NIS2-Frühwarnung: was in den ersten 24 Stunden zu tun ist
Nach NIS2 hat eine wesentliche oder wichtige Einrichtung 24 Stunden ab Kenntnis eines erheblichen Sicherheitsvorfalls, um eine Frühwarnung an ihr CSIRT oder ihre zuständige Behörde zu senden. Hier steht, was als erheblich gilt, was die Frühwarnung enthalten muss und wie Sie die Frist einhalten, ohne zu raten.
Die vier Meldungen nach Artikel 23
- Frühwarnung: innerhalb von 24 Stunden nach Kenntnis des erheblichen Sicherheitsvorfalls.
- Meldung des Sicherheitsvorfalls: innerhalb von 72 Stunden, als Aktualisierung der Frühwarnung mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie, falls verfügbar, Kompromittierungsindikatoren.
- Zwischenbericht: immer dann, wenn das CSIRT oder die Behörde ihn anfordert.
- Abschlussbericht: innerhalb eines Monats nach der Meldung des Sicherheitsvorfalls oder, wenn der Vorfall dann noch andauert, ein Fortschrittsbericht zu diesem Zeitpunkt und der Abschlussbericht innerhalb eines Monats nach seiner Behandlung.
Unser kostenloser NIS2-Fristenrechner nennt Ihnen die drei Termine ab dem Zeitpunkt der Kenntnis.
Ist der Vorfall erheblich?
Nach Artikel 23 Absatz 3 ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für einige digitale Anbieter legt eine Durchführungsverordnung genaue Schwellenwerte fest. Im Zweifel zählt die Uhr: Halten Sie die Entscheidung, ihre Gründe und die Uhrzeit fest.
Was die Frühwarnung enthalten muss
Sehr wenig, und das mit Absicht. Die Frühwarnung meldet, dass ein erheblicher Sicherheitsvorfall vorliegt, und gibt, soweit möglich, an, ob er auf rechtswidrige oder böswillige Handlungen zurückgehen könnte und ob er grenzüberschreitende Auswirkungen haben könnte. Sie können auch um Unterstützung bitten. Die Einzelheiten folgen in der Meldung nach 72 Stunden.
Checkliste für die ersten 24 Stunden
- Halten Sie den Zeitpunkt der Kenntnis fest, mit dem Hinweis, der ihn ausgelöst hat. Alle Fristen laufen ab dort.
- Entscheiden Sie, ob der Vorfall erheblich ist, und lassen Sie die Entscheidung von der verantwortlichen Person unterschreiben, mit benannter Vertretung.
- Senden Sie die Frühwarnung über den in Ihrem Land vorgesehenen Kanal und bewahren Sie den Sendenachweis auf.
- Informieren Sie die Empfänger Ihrer Dienste, wenn der Vorfall sie voraussichtlich betrifft (Artikel 23 Absatz 1), und sagen Sie ihnen, wie sie sich schützen können.
- Bereiten Sie die Meldung nach 72 Stunden vor: erste Bewertung von Schweregrad und Auswirkungen, Kompromittierungsindikatoren, ergriffene Maßnahmen.
Die meisten verspäteten Meldungen liegen nicht am Vorfall selbst, sondern daran, dass niemand weiß, wer entscheidet oder wann die Uhr zu laufen begann. Klären Sie diese beiden Punkte vor dem ersten Vorfall.
Wobei Clearlane hilft
Clearlane Breach & Incident Reporting führt jeden Vorfall in Jira, mit jeder gesetzlichen Frist gezählt (NIS2 sowie DSGVO oder DORA, wenn sie ebenfalls gelten), Meldetexten zum Einfügen und einer Nachweisdatei mit den Signaturen. Die App hilft, diese Fristen einzuhalten; sie übermittelt nichts in Ihrem Namen, und die rechtliche Bewertung bleibt bei Ihnen.
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 23 und Erwägungsgründe 101-102. Geprüft am 22. Oktober 2026. Dieser Leitfaden ist keine Rechtsberatung.