Zunächst einmal das Wichtigste: NIS2 verpflichtet betroffene Unternehmen nicht dazu, jeden Sicherheitsvorfall zu melden. Von der Meldepflicht betroffen sind erhebliche Sicherheitsvorfälle. Um schnelle und wirksame Reaktionen auf solche erheblichen Vorfälle zu ermöglichen, sieht die NIS2-Richtlinie deshalb ein mehrstufiges Meldeverfahren mit festen Fristen vor.
Erhebliche Sicherheitsvorfälle
Bevor Sie sich mit den Fristen beschäftigen, muss zunächst geklärt werden, ob es sich bei ihrem Vorfall überhaupt um einen erheblichen Sicherheitsvorfall handelt.
Ein Sicherheitsvorfall gilt besonders dann als erheblich, wenn er
- erhebliche Betriebsstörungen verursacht oder dazu geeignet ist,
- erheblich finanziellen Verluste verursacht oder dazu geeignet ist oder
- andere Personen oder Unternehmen erheblich beeinträchtigt oder dazu geeignet ist.
Zu solchen erheblichen Vorfällen können zur Orientierung beispielsweise ein erfolgreicher Ransomware-Angriff, ein größerer Angriff auf die Unternehmens-IT oder ein längerer Ausfall zentraler IT-Systeme gehören. Entscheidend sind dann jedoch trotzdem immer die konkreten Auswirkungen.
Steht fest, dass es sich bei einem Vorfall um einen erheblichen Sicherheitsvorfall handelt, gibt es die folgenden drei zentralen Meldefristen, die eingehalten werden müssen:
Innerhalb von 24 Stunden
Innerhalb der ersten 24 Stunden nach Kenntniserlangung des Vorfalls muss die Erstmeldung erfolgen. Diese sollte eine erste Einschätzung des Vorfalls beinhalten und folgende Fragen beantworten:
- Besteht Verdacht auf eine rechtswidrige oder böswillige Handlung, sprich eine Straftat?
- Besteht die Möglichkeit von grenzüberschreitenden Auswirkungen?
Wichtig zu beachten ist, dass an dieser Stelle noch nicht alle Informationen vorliegen müssen. Das BSI betont diesbezüglich ausdrücklich, dass die erste Meldung als Frühwarnung dienen soll.
Innerhalb von 72 Stunden
Innerhalb dieses Zeitraums müssen in der Folgemeldung nun weitere Informationen nachgereicht werden. Dazu können je nach Vorfall, bzw. falls bereits bekannt zum Beispiel
- eine erste Bewertung des Vorfalls,
- der Schweregrad,
- mögliche und/oder bereits festgestellte Auswirkungen und
- ggf. vorliegende Kompromittierungsindikatoren.
Wenn bereits bekannt, können an dieser Stelle auch schon Ursachen und eingeleitete Maßnahmen ergänzt werden.
Spätestens einen Monat nach der 72-Stunden Meldung
Einen Monat nach der Folgemeldung muss schließlich die Abschlussmeldung erfolgen. Ist der Vorfall zu diesem Zeitpunkt noch nicht abgeschlossen, muss zunächst eine Fortschrittsmeldung erfolgen. Die Abschlussmeldung wird dann nach Abschluss der Bearbeitung nachgereicht. Die Abschlussmeldung muss
- eine ausführliche Beschreibung des Vorfalls,
- die Art der Bedrohung,
- die Ursache(n) (insofern sie festgestellt werden konnten),
- die (ggf. auch grenzüberschreitenden) Auswirkungen und
- eingeleitete und getroffene Maßnahmen beinhalten.
Alle drei Meldungen müssen über das dafür vorgesehene Portal an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Folgender Link führt Sie zum BSI-Meldeportal, das grundsätzlich aber auch leicht über das Internet zugänglich ist.
Wichtiger Hinweis
Sie müssen zudem beachten, dass die Meldungen gemäß der NIS2-Richtlinie keine möglichen anderen Meldepflichten ersetzten. Sind von einem Sicherheitsvorfall auch personenbezogene Daten betroffen, kann es beispielsweise zusätzliche Meldepflichten gemäß der DSGVO geben. Sie sollten also im Hinterkopf haben, dass Sie je nach Art des Vorfalls mehrere Meldeverfahren parallel durchführen müssen.
Damit neigt sich unsere NIS2-Serie langsam dem Ende zu. Zum Abschluss fassen wir Ihnen die zentralen Punkte in unserem nächsten Beitrag noch einmal kompakt zusammen.