NIS2-Meldepflichten: die Fristen von 24 und 72 Stunden

NIS2 gibt dir für einen erheblichen Sicherheitsvorfall drei Fristen: eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis, eine Meldung des Vorfalls innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach dieser Meldung. Ein CSIRT oder deine zuständige Behörde kann zwischendurch einen Zwischenbericht zum Stand anfordern.

Das ist die ganze Uhr. Falls du irgendwo gelesen hast, NIS2 schreibe eine Meldefrist von acht Stunden vor: tut es nicht. Die Zahlen sind 24, 72 und ein Monat, festgelegt in Artikel 23. Das darf man deutlich sagen, denn die Acht-Stunden-Zahl kursiert breit und macht aus einem beherrschbaren Verfahren eine Panik.

Was jede Stufe enthält

Frühwarnung, innerhalb von 24 Stunden

Sie ist bewusst dünn. Sie ist ein Hinweis, keine Untersuchung. Soweit zutreffend nennt sie zwei Dinge: ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, und ob er grenzüberschreitende Auswirkungen haben könnte.

Von dir wird nicht erwartet, die Ursache zu kennen. Erwartet wird, dass du zum Hörer gegriffen hast.

Meldung des Vorfalls, innerhalb von 72 Stunden

Sie aktualisiert die Frühwarnung und ergänzt eine erste Bewertung: Schweregrad, Auswirkungen und, soweit verfügbar, die Kompromittierungsindikatoren. Weiterhin eine Bewertung, kein Ergebnis.

Vertrauensdiensteanbieter arbeiten für Vorfälle mit Auswirkungen auf ihre Vertrauensdienste mit einer strengeren Variante. Prüf also dein nationales Gesetz, wenn das auf dich zutrifft.

Zwischenbericht, auf Anforderung

Fragt das CSIRT oder die Behörde nach Statusaktualisierungen, lieferst du sie. Es gibt keinen festen Takt; ihn gibt vor, wer den Fall auf der anderen Seite bearbeitet.

Abschlussbericht, innerhalb eines Monats

Achte auf den Bezugspunkt: ein Monat nach der 72-Stunden-Meldung, nicht ein Monat nachdem du es bemerkt hast. Er enthält eine ausführliche Beschreibung samt Schweregrad und Auswirkungen, die Art der Bedrohung oder die wahrscheinliche Ursache, die angewandten und laufenden Abhilfemaßnahmen und, soweit zutreffend, die grenzüberschreitenden Auswirkungen.

Läuft der Vorfall noch, wenn der Monat um ist, reichst du zu diesem Zeitpunkt einen Fortschrittsbericht ein und den Abschlussbericht innerhalb eines Monats nach Abschluss deiner Bearbeitung.

Was gilt als erheblicher Vorfall?

Artikel 23 definiert es über zwei Tatbestände. Ein Vorfall ist erheblich, wenn einer davon zutrifft:

• er hat schwerwiegende Betriebsstörungen deiner Dienste oder finanzielle Verluste für dich verursacht oder kann sie verursachen
• er hat andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder kann sie beeinträchtigen

Lies "kann verursachen" genau. Ein knapp abgewendeter Vorfall, der dich hätte lahmlegen können, erfüllt den Wortlaut. Das ist die Ermessensentscheidung, die dein Verfahren schnell treffen muss, und genau deshalb sollte sie nicht zum ersten Mal während eines Vorfalls getroffen werden.

Einige Mitgliedstaaten erlassen Schwellenwerte, die diesen Worten Zahlen geben. In Polen ist die entsprechende Verordnung noch nicht erlassen, die Einstufung stützt sich dort also allein auf die gesetzliche Definition. Hat dein Land Schwellenwerte veröffentlicht, nutze sie. Wenn nicht, schreib die Begründung auf, die du anwenden wirst, und leg sie zum Verfahren, damit die Entscheidung konsistent und vertretbar ist statt improvisiert.

Vielleicht musst du auch deine Kunden informieren

Dieser Punkt geht unter, weil alle auf die Behörde schauen. Soweit angemessen musst du die Empfänger deiner Dienste über erhebliche Vorfälle informieren, die die Erbringung dieser Dienste beeinträchtigen können. Und wenn eine erhebliche Cyberbedrohung im Spiel ist, teilst du potenziell betroffenen Empfängern die Maßnahmen oder Abhilfen mit, die sie selbst ergreifen können.

Das ist eine Pflicht zur Kundenkommunikation innerhalb einer Sicherheitsregulierung. Sie braucht eine verantwortliche Person, einen Kanal und einen Entwurf, und diese Person ist meist nicht die, die auf die Alarme schaut.

Wer bekommt die Meldung eigentlich?

Den Empfänger legt das nationale Recht fest, was das wiederkehrende Thema dieses ganzen Themas ist. Es ist dein CSIRT oder deine zuständige Behörde, und die Zuständigkeit unterscheidet sich nach Land und teils nach Sektor.

Polen ist ein nützliches Beispiel dafür, warum man nachsehen und nicht annehmen sollte. Meldungen gehen heute an CSIRT NASK. Ein sektorales CSIRT wird bei UKE aufgebaut, fällig bis zum 3. Oktober 2027. Und eine Stelle namens CSIRT Telco existiert nicht, auch wenn der Name in kursierenden Zusammenfassungen auftaucht. Nennt dein Verfahren einen Empfänger, den es nicht gibt, merkst du das im denkbar schlechtesten Moment.

Ein Verfahren bauen, das einen Sonntagmorgen übersteht

Eine 24-Stunden-Frist startet mit der Kenntnis, und Kenntnis hält sich nicht an Bürozeiten. Das Verfahren, das funktioniert, ist kurz und konkret:

1. Eine benannte verantwortliche Person und eine Vertretung für die Meldeentscheidung, mit Kontaktwegen, die um drei Uhr nachts funktionieren. Kein Team-Verteiler.
2. Ein aufgeschriebener Erheblichkeitstest als zwei oder drei Fragen, abgebildet auf die beiden Tatbestände oben, damit eine Person im Bereitschaftsdienst sie ohne Juristin beantworten kann.
3. Behörde, Kanal und Formular im Verfahren selbst festgehalten. Finde den echten Einreichungsweg, bevor du ihn brauchst.
4. Drei vorbereitete Vorlagen, eine je Stufe. Die für 24 Stunden sollte in zehn Minuten ausfüllbar sein.
5. Ein Entwurf für die Kundeninformation und die Entscheidungsregel, wann er rausgeht.
6. Eine Übung. Spiel es einmal am Tisch mit einem plausiblen Szenario durch und stopp die Zeit bis zur Frühwarnung. Die meisten Teams stellen fest, dass der Engpass die Entscheidung ist, nicht das Schreiben.
7. Heb die Artefakte auf. Zeitleiste, Entscheidungsdokumentation, Einreichungen. Eine Behörde, die zwölf Monate später nach einem Vorfall fragt, will datierte Nachweise, genauso wie ein Auditor Nachweise mit intakter Quelle und Zeitstempel will.

Wenn du bereits ISO 27001 betreibst, geben dir A.5.24 bis A.5.28 Erkennung, Bewertung, Reaktion und Lernen. Was sie nicht geben, ist die externe Uhr, denn ISO verlangt nie eine Meldung an eine Behörde. Diese Lücke und die drei anderen stehen in dem Vergleich von ISO 27001 und NIS2.

Wo wir helfen können und wo nicht

AuditBadger hat Incident Management mit einem anonymen Meldeportal und Tracking-Token, sodass Eingang und Zeitleistennachweise am selben Ort liegen wie deine Kontrollen. Unser Modul für Incident Management ist der Teil, den wir dir wirklich abnehmen können.

Was wir nicht tun: für dich entscheiden, ob ein Vorfall nach deinem nationalen Gesetz erheblich ist, oder in deinem Namen einreichen. Die NIS2-Unterstützung ist Early Access, wird pro Konto nach einem Gespräch freigeschaltet, und die polnische Umsetzung haben wir zuerst modelliert. Alles Übrige an der Meldepflicht ist ein Verfahren und ein benannter Mensch, was unglamourös ist und genau deshalb oft ungeschrieben bleibt.

Bist du nicht sicher, ob die Pflicht dich überhaupt trifft, fang beim Anwendungsbereichstest an. Die Maßnahmenbereiche, die nationalen Abweichungen und unser heutiger Stand stehen auf unserer NIS2-Seite.