NIS2 Meldepflichten im Regierungsentwurf: Was Unternehmen jetzt wissen müssen

NIS2-Meldepflicht – Was der Regierungsentwurf für Unternehmen bedeutet

Die Cybersicherheitslandschaft in Deutschland steht vor einem bedeutenden Wandel: Mit dem Regierungsentwurf zur Umsetzung der NIS2-Richtlinie werden die Meldepflichten deutlich verschärft und auf einen wesentlich größeren Kreis von Unternehmen ausgeweitet. Was bisher vor allem Betreiber kritischer Infrastrukturen (KRITIS) betraf, wird künftig Tausende Unternehmen verschiedenster Branchen verpflichten.

Wichtigste Erkenntnisse

• Vierstufiges Meldeverfahren: 24h-Erstmeldung, 72h-Detailmeldung, Zwischenmeldungen auf Anfrage, Abschlussmeldung nach einem Monat

• Mehr Unternehmen betroffen: Alle Unternehmen ab 50 Mitarbeitenden und 10 Mio. € Umsatz in relevanten Sektoren werden meldepflichtig

• Jetzt vorbereiten: Incident-Response-Prozesse überarbeiten, Zuständigkeiten klären, Teams schulen – auch wenn es sich noch um einen Regierungsentwurf handelt

Grundlagen der NIS2-Meldepflicht

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie ist im Januar 2023 in Kraft getreten und ersetzt die ursprüngliche NIS-Richtlinie von 2016.

Während NIS1 vor allem klassische KRITIS-Betreiber adressierte, erweitert NIS2:

• den Anwendungsbereich auf deutlich mehr Branchen

• die Sicherheitsanforderungen

• und die Meldepflichten bei Sicherheitsvorfällen

Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU und eine stärkere Resilienz gegen Cyberangriffe.

Wer ist von der NIS2-Meldepflicht betroffen?

NIS2 unterscheidet zwei Kategorien von Einrichtungen:

• Besonders wichtige Einrichtungen (Essential Entities) z. B. Energie- und Wasserversorger, Verkehrsunternehmen, Banken, Gesundheitseinrichtungen

• Wichtige Einrichtungen (Important Entities) neu hinzugekommen, u. a.:

  • Anbieter digitaler Dienste und Cloud-Services

  • Abfall- und Abwasserwirtschaft

  • Post- und Kurierdienste

  • Chemische Industrie

  • Lebensmittelproduktion und -vertrieb

Automatische Betroffenheit: Unternehmen mit > 50 Mitarbeitenden und > 10 Mio. € Jahresumsatz in relevanten Sektoren fallen grundsätzlich unter NIS2 – und damit unter die neuen Meldepflichten.

Die vier Stufen der NIS2-Meldepflicht

Das Kernstück der neuen Regelungen ist ein gestuftes Meldeverfahren für erhebliche Sicherheitsvorfälle.

1. Frühe Erstmeldung (24 Stunden)

• Frist: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung

• Zweck: schnelle Warnung und erste Lageeinschätzung

Inhalt der Erstmeldung u. a.:

• Verdacht auf rechtswidrige oder böswillige Handlungen

• mögliche grenzüberschreitende Auswirkungen auf andere EU-Staaten

👉 Unternehmen müssen in der Lage sein, auch bei unvollständiger Informationslage innerhalb von 24 Stunden zu melden.

2. Detaillierte Meldung (72 Stunden)

• Frist: spätestens 72 Stunden nach Kenntniserlangung

• Zweck: fundierte erste Analyse und Einschätzung des Vorfalls

Inhalte u. a.:

• Bestätigung bzw. Aktualisierung der Erstmeldung

• erste Bewertung von Schweregrad und Auswirkungen

• bekannte Indicators of Compromise (IoCs)

• erste Einschätzung der betroffenen Systeme und Daten

Diese Meldung bildet die Grundlage für koordiniertes Handeln der Behörden und ggf. weiterer betroffener Organisationen.

3. Zwischenmeldungen (auf Anfrage)

• Trigger: auf Ersuchen des BSI

• Zweck: Statusupdates bei komplexen oder länger andauernden Vorfällen

Mögliche Inhalte:

• aktueller Stand der Vorfallsbearbeitung

• neue Erkenntnisse zu Ursache, Auswirkungen und Risiken

• angepasste Risikobewertung

4. Abschlussmeldung (nach 1 Monat)

• Frist: spätestens einen Monat nach der 72-Stunden-Meldung

Inhalte u. a.:

a) Beschreibung des Sicherheitsvorfalls

• detaillierte Timeline des Vorfalls

• konkrete Auswirkungen auf Geschäftsprozesse

• betroffene Systeme, Daten und Personengruppen

b) Art der Bedrohung & Ursachenanalyse

• technischer Angriffsvektor

• genutzte Schwachstellen

• vermutete Motivation/Herkunft des Angriffs

c) Abhilfemaßnahmen

• bereits umgesetzte Maßnahmen

• laufende Remediation

• geplante langfristige Verbesserungen

d) Grenzüberschreitende Auswirkungen

• bestätigte oder vermutete Auswirkungen in anderen EU-Staaten

• Abstimmung mit ausländischen Behörden

💡 Sonderfall: Andauernde Vorfälle Ist der Vorfall nach einem Monat noch nicht vollständig behoben, erfolgt zunächst eine Fortschrittsmeldung, die endgültige Abschlussmeldung später.

Schritt für Schritt zum zertifizierbaren ISMS

Mit dem ISMS-Tool von fuentis setzen Sie aktuelle Standards automatisiert und effizient um. Schlüsselfertige Module, klare Workflows und Expertenunterstützung erleichtern den Aufbau eines ISMS – egal ob Sie neu starten oder bestehende Strukturen modernisieren.

Multi-Compliance ISMS

• Vollständiges ISMS-Tool, das Sie zur ISO 27001-Zertifizierung führt

• deckt zusätzlich BSI-Grundschutz, TISAX® und NIS2 ab

Automatisierte Prozesse

• geführte Workflows, die Schritt für Schritt durch den Zertifizierungsprozess führen – auch ohne Vorkenntnisse

Review Questionnaires

• einfache, anpassbare Fragebögen zur schnellen und verständlichen Schutzbedarfsfeststellung

Persönlicher Support

• erfahrene Berater begleiten Sie von der ersten Analyse bis zur Audit-Begleitung

Besonderheiten für kritische Infrastrukturen (KRITIS)

Zusätzliche Meldepflichten

KRITIS-Betreiber müssen über die vier Standardmeldungen hinaus zusätzliche Informationen liefern, u. a.:

• Art der betroffenen Anlage (z. B. Kraftwerk, Wasserwerk, Krankenhaus-IT, Verkehrsleitsystem)

• Betroffene kritische Dienstleistung (z. B. Stromversorgung, Trinkwasser, Patientenversorgung, ÖPNV)

• Auswirkungen auf die Dienstleistung Anzahl betroffener Kunden, geografische Reichweite, Dauer der Störung

Gemeinsame Meldestelle & Koordination

• Gemeinsame Meldestelle von BSI und BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)

• Unternehmen melden zentral, Behörden koordinieren intern

Vorteile:

• keine Mehrfachmeldungen an verschiedene Stellen

• automatische Weiterleitung an zuständige Aufsichtsbehörden

• Möglichkeit aktiver Unterstützung durch das BSI (Beratung, Forensik, Koordination)

Praktische Umsetzung und Meldeweg

Gemeinsame Meldestelle BSI/BBK

• technische Plattform wird gemeinsam durch BSI und BBK aufgebaut

• Meldepflichten werden erst wirksam, wenn der Meldeweg technisch bereitsteht

Das BSI:

• legt die Details des Meldeverfahrens nach Anhörung der betroffenen Kreise fest

• veröffentlicht Informationen und Vorgaben auf seiner Website

Unterstützung durch das BSI

Meldende Unternehmen können Unterstützung erhalten, z. B.:

• technische Hilfe bei der Vorfallsbehebung

• forensische Analysen

• Koordination mit weiteren Behörden und Experten

Was Unternehmen jetzt tun sollten

1. Incident-Response-Prozesse überarbeiten

   • Prozesse auf 24h / 72h / 1 Monat ausrichten

   • Eskalationswege definieren

   • Kriterien für „erhebliche Sicherheitsvorfälle“ festlegen

2. Verantwortlichkeiten klären

   • Incident-Response-Team benennen

   • 24/7-Erreichbarkeit organisieren

   • Vertretungsregelungen und Entscheidungskompetenzen festlegen

3. Technische Basis stärken

   • Logging & Monitoring ausbauen

   • Forensik-Fähigkeiten (intern oder extern) sichern

   • Backup- und Recovery-Prozesse testen

   • Notfall-Kommunikationskanäle definieren

4. Vorlagen & Dokumentation erstellen

   • Meldevorlagen für alle Stufen

   • Checklisten für die Vorfallsbearbeitung

   • aktuelle Kontaktlisten (intern/extern) pflegen

5. Tests & Schulungen durchführen

   • Incident-Response-Übungen

   • Meldeprozesse simulieren

   • Awareness-Trainings zu NIS2-Pflichten

Ausblick und nächste Schritte

• Der Regierungsentwurf befindet sich im parlamentarischen Verfahren, Inkrafttreten voraussichtlich 2025.

• Die Meldepflichten gelten erst, wenn die gemeinsame Meldestelle technisch verfügbar ist.

• Weitere Details folgen durch BSI-Veröffentlichungen und EU-Durchführungsrechtsakte.

Fazit

Die geplanten NIS2-Meldepflichten bedeuten eine massive Verschärfung der Anforderungen. Das vierstufige Verfahren mit engen Fristen verlangt:

• angepasste Prozesse

• klare Verantwortlichkeiten

• geübte Teams

„

Wichtiger Hinweis: Es handelt sich um einen Regierungsentwurf, der sich noch ändern kann. Die endgültigen Regelungen können abweichen. Unternehmen sollten die Entwicklungen – insbesondere Veröffentlichungen des BSI – aufmerksam verfolgen.

Trotzdem gilt: Wer jetzt strukturiert vorbereitet, ist im Ernstfall klar im Vorteil.

Sind Sie von NIS2 betroffen?