NIS-2-Meldepflicht: die 24-Stunden-, 72-Stunden- und Ein-Monats-Kette
Die Meldekette nach § 32 BSIG hat drei feste Stufen und zwei, die nur unter Bedingungen entstehen. Der Reihe nach — und mit der einen Frist, die fast überall falsch wiedergegeben wird.
Die Kette, Stufe für Stufe
Erstmeldung
ab KenntniserlangungUnverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis von einem erheblichen Sicherheitsvorfall. Inhaltlich verlangt das Gesetz an dieser Stelle wenig, aber Bestimmtes: die Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob er grenzüberschreitende Auswirkungen haben könnte. Beides sind Verdachtsangaben — es wird kein fertiges Lagebild erwartet, und auf eines zu warten ist der häufigste Weg, diese Frist zu reißen.
§ 32 Abs. 1 Satz 1 Nr. 1 BSIG
Aktualisierte Meldung
ab KenntniserlangungEbenfalls ab Kenntniserlangung, nicht ab der Erstmeldung. Die beiden Uhren laufen parallel; wer die 72 Stunden ab der 24-Stunden-Meldung rechnet, verschiebt die Frist um bis zu einen Tag nach hinten. Inhalt: Bestätigung oder Aktualisierung der Erstangaben, eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen sowie, soweit vorhanden, Kompromittierungsindikatoren.
§ 32 Abs. 1 Satz 1 Nr. 2 BSIG
Zwischenmeldung
ohne feste FristNur, wenn das Bundesamt danach fragt — dann über relevante Statusaktualisierungen. Das Gesetz nennt hier keinen Zeitraum, und es kann mehr als eine Zwischenmeldung geben. Wer eine Fristenverwaltung aufsetzt, sollte diese Stufe deshalb als wiederholbaren Punkt ohne gesetzliche Uhr führen und nicht als vierten festen Termin.
§ 32 Abs. 1 Satz 1 Nr. 3 BSIG
Abschlussmeldung
ab Übermittlung der 72-Stunden-MeldungHier steckt der Fehler, den die meisten Übersichten machen. Die Frist läuft nicht ab Kenntniserlangung, sondern ab dem Zeitpunkt, zu dem die Meldung nach Nummer 2 tatsächlich übermittelt wurde. Wer nach 20 Stunden meldet, hat die Abschlussmeldung entsprechend früher zu liefern als jemand, der die 72 Stunden ausschöpft. Inhalt: eine ausführliche Beschreibung des Vorfalls samt Schweregrad und Auswirkungen, die Art der Bedrohung beziehungsweise die zugrunde liegende Ursache, die getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen.
§ 32 Abs. 1 Satz 1 Nr. 4 BSIG
Fortschrittsmeldung
wenn der Vorfall noch andauertDauert der Vorfall zum Zeitpunkt der Abschlussmeldung noch an, tritt eine Fortschrittsmeldung an ihre Stelle. Die Abschlussmeldung ist dann nach abschließender Bearbeitung des Vorfalls vorzulegen — das Gesetz nennt dafür ausdrücklich keine Frist. Eine Software, die an dieser Stelle einen 30-Tage-Countdown anzeigt, erfindet ihn.
§ 32 Abs. 2 BSIG
Fünf Fristenfallen
Jede davon verschiebt eine Frist in die Richtung, in der sie reißt.
Die Ein-Monats-Frist ab Kenntnis rechnen
Der häufigste Fehler, und er geht in beide Richtungen schief: Wer früh gemeldet hat, glaubt sich länger im Recht, als er ist. Der Anker ist die Übermittlung der 72-Stunden-Meldung (§ 32 Abs. 1 Nr. 4 BSIG).
Die 72 Stunden ab der Erstmeldung rechnen
Beide Fristen laufen ab Kenntniserlangung. Wer die zweite Uhr erst mit der ersten Meldung startet, gewinnt bis zu 24 Stunden, die er nicht hat.
Auf ein vollständiges Bild warten
„Unverzüglich" steht vor jeder Stundenangabe und ist die eigentliche Pflicht; die Stunden sind die äußerste Grenze. Die Erstmeldung ist bewusst eine Verdachtsmeldung.
Kenntniserlangung nachträglich datieren
Der Zeitpunkt, zu dem die Einrichtung Kenntnis erlangt hat, ist der Anker der gesamten Kette. Wer ihn auf den Moment der Erfassung im Werkzeug setzt statt auf den Moment der Kenntnis, datiert jede Frist zu spät.
Die Unterrichtung der Kunden für automatisch halten
§ 35 Abs. 1 BSIG greift erst, wenn das Bundesamt es anordnet. § 35 Abs. 2 verpflichtet unaufgefordert nur bestimmte Sektoren und nur bei einer erheblichen Cyberbedrohung. Beides gehört in den Ablaufplan, aber nicht als feste vierte Stufe.
Wer meldet, und wohin
Adressat ist die gemeinsame Meldestelle, die das Bundesamt für Sicherheit in der Informationstechnik und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtet haben. Betroffen sind besonders wichtige und wichtige Einrichtungen im Sinne des § 28 BSIG. Betreiber kritischer Anlagen übermitteln nach § 32 Abs. 3 BSIG zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung.
Praktisch entscheidet sich die Einhaltung nicht am Meldeformular, sondern daran, ob nachts um drei jemand weiß, dass die Uhr läuft, und wer sie stellt. Deshalb gehören zwei Dinge vorab festgelegt: der Zeitpunkt der Kenntniserlangung als Anker — dokumentiert, nicht rekonstruiert — und die Namen der Personen, die im Ernstfall erreichbar sind.
Diese Seite ordnet ein und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext (BSIG, in Kraft seit 2025-12-06); zuletzt am Gesetzestext geprüft am 2026-09-01.
Ob Sie überhaupt erfasst sind, klärt der kostenlose NIS-2-Check. Die Registrierungspflicht und ihre rollierende Drei-Monats-Frist erklärt § 33 BSIG: die Registrierung. Wenn Ihr Großkunde Nachweise anfordert: der NIS2-Lieferantenfragebogen. Diese Fristen laufend überwacht: das NIS-2 Cockpit. Weitere Leitfäden im Guides-Verzeichnis.
Die Uhr läuft, bevor jemand sie stellt
Das NIS-2 Cockpit rechnet die Kette aus einem einzigen Zeitpunkt aus, erinnert vor jeder Stufe und hält fest, was gemeldet wurde. Es meldet nicht für Sie — es sorgt dafür, dass Sie es rechtzeitig tun.