Freitag, 18:07 Uhr: Das Monitoring schlägt an! Ab wann tickt die Uhr bei der NIS-2-Meldefrist

NIS-2 verpflichtet Unternehmen zu einem dreistufigen Meldeverfahren bei erheblichen Sicherheitsvorfällen, mit einer Frühwarnung innerhalb von 24 Stunden. Die entscheidende Frage ist dabei nicht wann der Vorfall passiert, sondern ab wann ein Unternehmen davon Kenntnis hat. Denn schon ein begründeter Verdacht kann die Meldefrist auslösen und wer dann zögert, riskiert persönliche Haftung der Geschäftsführung.

Freitag, 18:07 Uhr, der Moment, der alles verändert: Das Monitoring meldet Unregelmäßigkeiten im Netzwerk. Erste Systeme reagieren verzögert, aus dem Fachbereich kommt der Hinweis auf „komische“ Zugriffe. Der CISO hat einen konkreten Verdacht, aber noch keine gesicherte Kennt­nis eines Sicherheitsvorfalls. Was er nicht weiß: Die Uhr Richtung 24-Stunden-Früh­war­nung und 72-Stunden-Meldepflicht läuft bereits. Oder doch noch nicht?

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Was NIS-2 wirklich verlangt: Das dreistufige Meldeverfahren

Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet betroffene Organisationen – „besonders wichtige“ und „wichtige Einrichtungen“ in insgesamt 18 Sektoren – zu einem dreistufigen Meldeverfahren gegenüber der zuständigen nationalen Behörde (in Deutschland: das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI): a) Eine Frühwarnung muss innerhalb von 24 Stunden nach Kenntnisnahme eingehen, gefolgt von b) einer Vorfallmeldung mit Schweregradeinschätzung binnen 72 Stunden und c) einem Abschlussbericht innerhalb eines Monats. Alle Fristen laufen ab dem Zeitpunkt der Kenntnisnahme – nicht ab dem des Vorfalls selbst. Das ist die entscheidende Herausforderung.

NIS-2-Umsetzung in Deutschland mit Haftung und Meldepflicht im Fokus

NIS 2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

Verdacht vs. Kenntnis: Die entscheidende Grenzlinie

Die Richtlinie selbst definiert den Begriff „Kenntnis“ nicht präzise. Die Faustregel: Sobald hinreichend konkrete Anhaltspunkte für einen erheblichen Vorfall vorliegen, beginnt die Meldepflicht – ein begründeter Verdacht genügt. Wie sich diese Grenze im Verlauf des Morgens verschiebt, zeigt der folgende Schnellcheck.

Das größte Haftungsrisiko ist nicht die formale Kenntnis, sondern die unterlassene Reaktion auf einen begründeten Verdacht.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Was in den ersten drei Stunden zwingend zu tun ist

Vier Arbeitsstränge müssen ab der ersten Minute parallel laufen – nicht hintereinander:

• Technische Analyse (Was ist betroffen, ist die Bedrohung noch aktiv?)

• Rechtliche Einordnung (Erheblichkeit, DSGVO, DORA, etc.),

• Krisenstab und Meldepflichten (wer muss intern und extern informiert werden?) und

• revisionssichere Dokumentation mit Zeitstempel für jeden Schritt und jede Entscheidung.

Wer erst die Technik klärt und dann rechtlich bewertet, verliert Stunden und erhöht das persönliche Haftungsrisiko.

Dokumentationsfalle: Excel und WhatsApp sind keine Option mehr!

NIS-2 verlangt eine vollständige, manipulationssichere Dokumentation – nicht nur des Vorfalls, sondern auch jeder Entscheidung im Prozess: Warum ging man zu welchem Zeitpunkt noch von Verdacht, nicht von Kenntnis aus? Excel und WhatsApp bieten hierfür weder Zeitstempel noch Audit Trail und sind nicht revisionssicher. Moderne GRC- und Incident-Management-Platt­formen protokollieren jeden Schritt automatisch mit Zeitstempel und Nutzer-ID, stellen vordefinierte Action Cards und Checklisten bereit, sodass kein Schritt vergessen wird, füllen Meldungen an das BSI in den geforderten Formaten aus und bleiben als SaaS-Lösung auch dann erreichbar, wenn die eigene IT-Infrastruktur durch einen Angriff ausgefallen ist.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Die Erheblichkeitsschwelle: Wann ist ein Vorfall meldepflichtig?

Meldepflichtig sind nur „erhebliche“ Vorfälle. Kriterien dafür sind Bedrohungen wie eine Betriebsstörung, finanzielle Verluste oder Datenverlust bzw. Datenmanipulation. Wer vorab eine Business Impact Analyse (BIA) durchgeführt und IT-Systeme mit Geschäftsprozessen verknüpft hat, kann diese Bewertung im Ernstfall in Minuten treffen. Ohne diese Vorarbeit beginnt die eigentliche Einschätzung erst im Krisenmodus.

Managementhaftung: Wenn der CISO allein nicht mehr reicht

NIS-2 führt die persönliche Haftung der Leitungsorgane ein. Geschäftsführer und Vorstände können künftig direkt für Compliance-Verstöße in Haftung genommen werden – bis hin zu einem vorübergehenden Tätigkeitsverbot. NIS-2-Compliance ist damit keine IT-Frage mehr, sondern Führungsaufgabe: Sobald Kenntnis eines erheblichen Vorfalls vorliegt, muss die Geschäftsführung einbezogen werden, diese muss die Meldepflicht aktiv steuern und Entscheidungen dokumentieren. Laut BCI Emergency & Crisis Communications Report 2025 nutzen 60,3 Prozent der Organisationen bereits spezialisierte Krisenmanagement-Tools. Wer das nicht tut, verliert im Ernstfall keine Minuten, sondern Stunden.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Fazit: Compliance beginnt vor dem Alarm

Die 72-Stunden-Frage lässt sich nicht erst im Moment des Vorfalls beantworten. Wer in der Hektik eines Freitagabends klar und handlungsfähig bleiben will, braucht vorab definierte Prozesse, trainierte Teams, belastbare Technologie und ein gemeinsames Verständnis der juristischen Grenzlinie zwischen Verdacht und Kenntnis.

Sechs Maßnahmen, die Organisationen jetzt umsetzen sollten:

• 1. NIS-2-Betroffenheit prüfen: Essential Entity oder Important Entity? Welche Meldepflichten gelten konkret?

• 2. Business Impact Analyse (BIA) durchführen: IT-Systeme mit Geschäftsprozessen verknüpfen, Erheblichkeitsschwellen definieren.

• 3. Incident-Response-Prozesse und Notfallpläne definieren: Wer entscheidet wann was – mit klaren Eskalationspfaden und Zuständigkeiten. Prozesse und Pläne regelmäßig testen und üben.

• 4. Revisionssichere Dokumentation sicherstellen: Ablösung von Excel und WhatsApp durch auditfähige Plattformen.

• 5. Management sensibilisieren: NIS-2 ist Chefsache. Schulung der Leitungsebene zu Haftungsrisiken und Meldepflichten.

• 6. Technologie als Rückgrat: SaaS-basierte Resilienzplattformen, die auch bei einem eigenen IT-Ausfall handlungsfähig bleiben.

Security-Insider Podcast – Folge 114

So schaffen Sie Synergien zwischen CRA und NIS 2

NIS-2 ist kein Ziel, das man einmalig erreicht. Es ist ein Rahmen, in dem Organisationen ihre Resilienz kontinuierlich ausbauen können – mit jedem Vorfall, aus dem sie strukturiert lernen. Wer jetzt die Grundlagen legt, wird die nächste Krise nicht nur überstehen, sondern gestärkt daraus hervorgehen.

Über den Autor: Michael Franke ist Head of GRC & Product Consulting bei der F24 AG und Experte in den Bereichen Governance, Risk & Compliance (GRC), Informationssicherheit, Business Continuity Management sowie Audit. Sein Fokus liegt darauf, regulatorische Anforderungen, Best Practices und technologische Innovationen miteinander zu verbinden, um Unternehmen bei einem nachhaltigen und zukunftssicheren GRC-Management zu unterstützen.

Security-Insider Podcast – Folge 116

So ergänzt das KRITIS-Dachgesetz die NIS-2-Richtlinie

(ID:50827134)