_1762866128417-DS2_OO1j.png)
Die Meldekaskade der NIS2-Richtlinie
Artikel 23 der NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle in festen Stufen an die zuständige Behörde oder das CSIRT zu melden. Die Fristen beginnen, sobald die Einrichtung Kenntnis von dem Vorfall erlangt – auch am Wochenende.
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühwarnung | 24 Stunden nach Kenntnis | Verdacht auf rechtswidrige oder böswillige Handlung? Mögliche grenzüberschreitende Auswirkungen? |
| Vorfallmeldung | 72 Stunden nach Kenntnis | Erste Bewertung: Schweregrad, Auswirkungen, Kompromittierungsindikatoren |
| Zwischenbericht | Auf Anfrage der Behörde | Relevante Statusaktualisierungen |
| Abschlussbericht | Einen Monat nach der Vorfallmeldung | Ausführliche Beschreibung, Ursache, ergriffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Hintergründe, Kriterien für erhebliche Vorfälle und Formulierungshilfen erklärt der Ratgeber NIS2-Meldepflicht.
So unterstützt docxpert die Meldung
- 1
Vorfall erfassen
Titel, Beschreibung, betroffene Systeme, zuständige Person und – entscheidend – der Zeitpunkt der Erkennung. Sie wählen, ob der Vorfall unter NIS2 oder den Cyber Resilience Act fällt.
- 2
Fristen werden berechnet
Ab dem Erkennungszeitpunkt berechnet docxpert die Fristen für Frühwarnung, Vorfallmeldung und Abschlussbericht automatisch.
- 3
Schritt für Schritt melden
Nach jeder Meldung setzen Sie den Status weiter und dokumentieren Inhalt und Zeitpunkt der Meldung. Erledigte Schritte werden grün, offene zeigen die verbleibende Zeit.
- 4
Überfälliges erkennen
Die Übersicht zählt offene Vorfälle und überfällige Meldeschritte – damit nichts zwischen Schichtwechsel und Wochenende verloren geht.
- 5
Abschließen und lernen
Nach dem Abschlussbericht wird der Vorfall geschlossen. Erkenntnisse fließen als Korrekturmaßnahme in Ihr Managementsystem.
Funktionen im Überblick
Wann ist ein Vorfall erheblich?
Nicht jeder Sicherheitsvorfall ist meldepflichtig. Nach Artikel 23 Absatz 3 gilt ein Vorfall als erheblich, wenn er
- schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
- andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Für bestimmte Sektoren konkretisieren Durchführungsrechtsakte und nationale Vorgaben diese Kriterien. Legen Sie intern fest, wer die Erheblichkeit bewertet – und erfassen Sie im Zweifel jeden Vorfall in docxpert, damit die Fristen ab Erkennung laufen, während die Bewertung erfolgt.
Was in eine gute Vorfalldokumentation gehört
Behörden erwarten nachvollziehbare, faktenbasierte Meldungen – auch wenn in den ersten Stunden noch vieles unklar ist. Halten Sie in docxpert je Vorfall mindestens fest:
- Erkennungszeitpunkt und wie der Vorfall entdeckt wurde
- Betroffene Systeme, Dienste und Standorte
- Erste Einschätzung von Ursache, Schweregrad und möglichen grenzüberschreitenden Auswirkungen
- Ergriffene Sofortmaßnahmen und deren Zeitpunkt
- Inhalt, Empfänger und Zeitpunkt jeder Meldung
- Ursache, Abhilfemaßnahmen und Erkenntnisse im Abschlussbericht
Was zum Zeitpunkt der Frühwarnung noch nicht bekannt ist, wird in der Vorfallmeldung und im Abschlussbericht ergänzt. Wichtig ist, dass jede Stufe für sich belegt, was Sie zu diesem Zeitpunkt wussten und getan haben.
Vorbereitet sein, bevor es passiert
Die 24-Stunden-Frist ist nur zu halten, wenn der Ablauf vorher geübt ist. docxpert hilft auch bei der Vorbereitung:
- Meldeprozess als Verfahrensanweisung: Vorlagen für Vorfallmanagement und NIS2-Meldeprozess in der Vorlagenbibliothek.
- Schulung der Beteiligten: Wer im Ernstfall meldet, wird mit Nachweis geschult – siehe Schulungsmanagement.
- Schulung der Leitung: Art. 20 verlangt regelmäßige Schulungen für Leitungsorgane; Zuweisung an die Geschäftsführung mit Frist.
- Übungen dokumentieren: Übungsvorfälle lassen sich erfassen und auswerten.
Den Überblick über alle Pflichten bietet die NIS2-Checkliste.
Praxisbeispiel: Ransomware-Verdacht am Freitagabend
Freitag, 20:38 Uhr: Das Monitoring meldet ungewöhnliche Verschlüsselungsaktivität auf einem Fileserver. Der IT-Leiter erfasst den Vorfall in docxpert mit Erkennungszeitpunkt 20:38 Uhr. Die Frühwarnung ist damit bis Samstag 20:38 Uhr fällig, die Vorfallmeldung bis Montag 20:38 Uhr.
Samstagvormittag geht die Frühwarnung an das zuständige CSIRT; der Schritt wird mit Zeitpunkt und Inhalt dokumentiert. Am Montag folgt die Vorfallmeldung mit erster Bewertung, vier Wochen später der Abschlussbericht. Die anschließende CAPA führt zu einer verbesserten Netzwerksegmentierung. Bei der nächsten Prüfung durch die Aufsicht liegen alle Meldungen mit Zeitpunkten vor.
Häufige Fragen
Ab wann laufen die NIS2-Meldefristen?
Ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis vom erheblichen Sicherheitsvorfall erlangt. Deshalb ist der Erkennungszeitpunkt in docxpert ein Pflichtfeld.
Meldet docxpert direkt an die Behörde?
Nein. Die Meldung erfolgt über das Portal oder den Kanal der zuständigen Behörde bzw. des CSIRT. docxpert organisiert Fristen, Zuständigkeiten und Nachweise.
Unterstützt docxpert auch den Cyber Resilience Act?
Ja. Vorfälle können als NIS2- oder CRA-Fall erfasst werden; die Fristen werden jeweils passend berechnet.
Was ist, wenn ein Vorfall später als nicht erheblich eingestuft wird?
Dokumentieren Sie die Bewertung und schließen Sie den Vorfall. Die Erfassung zeigt, dass Sie den Vorfall geprüft haben.
Wer sollte Vorfälle erfassen dürfen?
Alle Personen, die im Ernstfall handeln: IT-Betrieb, Informationssicherheit, Geschäftsführung. Die Bearbeitung liegt bei der zuständigen Person.
Brauche ich zusätzlich ein Ticketsystem?
Für die technische Bearbeitung nutzen viele Teams weiter ihr Ticketsystem. docxpert ergänzt es um die regulatorische Sicht: Fristen, Meldungen und Nachweise.