NIS2-Meldepflicht: Welche Fristen wirklich gelten

Seit dem 6. Dezember 2025 gilt in Deutschland das neu gefasste BSI-Gesetz. Wer meldepflichtig ist und einen erheblichen Sicherheitsvorfall zu spät oder gar nicht meldet, riskiert ein Bußgeldverfahren. Dieser Beitrag ordnet die Fristen, benennt den Adressaten und zeigt, welche Vorfälle die Uhr in Gang setzen.

Rechtsstand: Das Gesetz gilt seit Dezember 2025

Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am Folgetag in Kraft getreten. Es hat das BSI-Gesetz grundlegend neu gefasst. Eine allgemeine Schonfrist sieht das Gesetz nicht vor; die Pflichten gelten seit dem Inkrafttreten mit den Fristen, die das Gesetz selbst nennt.

Das BSI rechnet mit rund 29.500 Einrichtungen, die es nach dem neuen Gesetz beaufsichtigt. Die Zahl ist eine Erwartung des BSI, keine Liste. Für die Frage, ob Ihr Unternehmen darunter fällt, kommt es auf Sektor und Größenklasse an, nicht auf die Gesamtzahl.

Die Frist zur Registrierung beim BSI endete für bereits betroffene Einrichtungen am 6. März 2026, die vom BSI genannte Nachfrist am 31. Juli 2026. Wer sich bis heute nicht registriert hat, ist säumig. Die Registrierungspflicht besteht fort und sollte umgehend nachgeholt werden, bevor der erste Vorfall eintritt und die Meldeuhr läuft.

Die dreistufige Meldekaskade an das BSI

Kernstück der Meldepflicht nach § 32 BSIG ist eine Kaskade aus drei aufeinander aufbauenden Meldungen. Adressat ist in allen Stufen die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, erreichbar über das BSI-Portal. Es gibt keinen Umweg über den Datenschutzbeauftragten oder das eigene Ministerium.

Die drei Stufen bauen zeitlich aufeinander auf. Die 72-Stunden-Meldung ersetzt nicht die frühe Erstmeldung, und die Abschlussmeldung ersetzt nicht die 72-Stunden-Meldung. Jede Stufe hat einen eigenen Inhalt und eine eigene Frist.

Frühe Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden.
Meldung: unverzüglich, spätestens 72 Stunden nach Kenntniserlangung, mit einer ersten Bewertung von Schweregrad und Auswirkungen.
Abschlussmeldung: spätestens einen Monat nach der 72-Stunden-Meldung, mit Ursachen, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen; dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung.

Wann die Uhr wirklich zu laufen beginnt

Die 24- und die 72-Stunden-Frist beginnen nicht mit dem technischen Zeitpunkt des Angriffs, sondern mit der Kenntniserlangung. Laut BSI ist das der Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung während der Arbeitszeit von dem erheblichen Sicherheitsvorfall erfährt. Auf die Kenntnis der Geschäftsleitung kommt es nicht an.

Praktisch bedeutet das: Erkennt Ihr Security-Team am Freitagnachmittag einen erheblichen Sicherheitsvorfall und informiert die Geschäftsführung erst am Montag, ist die 24-Stunden-Frist längst abgelaufen. Die Uhr läuft ab der Kenntnis im Team, nicht ab der Information der Leitung. Dokumentieren Sie deshalb, wann wer was erkannt hat; ohne belastbare Zeitleiste können Sie später nicht nachweisen, wann die Kenntnis eintrat.

Legen Sie deshalb schon vor dem ersten Vorfall fest, wer die Meldung abgibt, wie die Geschäftsleitung ohne Zeitverlust eingebunden wird und wie die interne Meldekette dokumentiert wird. Ein Runbook mit klaren Zuständigkeiten ist im Ernstfall wichtiger als jedes technische Detail.

Welche Vorfälle überhaupt meldepflichtig sind

Nicht jeder Sicherheitsvorfall löst die Meldepflicht aus. Das Gesetz stellt auf erhebliche Sicherheitsvorfälle ab. Erheblich ist ein Vorfall dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann.

In der Praxis fallen darunter unter anderem geglückte Ransomware-Angriffe mit Verschlüsselung produktiver Systeme, längere Ausfälle wesentlicher Dienste, größere Datenabflüsse und aktiv ausgenutzte Schwachstellen mit Auswirkung auf Kunden oder Lieferkette. Ein blockierter Phishing-Versuch oder ein einzelner infizierter Endpunkt ohne Ausbreitung ist in der Regel nicht meldepflichtig, sollte aber intern dokumentiert werden.

Die Beurteilung, ob ein Vorfall die Schwelle überschreitet, treffen Sie selbst und tragen dafür die Verantwortung. Im Zweifel gilt: lieber melden. Das BSI verfolgt nach eigener Aussage den Ansatz „Schnelligkeit vor Vollständigkeit“; fehlende Angaben werden mit Folgemeldungen nachgereicht. Eine unterlassene oder verspätete Meldung ist dagegen bußgeldbewehrt (§ 65 Abs. 2 Nr. 4 BSIG).

NIS2 und DSGVO laufen parallel, nicht nacheinander

Wenn ein Vorfall auch personenbezogene Daten betrifft, greifen zwei Meldepflichten nebeneinander. Die frühe Erstmeldung nach § 32 BSIG ist binnen 24 Stunden zu erstatten, die Meldung an die zuständige Datenschutzaufsicht nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Beide Fristen laufen unabhängig voneinander und dürfen nicht miteinander verrechnet werden.

Adressaten, Portale und Inhalte sind unterschiedlich. Wer nur an die Datenschutzaufsicht meldet, hat seine NIS2-Pflicht nicht erfüllt. Wer nur an das BSI meldet, hat seine DSGVO-Pflicht nicht erfüllt. Verankern Sie beide Wege deshalb in einem gemeinsamen Prozess, der beim ersten Vorfall automatisch beide Meldungen auslöst.

Wer meldet: besonders wichtige und wichtige Einrichtungen

Das Gesetz unterscheidet zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Die inhaltlichen Anforderungen an Risikomanagement und Meldewesen sind weitgehend gleich. Unterschiede bestehen bei der Aufsichtsintensität, die bei besonders wichtigen Einrichtungen proaktiv ausgestaltet ist, sowie beim Sanktionsrahmen.

Die Einordnung folgt zwei Achsen: Sektor und Größenklasse. Die Größe richtet sich nach der EU-Empfehlung 2003/361/EG. Mittlere Unternehmen haben mindestens 50 Beschäftigte oder sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Bilanzsumme (§ 28 Abs. 2 Nr. 3 BSIG). Große Unternehmen erreichen mindestens 250 Beschäftigte oder gleichzeitig mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.

Ein häufiger Fehler ist, ausschließlich auf die Mitarbeiterzahl zu schauen: Auch unter 50 Beschäftigten kann ein Unternehmen über Umsatz und Bilanzsumme erfasst sein. Die Kennzahlen von Partner- und verbundenen Unternehmen werden grundsätzlich hinzugerechnet, außer das Unternehmen ist bei seiner IT unabhängig (§ 28 Abs. 4 Satz 2 BSIG).

Was Sie diese Woche konkret tun sollten

Prüfen Sie zuerst, ob Ihr Unternehmen unter das neue BSI-Gesetz fällt. Klären Sie parallel, ob die Registrierung beim BSI erfolgt ist. Die Registrierungsfrist ist am 6. März 2026 abgelaufen, die Nachfrist des BSI am 31. Juli 2026; eine Nachholung ändert nichts an der bestehenden Säumnis, verhindert aber weiteren Verzug und sollte deshalb unverzüglich erfolgen. Legen Sie danach schriftlich fest, wer im Unternehmen einen Vorfall meldet und wie Geschäftsleitung und Meldeverantwortliche auch außerhalb der Geschäftszeiten erreichbar sind.

Erstellen Sie ein einseitiges Runbook, das im Ernstfall Schritt für Schritt durch die drei Meldestufen führt. Ergänzen Sie einen parallelen Zweig für die DSGVO-Meldung. Testen Sie diesen Ablauf mindestens einmal im Jahr in einer Übung, denn Meldefristen laufen auch am Wochenende und an Feiertagen.

Fazit

Die NIS2-Meldepflicht ist keine ferne Perspektive mehr, sondern seit Dezember 2025 geltendes Recht. Die drei Fristen von 24 Stunden, 72 Stunden und einem Monat sind so eng bemessen, dass sie nur mit vorbereitetem Prozess einzuhalten sind. Wer heute noch keinen Meldeweg definiert hat, sollte diese Woche damit beginnen und im ersten Schritt die eigene Betroffenheit sauber feststellen.

Wenn Sie noch nicht sicher sind, ob Ihr Unternehmen unter die neuen Pflichten fällt, klärt der kostenlose NIS2-Betroffenheits-Check von DC INFOSEC diese Frage in wenigen Minuten.Zum kostenlosen NIS2-Check