NIS2-Frühwarnung: was du in 24 Stunden meldest und an wen

Nach Artikel 23 der Richtlinie melden besonders wichtige und wichtige Einrichtungen jeden erheblichen Sicherheitsvorfall ihrem CSIRT oder gegebenenfalls der zuständigen Behörde, und zwar in Stufen:

Zwei Details verändern deine Arbeitsweise. Die Uhr läuft ab der Kenntnisnahme des erheblichen Sicherheitsvorfalls, nicht ab Beginn des Angriffs. Und 24 Stunden sind eine Obergrenze: Die Regel lautet „unverzüglich“. Innerhalb von 24 Stunden nach der Frühwarnung antwortet das CSIRT oder die Behörde nach Möglichkeit mit einer ersten Rückmeldung und, auf Wunsch, mit Hinweisen zur Abhilfe (Art. 23 Abs. 5). Vertrauensdiensteanbieter haben auch für die Meldung des Sicherheitsvorfalls nur 24 Stunden.

Nach Artikel 23 Absatz 3 ist ein Sicherheitsvorfall erheblich, wenn er

• schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Für digitale Anbieter (DNS, TLD-Namenregister, Cloud, Rechenzentren, CDN, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste) macht die Durchführungsverordnung (EU) 2024/2690 das messbar. Artikel 3 nennt allgemeine Kriterien: ein direkter finanzieller Verlust von mehr als 500.000 Euro oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist; die Exfiltration von Geschäftsgeheimnissen; der Tod oder eine erhebliche Gesundheitsschädigung eines Menschen; oder ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der schwerwiegende Betriebsstörungen verursachen kann. Artikel 4 ergänzt wiederkehrende Vorfälle: mindestens zweimal in sechs Monaten, mit derselben offensichtlichen Ursache, zusammen über der finanziellen Schwelle. Die Artikel 5 bis 14 enthalten Kriterien je Anbietertyp; für Anbieter verwalteter Dienste etwa einen Dienst, der länger als 30 Minuten vollständig nicht verfügbar ist (Artikel 10).

Nationale Behörden können eigene Definitionen ergänzen; das BSI orientiert sich laut seiner Meldeanleitung für die übrigen Sektoren an den allgemeinen Kriterien von Artikel 3. Zwei Dinge gelten überall: Ob ein Vorfall erheblich ist, entscheidest du. Und ein abgewehrter Angriff ist nicht automatisch ein Sicherheitsvorfall. Ein Ereignis, dessen Eintritt verhindert wurde, nennt die Richtlinie „Beinahe-Vorfall“ (Artikel 6); du kannst ihn freiwillig melden (Artikel 30).

Die Richtlinie verlangt wenig: ob der Vorfall rechtswidrig oder böswillig wirkt und ob er andere Länder treffen könnte. In der Praxis fragen die nationalen Formulare ein paar Angaben mehr ab, und helfen kann die Behörde nur, wenn sie dich erreicht. Eine brauchbare Frühwarnung enthält:

1. Wer du bist: die Einrichtung, ihren Sektor und eine Kontaktperson, die rund um die Uhr erreichbar ist.
2. Wann: Datum und Uhrzeit der Erkennung und der Kenntnisnahme, in UTC oder mit Zeitzone.
3. Was du bisher siehst: ein paar sachliche Zeilen, etwa ungewöhnliche Zugriffe auf einen Server, verschlüsselte Dateien, ein ausgefallener Dienst, Daten, die an eine unbekannte Adresse gehen.
4. Vermutete Ursache: ob du rechtswidrige oder böswillige Handlungen vermutest, und warum.
5. Grenzüberschreitende Auswirkungen: ob Dienste, Kunden oder Systeme in anderen Mitgliedstaaten betroffen sein könnten.
6. Schon getroffene Maßnahmen: Isolierung, neue Passwörter und Schlüssel, gesperrte Adressen, zurückgespielte Backups.
7. Nächste Schritte, und ob du Hinweise oder technische Unterstützung vom CSIRT möchtest.

Schnelligkeit geht vor Vollständigkeit: Schreib, was du weißt, kennzeichne, was du noch nicht weißt, und ergänze es in der Meldung binnen 72 Stunden. Eine Frühwarnung, die zu spät kommt, weil sie perfekt sein sollte, verfehlt ihren Zweck.

In Deutschland gilt das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025. Die Meldepflichten stehen in § 32 BSIG: Besonders wichtige und wichtige Einrichtungen melden an eine gemeinsame Meldestelle von BSI und BBK. Die Stufen heißen dort anders als in der Richtlinie, die Fristen sind dieselben:

• frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, mit dem Verdacht auf rechtswidrige oder böswillige Handlungen und möglichen grenzüberschreitenden Auswirkungen;
• Meldung spätestens 72 Stunden nach Kenntniserlangung, mit einer ersten Bewertung von Schweregrad und Auswirkungen und gegebenenfalls den Kompromittierungsindikatoren;
• Zwischenmeldung auf Ersuchen des BSI;
• Abschlussmeldung spätestens einen Monat nach der Meldung; dauert der Vorfall dann noch an, zunächst eine Fortschrittsmeldung und die Abschlussmeldung nach abschließender Bearbeitung.

Gemeldet wird über das BSI-Portal; die Registrierung dort ist für die Einrichtungen ohnehin Pflicht (§ 33 BSIG). Das BSI legt die Einzelheiten des Meldeverfahrens fest (§ 32 Abs. 4 BSIG).

Jeder Mitgliedstaat benennt sein CSIRT und seine zuständige Behörde, und manche haben Stufen oder Fristen angepasst. Der Stand im November 2026 in den Ländern der Sprachen dieser Website:

Für die übrigen Mitgliedstaaten führt die Europäische Kommission eine Seite pro Land mit den nationalen Kontakten: Prüf das Aktualisierungsdatum, dann die amtlichen nationalen Quellen. Bist du in mehreren Ländern tätig, gilt grundsätzlich das Land deiner Niederlassung; Anbieter verwalteter Dienste, Cloud- und Rechenzentrumsanbieter und einige weitere digitale Anbieter fallen unter das Land ihrer Hauptniederlassung in der Union (Artikel 26).

24 Stunden sind nur dann knapp, wenn du spät davon erfährst oder erst von Hand rekonstruieren musst, was passiert ist. Was die Frist machbar macht, steht schon vor dem Vorfall:

• Alarme, die einen Menschen erreichen: Kritische Ereignisse gehen an einen Kanal, den jemand liest, auch nachts und am Wochenende, nicht in ein ungelesenes Postfach.
• Eine Zeitleiste: die Ereignisse aller Server an einem Ort, mit Uhrzeiten, Quelladressen, Logins und getroffenen Maßnahmen. Die ersten Zeilen der Frühwarnung sind dann eine Frage des Lesens, nicht des Logsammelns.
• Eine vorab benannte entscheidende Person: wer festlegt, ob der Vorfall erheblich ist, und wer die Meldung freigibt und abschickt.
• Der Meldeweg steht bereit: Registrierung erledigt, wo sie vorgeschrieben ist, Zugang zum Portal getestet, Kontakte des CSIRT griffbereit.
• Dienstleister eingebunden: Verwaltet ein Dienstleister deine Server, regelt der Vertrag, wie schnell er dich informiert. Seine Verzögerung zählt zu deinen 24 Stunden.

InfraFence deckt die Linux-Server ab, auf denen sein Agent läuft:

• Alarme: per E-Mail in jedem Tarif; Slack, Discord, Telegram und signierte Webhooks ab dem Basic-Tarif, mit Mindestschweregrad und Kategorien je Kanal. Siehe Benachrichtigungen.
• Die Zeitleiste: Angriffe, Sperren, SSH-Logins, geänderte Dateien, Malware-Funde und jede Aktion einer Person oder von AutoMode, mit Freigaben und Rücknahmen. Siehe Ereignisse und Aktivität.
• Entwürfe für die Meldungen: Unter Compliance (Pro und AutoMode) entstehen die NIS2-Frühwarnung, die Meldung des Sicherheitsvorfalls und der Abschlussbericht aus einem Vorfall der letzten 7 Tage oder einem Zeitraum von bis zu 31 Tagen, mit deinen Notizen und in der Sprache deiner Wahl. Der Entwurf trennt abgewehrte Versuche von einer bestätigten Kompromittierung und markiert, was er nicht wissen kann, etwa Firmendaten und geschäftliche Auswirkungen, als Platzhalter zum Ausfüllen. Entwürfe werden versioniert und lassen sich als Markdown herunterladen oder als PDF drucken. Siehe Monats- und NIS2-Berichte.

Die Entwürfe folgen dem Aufbau von Artikel 23, nicht einem nationalen Formular: Übertrag den Text ins BSI-Portal oder ins Formular deines Landes. Für den Entwurf werden die Zeitleiste und deine Notizen an einen externen Textgenerierungsdienst gesendet; die Seite sagt dir das, bevor du startest.

Was es nicht tut: Es entscheidet nicht, ob ein Vorfall erheblich ist, es schickt nichts an eine Behörde oder ein CSIRT, und es sieht nur die Server, auf denen der Agent läuft. Der Ereignisverlauf reicht 30 Tage zurück im Starter-Tarif und 90 Tage in den bezahlten Tarifen. Die Entwürfe sind keine Rechtsberatung und machen dich nicht allein compliant. Sind personenbezogene Daten betroffen, lies auch NIS2 und DSGVO.

• Richtlinie (EU) 2022/2555 (NIS2) auf EUR-Lex: Artikel 6, 23, 26 und 30.
• Durchführungsverordnung (EU) 2024/2690 der Kommission auf EUR-Lex: Artikel 3, 4 und 10.
• Deutschland: § 32 BSIG, die BSI-Seite zur NIS-2-Meldepflicht und die BSI-Pressemitteilung zum Inkrafttreten.
• Italien: D.Lgs. 138/2024, Artikel 25 auf Normattiva und die ACN-Bestimmung 379907/2025.
• Frankreich: das Gesetzgebungsdossier der Nationalversammlung.
• Spanien: Königliches Gesetzesdekret 12/2018 im BOE und das Innenministerium zum Gesetzentwurf.
• Portugal: Gesetzesdekret 125/2025 im Diário da República, Artikel 40 bis 44 der Anlage.
• Europäische Kommission, NIS2-Umsetzung in den EU-Ländern.