NIS2-Ernstfall 2026: Drei Meldewege, die Unternehmen in der ersten Incident-Stunde brauchen

6 Min. Lesezeit

Der Moment, in dem Security-Teams feststellen, dass etwas sehr falsch läuft, ist nicht der richtige Zeitpunkt, um im Gesetzestext zu blättern. Wer zu T+0 noch klären muss, welche Behörde was erwartet, hat drei Uhren gleichzeitig gegen sich laufen: BSI, Datenschutz, Kunden- und Versicherervertrag. Dieser Artikel zeigt, welche Meldewege 2026 parallel bedient werden müssen, was die Formulare und Plattformen tatsächlich abfragen und wo die ersten dokumentierten Fälle gestolpert sind.

Das Wichtigste in Kürze

Drei Meldewege parallel: BSI (NIS2/BSIG), Datenschutz-Aufsichtsbehörde (Art. 33 DSGVO) und vertragliche Meldeketten (Kunden, Versicherer). Sie laufen unabhängig und haben unterschiedliche Fristen.
NIS2-Kaskade: 24 Stunden Erstmeldung (Early Warning), 72 Stunden Incident Notification, ein Monat Abschlussbericht. Grundlage: Art. 23 der NIS2-Richtlinie (EUR-Lex, 2022).
DSGVO-Meldung: 72 Stunden an die zuständige Aufsichtsbehörde, sobald personenbezogene Daten betroffen sind (Art. 33 DSGVO). Läuft parallel zur BSI-Meldung, nicht danach.
Versicherer und Großkunden: Meldefristen aus dem Vertrag, oft 24 bis 48 Stunden, teilweise vor der Behörden-Meldung. Wer die verpasst, riskiert Deckungsausschluss.
Stolperfalle Nr. 1: Die Erstmeldung ist keine Fallbeschreibung, sondern ein strukturiertes Signal. Wer sie wie einen Incident-Report formuliert, verbrennt Zeit.

VerwandtNIS2-Governance im Mittelstand / Ransomware 2026: Was passiert wenn Unternehmen zahlen

Die Verwechslung ist häufig: Man spricht von der NIS2-Meldung, als wäre sie ein einzelner Akt. In der Praxis sind es mindestens drei parallele Kanäle mit unterschiedlichen Fristen und Adressaten. Wer einen davon zu spät bedient, erzeugt Folgeschaden-Risiko, das häufig größer ist als der eigentliche Incident. Keine Paragrafen-Exegese im Folgenden, sondern operative Einordnung für das erste Stundenfenster.

Wer eigentlich betroffen ist

Die NIS2-Richtlinie (EUR-Lex 2022/2555) trifft deutlich mehr Unternehmen als die Vorgängerversion. Erfasst sind wesentliche und wichtige Einrichtungen aus 18 Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, aber auch Lebensmittel, Post und Chemie. Der Schwellwert liegt typischerweise bei 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, mit Ausnahmen nach oben für kritische Sektoren.

Die deutsche Umsetzung über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat sich parlamentarisch mehrfach verschoben. Unabhängig vom Umsetzungsstand gilt: Die Richtlinie ist bindend. Die Meldefristen aus Art. 23 sind in den bisher bekannten Entwürfen praktisch unverändert übernommen.

Zweiter Punkt, der oft untergeht: DSGVO und NIS2 schließen sich nicht aus. Ein Ransomware-Vorfall mit exfiltrierten Kundendaten löst beide Regime aus. Drei Wege, eine Faktenlage, unterschiedliche Formulare.

24 h / 72 h / 1 Monat

NIS2-Meldekaskade: Early Warning, Incident Notification, Final Report

Quelle: Art. 23 Richtlinie (EU) 2022/2555

Meldeweg 1: BSI und die 24-Stunden-Erstmeldung

Was ist die NIS2-Erstmeldung? Die NIS2-Erstmeldung (Early Warning) ist eine strukturierte Kurznachricht an die zuständige nationale Behörde, die innerhalb von 24 Stunden nach Kenntnis eines signifikanten Sicherheitsvorfalls abgesetzt werden muss. Sie enthält minimale Pflichtangaben und dient der Frühwarnung, nicht der Fallanalyse.

Die NIS2-Erstmeldung innerhalb von 24 Stunden ist kein Incident-Report. Sie ist ein strukturiertes Frühwarn-Signal an die zuständige Behörde. Das Ziel: die Behörde überhaupt in den Loop bringen, damit sie gegebenenfalls Warnungen an andere Sektoren ausspielen kann. Wer das nicht verstanden hat, versucht in Stunde 1 eine Ursachenanalyse zu schreiben, die um Stunde 12 noch nicht fertig ist.

Vier Datenpunkte muss eine Erstmeldung realistisch enthalten: Verdacht auf böswilliges Verhalten (ja oder nein), grobe Art des Incidents (Ransomware, DDoS, Zugriffskompromittierung, Lieferkette), erste Einschätzung der grenzüberschreitenden Auswirkungen und ein Ansprechpartner für Rückfragen. Mehr wird 24 Stunden nach Detection ohnehin nicht seriös festzustellen sein.

Die Meldung läuft im deutschen Raum über die BSI-Meldestelle. Das genaue Portal variiert je nach Sektor und aktueller Umsetzung – KRITIS-Betreiber kennen den Weg aus der bestehenden Meldepflicht, für neu hinzugekommene wesentliche Einrichtungen ist das BSI-Formular für Sicherheitsvorfälle die erste Adresse. Wer hier im Ernstfall das erste Mal klickt, hat ein Problem. Also: Zugänge müssen vor dem Incident eingerichtet sein, nicht während.

Die 72-Stunden-Folgemeldung ist inhaltlich deutlich schwerer. Sie verlangt eine erste Einschätzung zu Schwere, Auswirkungen und Kompromittierungsindikatoren. Wer bis dahin keinen validen Eindruck vom Angriffsvektor hat, muss das auch so schreiben – die CRA-Meldekette funktioniert nach derselben Logik: besser eine klare Unsicherheit dokumentieren als einen scheinsicheren Befund nachreichen müssen.

Meldeweg 2: Datenschutz – 72 Stunden, aber andere Uhr

Sobald personenbezogene Daten betroffen sind, zählt parallel Art. 33 DSGVO. 72 Stunden ab Kenntnisnahme, an die zuständige Aufsichtsbehörde, mit Pflichtangaben: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der Betroffenen, Kontaktstelle, wahrscheinliche Folgen, ergriffene Maßnahmen.

Die entscheidende Nuance: Die 72 Stunden laufen ab Kenntnisnahme des Unternehmens – nicht ab dem Zeitpunkt, zu dem der Vorstand informiert wurde. Wer diesen Unterschied in der internen Eskalation nicht klar regelt, bekommt im Nachgang unangenehme Fragen von der Behörde.

Zuständig ist in Deutschland die Aufsichtsbehörde des Bundeslandes der Hauptniederlassung. Bei grenzüberschreitender Datenverarbeitung greift das One-Stop-Shop-Prinzip mit einer Leitbehörde. In der Praxis müssen bei großen Incidents trotzdem mehrere Aufsichtsbehörden separat beliefert werden, weil jede ihren eigenen Detaillierungsgrad einfordert.

Ein typisches Versehen: Die DSGVO-Meldung wird vor klarem Forensik-Befund abgesetzt und enthält geschätzte Betroffenenzahlen. Zulässig und vorgesehen (Art. 33 Abs. 4 DSGVO erlaubt Nachreichung). Kritisch wird es, wenn die Nachreichung Wochen später immer noch dieselben Schätzwerte enthält. Das liest die Behörde als Desinteresse, nicht als Sorgfalt.

Meldeweg 3: Kunden, Großkonten und Versicherer

Der dritte Pfad wird regelmäßig unterschätzt, obwohl er die härtesten Fristen enthalten kann. Großkunden, insbesondere aus Finance, Pharma und Behörden, haben in ihren Verträgen Meldeklauseln mit 24 oder sogar 12 Stunden. Versicherer verlangen in Cyber-Policen typischerweise eine „unverzügliche“ Meldung, was Gerichte in Einzelfällen bereits als „innerhalb von 24 Stunden“ ausgelegt haben.

Wer die vertragliche Meldekette später bedient als die behördliche, riskiert zwei unterschiedliche, aber gleich unangenehme Konsequenzen: Kunden können auf Vertragsstrafen oder Sonderkündigungsrechte zurückgreifen, Versicherer können die Deckung ablehnen, weil die Pflicht zur unverzüglichen Anzeige verletzt wurde. In einem anonymisierten Pattern aus dem Finanzsektor, das mehrfach in Post-Mortem-Sessions beschrieben wurde, kürzte der Versicherer die Schadensregulierung pauschal, weil die Erstmeldung erst nach Abschluss der forensischen Erstanalyse erfolgte.

Operative Konsequenz: Die vertraglichen Meldeketten gehören in dieselbe Runbook-Kette wie die behördlichen. Wer Kundenliste plus SLA-Matrix plus Versicherer-Kontakt erst im Ernstfall zusammensucht, verliert Stunden. Und die 24-Stunden-Uhr läuft für alle drei Wege gleichzeitig.

Dritte unterschätzte Komponente: die Presse- und Betroffenen-Kommunikation. Art. 34 DSGVO verlangt die Benachrichtigung betroffener Personen, wenn die Verletzung ein hohes Risiko für deren Rechte darstellt. Dafür sollte ein Textbaustein vorbereitet sein, der juristisch und kommunikativ abgestimmt ist. Wer Betroffenen-Mails erst schreibt, wenn die Behörden-Meldung raus ist, schafft es in den Medien, bevor die Kunden die eigene Version hören.

„Die Erstmeldung ist keine Dokumentation, sondern ein Platzhalter. Wer sie wie einen Bericht schreibt, verbrennt die Zeit, die er für die eigentliche Incident-Response braucht.“
Sinngemäß, aus mehreren dokumentierten NIS2-nahen Meldefällen 2025/2026

Auto-Notification versus manueller Kontrollanruf

Eine Frage, die sich jedes Security-Team stellen sollte, bevor die erste Meldung fällig wird: Wie viel der Erstmeldung lässt sich automatisieren und wo ist der manuelle Kontrollanruf unverzichtbar? Beide Ansätze haben ihre Trade-offs.

Auto-Notification über vordefinierte Templates und API-Schnittstellen:

Pro: Schnell, konsistent, unabhängig von Personen, die nachts erreichbar sein müssen. Gut für Standardfälle wie eindeutige Ransomware-Signaturen oder erkannte Exfiltration.

Contra: Blind für Nuancen. Meldet oft zu viel oder zu früh, erzeugt Folgeaufwand durch Nachkorrekturen. Behörden reagieren auf Serienmeldungen allergisch.

Manueller Kontrollanruf vor der schriftlichen Meldung:

Pro: Kontext klären, Rückfragen beantworten, Meldepfad bestätigen. Baut in Ernstfällen Vertrauen auf, das später in weniger aggressiven Nachfragen mündet.

Contra: Skaliert nicht in Multi-Faktor-Incidents mit parallel betroffenen Sektoren. Erfordert trainierte Gesprächsführung – eine Fähigkeit, die im Incident-Drill selten geübt wird.

Die pragmatische Lösung liegt in der Kombination: Auto-Notification für die 24-Stunden-Erstmeldung der klaren Fälle, manueller Anruf für die 72-Stunden-Folgemeldung und für Graubereiche. Entscheidend ist, dass der Prozess vor dem Incident steht, nicht im Incident entwickelt wird.

Stolperfallen aus den ersten Meldefällen

Die folgenden Muster stammen aus anonymisierten Erfahrungsberichten und Post-Mortem-Sessions 2025/26. Wiederkehrend, nicht einzigartig:

Ansprechpartner-Falle. Die Erstmeldung benennt eine Person, die weder die nötigen Informationen hat noch Rückfragen sofort beantworten kann. Fix: 24/7-Erreichbarkeits-Matrix mit Vertretungsregel, nicht nur eine IT-Leitungs-Telefonnummer.

Parallel oder seriell? Teams bedienen zuerst BSI, dann Datenschutz, dann Kunden – um eine konsistente Story aufzubauen. Ergebnis: Fristen reißen auf allen drei Pfaden. Fix: parallel melden, unterschiedliche Detailgrade pro Empfänger sind erwartet.

Log-Lücke. Ohne vollständige, zugängliche Logs bleibt die 72-Stunden-Folgemeldung beim Angriffsvektor vage. Siehe dazu Infostealer-Angriffe mit Session-Cookies, wo genau diese Lücken den Unterschied zwischen Aufklärung und offener Frage machen. Fix: Log-Retention gehört zur Vorbereitung.

Versicherer als Nachgedanke. Die Cyber-Police liegt in der Rechtsabteilung, niemand im Security-Team kennt die Meldefristen. Fix: Police ins Incident-Playbook, vorher auf Fristen prüfen.

Kommunikationshygiene. Was im Meldeformular steht, kann in Zivilprozessen herangezogen werden. Formulierungen wie „bekanntes Problem, das ignoriert wurde“ sind ehrlich, aber juristisch riskant. Fix: Security, Recht und Kommunikation geben gemeinsam frei – nicht der CISO allein unter Zeitdruck.

Fazit

Die drei Meldewege – BSI, Datenschutz, Kunden/Versicherer – sind kein Kürverlauf, sondern Parallelverkehr. Wer sie im Ernstfall zum ersten Mal fährt, wird Zeit verlieren, die er nicht hat. Die Arbeit passiert vor dem Incident: Zugänge einrichten, Templates vorformulieren, Ansprechpartner-Matrizen pflegen, Versicherungspolicen lesen. Ein IR-Playbook, das nicht alle drei Wege abbildet, ist 2026 nicht mehr vollständig.

Konkreter Vorschlag für den nächsten Quartalsreview: Das eigene Playbook gegen die drei Meldewege aufziehen. Wer nicht innerhalb einer Stunde sagen kann, welche Templates für welchen Kanal bereit liegen. Und welche Vertretung greift, wenn der Hauptansprechpartner im Urlaub ist, hat Handlungsbedarf. Als Ergänzung hilfreich: Daten-Governance im Mittelstand zeigt, wie die Grundlagen aussehen, auf denen eine ernsthafte Meldefähigkeit aufbaut.

Letzter Punkt, der selten auf der Folie steht: Tabletop-Übungen mit externen Beobachtern. Wer das eigene Playbook nur intern durchspielt, entwickelt eine blinde Stelle für Außenkommunikation. Ein erfahrener Rechtsbeistand und ein Krisen-PR-Kontakt in der Übungsschleife decken Lücken auf, die im Ernstfall teuer werden. Einmal pro Jahr, mit realistischem Szenario, mit stehengebliebener Uhr. Das ist die günstigste Versicherung gegen Meldefehler.

Häufige Fragen

Gilt die NIS2-Meldepflicht in Deutschland schon 2026?

Die NIS2-Richtlinie ist auf EU-Ebene seit 17. Januar 2023 in Kraft, Umsetzungsfrist war der 17. Oktober 2024. Die deutsche Umsetzung über das NIS2UmsuCG hat sich mehrfach verschoben. Unabhängig vom nationalen Umsetzungsstand gelten die Richtlinienvorgaben und die bestehenden BSIG-Meldepflichten für KRITIS-Betreiber. Wer unter NIS2 fallen wird, sollte nicht auf die Unterschrift warten.

Muss ich bei einem Ransomware-Vorfall parallel an BSI und Datenschutz melden?

Ja, sobald personenbezogene Daten betroffen sind oder sein können. Die beiden Meldepflichten sind getrennte Regime mit getrennten Fristen. NIS2 adressiert die Versorgungssicherheit, DSGVO die Betroffenenrechte. Eine Meldung ersetzt nicht die andere.

Was ist der Unterschied zwischen Erstmeldung und Incident Notification unter NIS2?

Die Erstmeldung (Early Warning, 24 Stunden) ist ein strukturiertes Signal mit minimalen Angaben. Die Incident Notification (72 Stunden) ist eine erste inhaltliche Einschätzung mit Angriffsvektor, Schwere und Auswirkungen, soweit bekannt. Der Abschlussbericht innerhalb eines Monats liefert die finale Auswertung.

Wer ist in Deutschland die zuständige Aufsichtsbehörde für DSGVO-Meldungen?

Das richtet sich nach dem Sitz der Hauptniederlassung. Bayerische Unternehmen melden in der Regel an das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) für den nicht-öffentlichen Bereich, NRW-Unternehmen an die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW und so weiter. Bei grenzüberschreitender Verarbeitung greift das One-Stop-Shop-Prinzip mit einer Leitbehörde.

Was passiert, wenn die Meldung an den Cyber-Versicherer zu spät kommt?

Das kann im ungünstigen Fall zu einer Deckungsreduktion oder zum Deckungsausschluss führen. Cyber-Policen enthalten meist die Pflicht zur „unverzüglichen“ Anzeige, was im Schadensfall streng ausgelegt wird. Die vertragliche Meldung sollte als erster Kanal bedient werden, oft innerhalb von 24 Stunden nach Kenntnisnahme.