Meldepflicht bei Sicherheitsvorfällen (NIS-2): Bedeutung und Definition

Definition: Einrichtungen, die unter die NIS-2-Regeln fallen, müssen erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Die Pflicht besteht neben der datenschutzrechtlichen Meldung von Datenpannen.

Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle gestuft melden: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG, Art. 23 RL (EU) 2022/2555). Erheblich ist ein Vorfall insbesondere, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder Dritte erheblich schädigt. Sind personenbezogene Daten betroffen, ist zusätzlich die Aufsichtsbehörde innerhalb von 72 Stunden zu informieren (Art. 33 DSGVO). Verstöße gegen die Meldepflichten sind bußgeldbewehrt (§ 65 BSIG).

Bedeutung für Sie

Die Fristen beginnen, sobald Sie von dem Vorfall Kenntnis erlangen, und sind sehr knapp. Legen Sie vorab fest, wer einen Vorfall bewertet, wer meldet und welche Informationen bereitstehen müssen.

Mehr dazu: NIS2 umsetzen

Rechtsgrundlagen

• § 32 BSIG Normtext § 32 BSIG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• Art. 23 RL (EU) 2022/2555 Normtext Art. 23 RL (EU) 2022/2555 (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• Art. 33 DSGVO Normtext Art. 33 DSGVO (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• § 65 BSIG Normtext § 65 BSIG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)