Nach Artikel 23 NIS2 wird ein erheblicher Sicherheitsvorfall in Stufen gemeldet: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden nach Kenntniserlangung und ein Abschlussbericht innerhalb eines Monats nach der Meldung. Vertrauensdiensteanbieter geben die Meldung innerhalb von 24 Stunden ab. Die Meldungen gehen an Ihr nationales CSIRT oder Ihre zuständige Behörde.
Dieser Leitfaden behandelt den Fristbeginn, jede einzelne Meldung, Vertrauensdiensteanbieter, Empfänger, die Antwort des CSIRT, Kunden, grenzüberschreitende und freiwillige Meldungen, nationale Vorschriften und einen Zeitplan zum Kopieren.
| Phase | Frist | Inhalt | NIS2 |
|---|---|---|---|
| Frühwarnung | Unverzüglich, innerhalb von 24 Stunden nach Kenntniserlangung | Gegebenenfalls: Verdacht auf rechtswidrige oder böswillige Handlung; mögliche grenzüberschreitende Auswirkungen | Art. 23 Abs. 4 Buchst. a |
| Antwort des CSIRT | Unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung | Erste Rückmeldung; auf Ersuchen Orientierungshilfe zur Abhilfe | Art. 23 Abs. 5 |
| Meldung über den Sicherheitsvorfall | Unverzüglich, innerhalb von 72 Stunden nach Kenntniserlangung (24 Stunden für Vertrauensdiensteanbieter) | Aktualisierung der Frühwarnung; erste Bewertung von Schweregrad und Auswirkungen; Kompromittierungsindikatoren, soweit verfügbar | Art. 23 Abs. 4 Buchst. b |
| Zwischenbericht | Auf Ersuchen des CSIRT oder der Behörde | Relevante Statusaktualisierungen | Art. 23 Abs. 4 Buchst. c |
| Abschlussbericht | Spätestens einen Monat nach der Meldung über den Sicherheitsvorfall | Ausführliche Beschreibung, Schweregrad und Auswirkungen; Art der Bedrohung oder Grundursache; angewandte und laufende Abhilfemaßnahmen; gegebenenfalls grenzüberschreitende Auswirkungen | Art. 23 Abs. 4 Buchst. d |
| Fortschrittsbericht | Wenn der Vorfall bei Fälligkeit des Abschlussberichts noch andauert | Zu diesem Zeitpunkt ein Fortschrittsbericht; Abschlussbericht innerhalb eines Monats nach der Bearbeitung des Vorfalls | Art. 23 Abs. 4 Buchst. e |
Wann beginnt die 24-Stunden-Frist der NIS2-Meldepflicht?
In dem Moment, in dem Sie Kenntnis von dem erheblichen Sicherheitsvorfall erlangen. Artikel 23 Absatz 4 Buchstabe a verlangt die Frühwarnung „unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem sie Kenntnis von dem erheblichen Sicherheitsvorfall erlangt hat“. Die Frist beginnt nicht, wenn der Angreifer eingedrungen ist, und sie wartet nicht auf den Abschluss der Untersuchung.
Drei Details wiegen schwerer, als es scheint.
- Beide Fristen laufen ab Kenntniserlangung. Auch die 72-Stunden-Meldung wird ab Kenntniserlangung gerechnet, nicht ab der Frühwarnung. Geben Sie die Frühwarnung in Stunde 23 ab, bleiben Ihnen 49 Stunden, nicht 72.
- Der Abschlussbericht läuft ab der Meldung. Er ist einen Monat nach Abgabe der Meldung über den Sicherheitsvorfall fällig. Wer die Meldung früher abgibt, startet auch die Monatsfrist früher.
- 24 Stunden sind die Grenze, nicht das Ziel. Frühwarnung und Meldung über den Sicherheitsvorfall sind zuallererst „unverzüglich“ abzugeben. Eine Frühwarnung in Stunde 23, obwohl Sie schon in Stunde 4 genug wussten, ist schwer zu rechtfertigen.
Die Richtlinie definiert nicht, was „Kenntnis erlangen“ bedeutet. Zwischen dem Alarm und der Feststellung, dass ein Vorfall erheblich ist, können Stunden liegen. Ein vorsichtiger Ansatz nimmt den früheren Zeitpunkt. So oder so: Halten Sie den Zeitpunkt fest, wer entschieden hat und auf welcher Grundlage. Genau diese Aufzeichnung sieht sich eine Behörde an.
Was gehört in jede NIS2-Meldung?
Frühwarnung, innerhalb von 24 Stunden
Sie gibt gegebenenfalls an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, und ob er grenzüberschreitende Auswirkungen haben könnte. Nach Erwägungsgrund 102 sollte sie nur die Informationen enthalten, die das CSIRT braucht, um von dem Vorfall Kenntnis zu erhalten, und keine Ressourcen von der Bewältigung des Vorfalls abziehen. In der Praxis: wer Sie sind, ein Kontakt, eine kurze Beschreibung, die betroffenen Dienste und was Sie noch nicht wissen.
Meldung über den Sicherheitsvorfall, innerhalb von 72 Stunden
Sie aktualisiert die Frühwarnung und enthält eine erste Bewertung des Vorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie Kompromittierungsindikatoren, soweit verfügbar: IP-Adressen, Domains, Datei-Hashes. Spätestens jetzt sollten Sie wissen, welche Dienste, Systeme und Kunden betroffen sind.
Zwischenbericht, auf Ersuchen
Das CSIRT oder die zuständige Behörde kann jederzeit Statusaktualisierungen anfordern. Einen festen Termin gibt es nicht.
Abschlussbericht, innerhalb eines Monats nach der Meldung
Artikel 23 Absatz 4 Buchstabe d nennt vier Punkte:
- eine ausführliche Beschreibung des Vorfalls, einschließlich seines Schweregrads und seiner Auswirkungen;
- die Art der Bedrohung oder die Grundursache, die den Vorfall wahrscheinlich ausgelöst hat;
- angewandte und laufende Abhilfemaßnahmen;
- gegebenenfalls die grenzüberschreitenden Auswirkungen.
Fortschrittsbericht, wenn der Vorfall noch andauert
Dauert der Vorfall bei Fälligkeit des Abschlussberichts noch an, geben Sie zu diesem Zeitpunkt einen Fortschrittsbericht ab und den Abschlussbericht innerhalb eines Monats nach der Bearbeitung des Vorfalls.
Gilt für Vertrauensdiensteanbieter eine kürzere Frist?
Ja. Bei erheblichen Sicherheitsvorfällen, die sich auf die Erbringung seiner Vertrauensdienste auswirken, gibt ein Vertrauensdiensteanbieter die Meldung über den Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntniserlangung ab, statt innerhalb von 72 Stunden (Artikel 23 Absatz 4 Unterabsatz 2). Auch die Frühwarnung ist innerhalb von 24 Stunden fällig, beide fallen also in dasselbe Zeitfenster. Sinnvoll ist es, beide als eine Einreichung vorzubereiten, wenn Ihr nationales Formular das zulässt.
Was ist ein erheblicher Sicherheitsvorfall?
Nur erhebliche Sicherheitsvorfälle lösen die Fristen aus. Nach Artikel 23 Absatz 3 ist das ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann. Erfasst ist auch ein Vorfall, der andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Für digitale Anbieter wie Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und verwalteten Diensten legt die Durchführungsverordnung (EU) 2024/2690 konkrete Schwellenwerte fest. Einer davon ist ein direkter finanzieller Verlust von mehr als 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist. Wie Sie die Einstufung vornehmen, steht im Beitrag was einen Sicherheitsvorfall erheblich macht. Ransomware, die einen Kerndienst lahmlegt, ist der Lehrbuchfall: siehe NIS2 und Ransomware.
An wen melden Sie?
An Ihr nationales CSIRT oder gegebenenfalls an Ihre zuständige Behörde (Artikel 23 Absatz 1). Das nationale Recht legt fest, an wen, und stellt den Meldeweg bereit. Eine zuständige Behörde leitet die Meldung nach Eingang an das CSIRT weiter. Bei grenz- oder sektorübergreifenden Vorfällen erhält auch die zentrale Anlaufstelle die relevanten Informationen.
Finanzunternehmen sind die wichtigste Ausnahme. Artikel 4 schließt die NIS2-Meldepflichten aus, wenn ein sektorspezifischer Rechtsakt der Union mindestens gleichwertig ist. Erwägungsgrund 28 nennt DORA als diesen Rechtsakt für Finanzunternehmen; sie melden daher nach DORA.
Was macht das CSIRT mit Ihrer Frühwarnung?
Nach Artikel 23 Absatz 5 muss das CSIRT oder die zuständige Behörde unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung antworten. Die Antwort enthält eine erste Rückmeldung und, auf Ihr Ersuchen, Orientierungshilfe oder operative Beratung zur Abhilfe. Auf Ersuchen leistet das CSIRT zusätzliche technische Unterstützung. Sieht der Vorfall nach einer Straftat aus, erhalten Sie außerdem Hinweise, wie Sie ihn den Strafverfolgungsbehörden melden.
Nach Artikel 23 Absatz 1 setzt die bloße Meldung die meldende Einrichtung keiner erhöhten Haftung aus. Vor den Folgen des Vorfalls selbst schützt sie Sie nicht.
Ihre Meldung bleibt womöglich nicht vertraulich. Wenn die Öffentlichkeit informiert werden muss oder es im öffentlichen Interesse liegt, kann das CSIRT oder die Behörde nach Anhörung Ihrer Einrichtung die Öffentlichkeit informieren oder von Ihnen verlangen, dies zu tun (Artikel 23 Absatz 7). Anhörung, nicht Zustimmung.
Müssen Sie Ihre Kunden informieren?
Artikel 23 enthält zwei getrennte Pflichten gegenüber den Empfängern Ihrer Dienste.
Erhebliche Sicherheitsvorfälle, Artikel 23 Absatz 1
Soweit angemessen, unterrichten Sie die Empfänger unverzüglich über erhebliche Sicherheitsvorfälle, die die Erbringung Ihrer Dienste beeinträchtigen könnten.
Erhebliche Cyberbedrohungen, Artikel 23 Absatz 2
Gegebenenfalls teilen Sie Empfängern, die von einer erheblichen Cyberbedrohung potenziell betroffen sind, alle Maßnahmen oder Abhilfemaßnahmen mit, die sie als Reaktion darauf ergreifen können. Soweit angemessen, informieren Sie sie auch über die Bedrohung selbst. Diese Pflicht kann gelten, bevor bei Ihnen überhaupt etwas passiert ist.
Nach Artikel 6 Nummer 11 ist eine erhebliche Cyberbedrohung eine Cyberbedrohung, bei der aufgrund ihrer technischen Merkmale davon ausgegangen werden kann, dass sie das Potenzial hat, Ihre Systeme oder Nutzer schwer zu beeinträchtigen. Denken Sie an gestohlene Kundenzugangsdaten, die im Netz kursieren, oder an eine ausgenutzte Schwachstelle in Software, die Ihre Kunden einsetzen.
Erwägungsgrund 103 ergänzt, dass die Informationen kostenlos und leicht verständlich sein sollten und Ihre eigenen Maßnahmen nicht ersetzen. In der Praxis:
- Beginnen Sie mit dem, was der Empfänger tun soll. Einem Kunden, dem gesagt wird „Ändern Sie jetzt Ihr Passwort“, ist besser gedient als einem, der eine Bedrohungsanalyse ohne Handlungsanweisung erhält.
- Trennen Sie Bestätigtes von Vermutetem. „Auf Ihr Konto wurde zugegriffen“ und „Ihr Konto ist möglicherweise betroffen“ sind unterschiedliche Botschaften.
- Nutzen Sie Kanäle, die Ihre Empfänger tatsächlich lesen, und bereiten Sie Vorlagen vor, bevor Sie sie brauchen.
- Halten Sie fest, wer wann über welchen Kanal was erfahren hat.
Was gilt bei grenzüberschreitenden Sicherheitsvorfällen?
Sie müssen nicht selbst jedes betroffene Land benachrichtigen. Sie melden an Ihr eigenes CSIRT oder Ihre eigene Behörde, mit den Informationen, die zur Beurteilung grenzüberschreitender Auswirkungen nötig sind (Artikel 23 Absatz 1). Soweit angemessen, insbesondere wenn zwei oder mehr Mitgliedstaaten betroffen sind, unterrichtet das CSIRT, die Behörde oder die zentrale Anlaufstelle die anderen Mitgliedstaaten und die ENISA. Dabei sind Ihre Sicherheit, Ihre geschäftlichen Interessen und die Vertraulichkeit Ihrer Meldung zu wahren (Artikel 23 Absatz 6). Auf Ersuchen des CSIRT oder der Behörde leitet die zentrale Anlaufstelle Ihre Meldung an ihre Pendants in anderen betroffenen Mitgliedstaaten weiter (Artikel 23 Absatz 8).
Die Ausnahme ist eine Einrichtung, die mehreren Rechtsordnungen unterliegt. Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste unterliegen der Zuständigkeit jedes Mitgliedstaats, in dem sie ihre Dienste erbringen (Artikel 26), sodass jede nationale Regelung gilt.
Können Sie freiwillig melden?
Ja. Nach Artikel 30 können wesentliche und wichtige Einrichtungen zusätzlich zu ihren Pflichtmeldungen Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle melden, ob erheblich oder nicht. Jede andere Einrichtung, ob im Anwendungsbereich oder nicht, kann erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle melden. Nach Artikel 6 Nummer 5 ist ein Beinahe-Vorfall ein Ereignis, das Ihre Daten oder Dienste hätte beeinträchtigen können, aber verhindert wurde oder nicht eingetreten ist.
Freiwillige Meldungen folgen dem Verfahren nach Artikel 23, wobei die Mitgliedstaaten Pflichtmeldungen vorrangig bearbeiten können. Unbeschadet strafrechtlicher Ermittlungen erlegt Ihnen eine freiwillige Meldung keine Pflichten auf, die Sie sonst nicht gehabt hätten.
Wie verändern nationale Vorschriften die Meldefristen?
Stufen und Fristen stammen aus der Richtlinie und sind daher überall gleich. Das nationale Recht bestimmt den Empfänger, den Meldeweg, das Formular und manchmal die Begriffe. Erwägungsgrund 106 fordert die Mitgliedstaaten auf, technische Mittel wie einen einheitlichen Zugangspunkt, Online-Formulare und Vorlagen bereitzustellen.
In Luxemburg zum Beispiel heißt die 24-Stunden-Meldung „notification préliminaire“ (vorläufige Meldung), und von der ILR beaufsichtigte Einrichtungen reichen sie über das Online-Formular SERIMA ein. Das nationale Verfahren und eine Vorlage finden Sie im Beitrag zur Meldung von NIS2-Sicherheitsvorfällen in Luxemburg. Prüfen Sie Ihr eigenes nationales Recht und die Leitlinien Ihrer Behörde, bevor Sie den Prozess aufbauen.
Welche weiteren Meldungen kann derselbe Vorfall auslösen?
NIS2 ist oft nicht die einzige Frist, die läuft.
- DSGVO. Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Personen (Artikel 33 DSGVO). Die Überschneidung behandelt der Beitrag NIS2 und DSGVO.
- Cyberresilienzverordnung. Seit dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die deren Sicherheit beeinträchtigen, beginnend mit einer Frühwarnung innerhalb von 24 Stunden. Siehe CRA-Meldepflichten.
- DORA für Finanzunternehmen, anstelle von NIS2.
Erstellen Sie in der Praxis alle Meldungen aus einer einzigen Vorfallsdokumentation, damit Fakten und Zeitstempel übereinstimmen.
Was passiert, wenn Sie eine NIS2-Meldefrist versäumen?
Für Verstöße gegen Artikel 23 gelten die Verwaltungsgeldbußen nach Artikel 34. Das nationale Recht muss Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vorsehen, je nachdem, welcher Betrag höher ist.
NIS2-Meldefristen: Zeitplan zum Kopieren
NIS2 ARTIKEL 23: ZEITPLAN FÜR MELDUNGEN
T0 Einrichtung erlangt Kenntnis von erheblichem Sicherheitsvorfall
Festhalten: Datum, Uhrzeit (UTC), wer entschieden hat, Grundlage
T0 + 24 h FRÜHWARNUNG an CSIRT oder zuständige Behörde
- rechtswidrige oder böswillige Handlung vermutet? J / N / unklar
- mögliche grenzüberschreitende Auswirkungen? J / N / unklar
F + 24 h CSIRT oder Behörde antwortet nach Möglichkeit
(F = Eingang der Frühwarnung): Rückmeldung, Orientierungshilfe
T0 + 72 h MELDUNG ÜBER DEN SICHERHEITSVORFALL
- Aktualisierung der Frühwarnung
- erste Bewertung von Schweregrad und Auswirkungen
- Kompromittierungsindikatoren, soweit verfügbar
Vertrauensdiensteanbieter: fällig bei T0 + 24 h
Auf Anfrage ZWISCHENBERICHT: relevante Statusaktualisierungen
M + 1 Monat ABSCHLUSSBERICHT (M = Meldung über den Vorfall eingereicht)
- ausführliche Beschreibung, Schweregrad und Auswirkungen
- Art der Bedrohung oder Grundursache
- angewandte und laufende Abhilfemaßnahmen
- grenzüberschreitende Auswirkungen, falls zutreffend
Andauernd? FORTSCHRITTSBERICHT bei M + 1 Monat, dann
ABSCHLUSSBERICHT innerhalb eines Monats nach Bearbeitung
Parallel, unverzüglich:
- Empfänger, erheblicher Sicherheitsvorfall (Art. 23 Abs. 1)
- Empfänger, erhebliche Cyberbedrohung (Art. 23 Abs. 2)
- DSGVO-Behörde bei personenbezogenen Daten (möglichst 72 h)Was sollten Tools leisten, damit Sie die NIS2-Meldefristen einhalten?
Artikel 23 ist verfahrensbezogen. Er regelt, wann Sie melden und was Sie sagen, nicht, wie Sie davon erfahren, und genau dort werden die Fristen gewonnen oder verloren. Eine 24-Stunden-Frist ist leicht einzuhalten, wenn Sie in Stunde null Bescheid wissen. Sie ist nicht einzuhalten, wenn der Alarm drei Tage in einem Postfach lag.
Die 72-Stunden-Meldung ist schwieriger. Schweregrad, Auswirkungen und Kompromittierungsindikatoren setzen voraus, dass Sie wissen, welche Dienste getroffen wurden, welche Kunden von ihnen abhängen und worauf der Angreifer zugegriffen hat. Dafür braucht es Logs, die aufbewahrt wurden und sich abfragen lassen, und eine Zuordnung von Systemen zu Diensten zu Kunden. Viele Unternehmen erstellen diese Zuordnung erst, wenn ein Sicherheitsvorfall sie dazu zwingt.
Wenn Sie Anbieter vergleichen, die angeben, die Meldung von Sicherheitsvorfällen nach NIS2 zu unterstützen, stellen Sie drei Fragen. Erfasst das Tool den Zeitpunkt der Kenntniserlangung und berechnet es jede Frist daraus? Speist eine einzige Vorfallsdokumentation die Meldungen nach NIS2, DSGVO und CRA? Kann es einer Behörde Monate später zeigen, was Sie wann wussten? Die CloudSoul Plattform arbeitet so: automatisierte Erfassung von Nachweisen, mit Human-in-the-Loop-Expertise für Entscheidungen, die ein Tool nicht allein treffen sollte, etwa ob ein Sicherheitsvorfall erheblich ist. Das Gesamtprogramm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zur NIS2-Meldepflicht
- Benennen Sie, wer entscheidet, ob ein Sicherheitsvorfall erheblich ist, und eine Vertretung; beide müssen auch außerhalb der Geschäftszeiten erreichbar sein.
- Halten Sie Ihren nationalen Empfänger und Meldeweg schriftlich fest und testen Sie den Zugang, bevor Sie ihn brauchen.
- Erfassen Sie in jeder Vorfallsdokumentation den Zeitpunkt der Kenntniserlangung und wer entschieden hat.
- Füllen Sie die Frühwarnung vorab mit Angaben zur Einrichtung und Kontakten aus.
- Halten Sie Logs und eine Zuordnung von Systemen zu Diensten zu Kunden vor, die gut genug sind, um die Fragen der 72-Stunden-Meldung zu beantworten.
- Bereiten Sie Vorlagen für die Kundeninformation bei erheblichen Sicherheitsvorfällen und erheblichen Cyberbedrohungen vor.
- Verknüpfen Sie die Meldungen nach NIS2, DSGVO und, wenn Sie Produkte herstellen, CRA mit einer einzigen Vorfallsdokumentation.
- Üben Sie die 24- und die 72-Stunden-Frist mindestens einmal im Jahr.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 4, 6, 23, 26, 30 und 34 und Erwägungsgründe 28, 102, 103 und 106, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 3 und 4, EUR-Lex.
- Verordnung (EU) 2016/679 (DSGVO), Artikel 33, EUR-Lex.
- Verordnung (EU) 2024/2847 (Cyberresilienzverordnung), Artikel 14, EUR-Lex.
- Verordnung (EU) 2022/2554 (DORA), Artikel 19, EUR-Lex.
Häufige Fragen
Welche Meldefristen gelten nach NIS2 für Sicherheitsvorfälle?
Eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangt haben, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden nach Kenntniserlangung und ein Abschlussbericht spätestens einen Monat nach der Meldung über den Sicherheitsvorfall. Das CSIRT oder die Behörde kann Zwischenberichte anfordern, und bei einem Vorfall, der nach einem Monat noch andauert, ist zunächst ein Fortschrittsbericht fällig.
Wann beginnt die 24-Stunden-Frist der NIS2-Meldepflicht?
Wenn die Einrichtung Kenntnis von dem erheblichen Sicherheitsvorfall erlangt, nicht wenn der Vorfall begann. Die 72-Stunden-Frist läuft ab demselben Zeitpunkt; die Meldung über den Sicherheitsvorfall ist daher 48 Stunden nach einer Frühwarnung fällig, die zur 24-Stunden-Marke abgegeben wurde.
Gilt für Vertrauensdiensteanbieter eine kürzere NIS2-Frist?
Ja. Bei erheblichen Sicherheitsvorfällen, die sich auf die Erbringung ihrer Vertrauensdienste auswirken, müssen Vertrauensdiensteanbieter die Meldung über den Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntniserlangung abgeben, statt innerhalb von 72 Stunden.
Müssen Sie Kunden über einen NIS2-Sicherheitsvorfall informieren?
Soweit angemessen, unterrichten Sie die Empfänger Ihrer Dienste unverzüglich über erhebliche Sicherheitsvorfälle, die die Erbringung dieser Dienste beeinträchtigen könnten. Bei einer erheblichen Cyberbedrohung teilen Sie potenziell betroffenen Empfängern gegebenenfalls mit, welche Maßnahmen oder Abhilfemaßnahmen sie ergreifen können, und informieren sie, soweit angemessen, auch über die Bedrohung selbst.
Kann ein Unternehmen außerhalb von NIS2 einen Sicherheitsvorfall freiwillig melden?
Ja. Nach Artikel 30 kann jede Einrichtung, ob im Anwendungsbereich oder nicht, erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle freiwillig melden. Eine freiwillige Meldung erlegt der Einrichtung keine Pflichten auf, die sie sonst nicht gehabt hätte.
