieter in einer Durchführungsverordnung konkretere Schwellenwerte festgelegt, doch das Prinzip gilt branchenübergreifend: Beurteilen Sie nach Schwere und Reichweite der Auswirkung, nicht nach der technischen Neuartigkeit des Angriffs. Im Zweifel dokumentieren Sie Ihre Bewertung — die Entscheidung, nicht zu melden, sollte ebenso belastbar sein wie die Entscheidung zu melden.
Der Meldezeitplan (Artikel 23)
Die Meldung erfolgt gestuft: zuerst ein schnelles Signal, Details später. Die Fristen laufen ab dem Moment, in dem Sie vom erheblichen Vorfall Kenntnis erlangen.
Binnen 24 Stunden — Frühwarnung
Eine erste Meldung an Ihr CSIRT oder die zuständige Behörde mit dem Hinweis, ob der Vorfall vermutlich durch rechtswidrige oder böswillige Handlungen verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte.
Binnen 72 Stunden — Vorfallmeldung
Ein Update mit erster Bewertung: Schwere und Auswirkung sowie nach Möglichkeit Kompromittierungsindikatoren.
Auf Anfrage — Zwischenbericht
Wenn das CSIRT oder die Behörde es verlangt, ein Statusupdate zur Bearbeitung des Vorfalls.
Binnen 1 Monat nach der Meldung — Abschlussbericht
Eine ausführliche Beschreibung: Ursache und Art der Bedrohung, angewandte und laufende Gegenmaßnahmen sowie etwaige grenzüberschreitende Auswirkungen.
Ist der Vorfall nach einem Monat noch nicht abgeschlossen, reichen Sie stattdessen einen Fortschrittsbericht ein und den Abschlussbericht binnen eines Monats nach Bearbeitung des Vorfalls.
Wenn der Vorfall eines anderen zu Ihrem wird
Die Meldepflicht nach NIS2 beschränkt sich nicht auf Vorfälle, die in Ihren eigenen Systemen entstehen. Erleidet ein Lieferant oder Dienstleister einen Vorfall, der Ihre erbrachten Dienste erheblich stört, kann die Meldepflicht auf Sie fallen — und die 24-Stunden-Uhr beginnt, sobald Sie Kenntnis erlangen, nicht wenn der Lieferant es Ihnen endlich mitteilt.
Das ist der schwierige Teil: Lieferanten legen Vorfälle nicht immer schnell offen, und eine Woche zu spät eintreffende Meldung hat Ihre Frist bereits verbraucht. Bereitschaft hängt daher von unabhängiger Sichtbarkeit ab — zu wissen, wann ein kritischer Lieferant auf einer Ransomware-Leak-Site auftaucht, Zugangsdaten geleakt werden oder er offline geht, ohne auf seine E-Mail zu warten.
Wie man bereit ist, bevor die Uhr läuft
Eine Frist von wenigen Stunden einzuhalten ist eine Frage der Vorbereitung, nicht des Heldentums. Stellen Sie vor einem Vorfall sicher, dass Sie beantworten können:
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 23 — sowie die Durchführungsverordnung der Kommission zu Schwellenwerten für erhebliche Vorfälle bestimmter digitaler Anbieter; prüfen Sie das Meldeportal Ihres nationalen CSIRT für den genauen Kanal.
Wie norppa.io hilft
Der schwierigste Teil des Zeitplans ist der, den Sie nicht kontrollieren: ein Lieferantenvorfall, von dem Sie zu spät erfahren. norppa.io überwacht Ihre Lieferanten kontinuierlich — Ransomware-Opferlistungen und Dark-Web-Zugangsdatenlecks werden etwa alle sechs Stunden geprüft, mit sofortiger Warnung — sodass ein Lieferantenereignis Sie rechtzeitig erreicht, um Ihre eigene Uhr zu starten.
Und weil jeder Befund mit Zeitstempel versehen und den NIS2-Artikeln zugeordnet ist, ist die für eine 72-Stunden-Meldung oder einen Abschlussbericht nach einem Monat nötige Historie — was gesehen wurde, wann und was getan wurde — bereits zusammengestellt statt unter Druck rekonstruiert.