Ab wann die Meldefrist-Uhr wirklich tickt

Vier Stunden. So wenig Zeit lässt DORA einem Finanzunternehmen, um einen schweren IT-Vorfall an die Aufsicht zu melden. NIS2 gibt 24, die DSGVO 72. Drei Regelwerke, drei Uhren – und die wichtigste Frage stellt kaum jemand rechtzeitig: Ab wann genau läuft sie?

Verwandt:NIS2 nach der Frist: Jetzt beginnt die BSI-Aufsicht  /  Der Notfallplan, den niemand geprobt hat

Die drei Fristen nebeneinander

Wer in einem regulierten Unternehmen arbeitet, kennt die einzelnen Fristen meist. Selten liegen sie sauber nebeneinander auf dem Tisch. Genau das rächt sich im Ernstfall, wenn drei Regelwerke gleichzeitig greifen und jedes seine eigene Stoppuhr mitbringt.

Was ist die Meldefrist bei einem Sicherheitsvorfall? Gemeint ist die gesetzlich festgelegte Zeitspanne, innerhalb der ein Unternehmen einen relevanten Vorfall an die zuständige Behörde melden muss. Sie beginnt mit einem rechtlich definierten Auslöser, je nach Regelwerk der Kenntnis oder der Einstufung des Vorfalls. Der Angriff selbst startet die Uhr noch nicht.

Hinter jeder ersten Frist steht eine Kaskade. NIS2 verlangt nach der 24-Stunden-Frühwarnung eine inhaltliche Meldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat. DORA folgt demselben Muster mit Zwischenmeldung nach 72 Stunden und Abschluss nach einem Monat. Die erste Frist ist also kein Endpunkt, sondern der Startschuss für einen mehrstufigen Bericht.

Ob ein Vorfall überhaupt unter eine der drei Uhren fällt, hängt vom Geltungsbereich ab. NIS2 trifft wesentliche und wichtige Einrichtungen quer durch achtzehn Sektoren, von Energie über Gesundheit bis zu digitalen Diensten. DORA gilt speziell für den Finanzsektor und seine IKT-Dienstleister. Die DSGVO greift unabhängig von der Branche, sobald personenbezogene Daten betroffen sind. Viele Unternehmen unterschätzen, dass sie gleich unter mehrere Regime fallen. Ein Zahlungsdienstleister muss alle drei zugleich bedienen, ein Krankenhaus NIS2 und die DSGVO.

Wann die Uhr zu laufen beginnt

Hier liegt der Punkt, an dem die meisten Pläne wackeln. Die Frist startet nicht beim ersten verdächtigen Logeintrag. Sie beginnt mit einem rechtlich definierten Moment. Bei NIS2 und der DSGVO ist das die Kenntnis: der Zeitpunkt, an dem das Unternehmen mit hinreichender Sicherheit weiß, dass ein meldepflichtiger Vorfall vorliegt. Bei DORA zählt die Einstufung als schwerwiegender Vorfall, die ihrerseits zügig nach Entdeckung erfolgen muss.

Der Unterschied klingt akademisch, kostet im Ernstfall aber echte Zeit. Ein Security-Team, das um 02:00 Uhr eine Anomalie sieht, hat noch keine Kenntnis im rechtlichen Sinn. Sobald die Analyse den Vorfall bestätigt, fällt der Startschuss. Die Uhr lässt sich nicht zurückdrehen. Wer die Einstufung hinauszögert, um die Frist zu schonen, handelt sich bei einer Prüfung schnell den Vorwurf der verschleppten Meldung ein.

Aus der Praxis heißt das: Die Definition von Kenntnis und Einstufung gehört vorab schriftlich festgelegt, mit klaren Schwellen und einer benannten Person, die entscheidet. Wer diese Frage erst im Vorfall klärt, verbrennt genau die Minuten, die DORA gar nicht erst hergibt.

Wenn mehrere Uhren gleichzeitig ticken

Der unangenehmste Fall ist nicht der seltene. Ein Ransomware-Angriff auf einen Zahlungsdienstleister verschlüsselt Systeme und exfiltriert Kundendaten. Sobald das Team den Vorfall erkennt und einstuft, laufen drei Uhren zugleich: DORA wegen des schweren IKT-Vorfalls, NIS2 wegen der Störung wesentlicher Dienste und die DSGVO wegen der betroffenen personenbezogenen Daten.

Die Fristen laufen parallel, mit unterschiedlichem Tempo und an unterschiedliche Behörden. Mehrere getrennte Meldungen aus verschiedenen Teams unter Zeitdruck zu koordinieren, ist die zuverlässigste Art, mindestens eine Frist zu reißen. Sinnvoller ist ein einziger interner Auslöser, der alle drei Meldewege zugleich anstößt und die jeweils nötigen Felder vorbereitet.

Was in der Hektik gern untergeht, ist die Dokumentation. Jede Aufsicht erwartet später eine nachvollziehbare Zeitleiste: wann der Vorfall entdeckt, wann er eingestuft und wann er gemeldet wurde. Wer diese Timeline erst nachträglich rekonstruiert, gerät schnell in Erklärungsnot. Ein Protokoll, das ab der ersten Minute mitläuft, schützt deshalb am besten gegen den Vorwurf der verschleppten Meldung und liefert im Audit die Belege, nach denen ohnehin gefragt wird.

Der Workflow für die erste Stunde

Die strengste Uhr diktiert das Tempo. Wer für die 4-Stunden-Frist von DORA gerüstet ist, hält die anderen ohnehin. Vier Schritte gehören vorab eingeübt, lange vor dem Ernstfall.

1. Einstufung sofort, durch eine benannte Rolle. Eine vorab definierte Person entscheidet anhand klarer Schwellen, ob ein Vorfall meldepflichtig und schwerwiegend ist. Bei DORA setzt diese Einstufung die Frist in Gang, bei NIS2 und der DSGVO hält sie den Zeitpunkt der Kenntnis fest. So läuft die Uhr ab einem dokumentierten Moment.
2. Meldewege vorbereitet halten. Zugänge zu BaFin-Meldeportal, BSI-Plattform und Datenschutzaufsicht liegen vor dem Vorfall bereit, samt Kontaktdaten und Vorlagen mit Pflichtfeldern.
3. Ein Auslöser für alle Regime. Ein interner Prozess prüft bei jedem bestätigten Vorfall automatisch, welche der drei Pflichten greift und stößt die passenden Meldungen an.
4. Erstmeldung vor Vollständigkeit. Die erste Meldung verlangt keine fertige Analyse. Eine fristgerechte, ehrliche Kurzmeldung schlägt eine verspätete, perfekte. Die Details folgen im jeweils nächsten Meldeschritt.

Geübt wird das in einer Tabletop-Übung, in der die Uhr real mitläuft. Erst dort zeigt sich, ob die Einstufung in Minuten gelingt oder ob das Team noch diskutiert, während die DORA-Frist abläuft. Die Lehre aus den meisten Übungen ist dieselbe: Nicht die Technik fehlt, sondern die geübte Entscheidung.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Ab wann läuft die NIS2-24-Stunden-Frist?

Die Frist beginnt mit der Kenntnis eines signifikanten Sicherheitsvorfalls, also dem Zeitpunkt, an dem das Unternehmen mit hinreichender Sicherheit weiß, dass ein meldepflichtiger Vorfall vorliegt. Innerhalb von 24 Stunden ist dann die Frühwarnung an das BSI fällig.

Warum ist DORA mit 4 Stunden so streng?

DORA adressiert den Finanzsektor, in dem ein IT-Ausfall schnell systemische Folgen hat. Deshalb verlangt es die Erstmeldung an die BaFin innerhalb von 4 Stunden nach der Einstufung als schwerwiegender Vorfall, deutlich enger als die 24 Stunden bei NIS2.

Muss ich denselben Vorfall mehrfach melden?

Ja, wenn er mehrere Regime auslöst. Ein Ransomware-Angriff mit Datenabfluss kann DORA, NIS2 und die DSGVO zugleich betreffen. Die Meldungen gehen an verschiedene Behörden und sollten über einen koordinierten internen Prozess parallel ausgelöst werden.

Was zählt als Startpunkt, Kenntnis oder Entdeckung?

Rechtlich zählt bei NIS2 und der DSGVO die bestätigte Kenntnis, also der Moment, in dem die Analyse den Vorfall belegt. Ein erster Verdacht reicht dafür noch nicht. Bei DORA ist die Einstufung als schwerwiegend maßgeblich, die zügig nach der Entdeckung erfolgen muss und nicht hinausgezögert werden darf.

Was passiert, wenn ich eine Frist verpasse?

Versäumte Meldefristen können Bußgelder und bei NIS2 auch die persönliche Haftung der Leitung nach sich ziehen. Aufsichtsbehörden werten eine verschleppte oder unterlassene Meldung regelmäßig strenger als einen offen gemeldeten Vorfall.

Lesetipps der Redaktion

LesetippNIS2-Compliance im Mittelstand: machbare Schritte, vermeidbare FehlerLesetippNIS2 wird vollstreckt: Erste Verfahren, persönliche HaftungLesetippAdaptive MFA im NIS2-Audit: Wann die Policy zum Nachweis taugt

Mehr aus dem MBF Media Netzwerk

cloudmagazinGoogle Gemini im Unternehmen: was der AI Act erzwingtDigital ChiefsDORA zwingt zum Bruch mit alten BCM-RoutinenMyBusinessFutureSchatten-KI im Mittelstand: Was die heimliche Nutzung verrät