NIS2 hat eine Frist, die ein Softwareunternehmen nicht auslagern kann: die Meldung eines erheblichen Sicherheitsvorfalls in Artikel 23, in drei Schritten mit drei Fristen, gezählt in Stunden und Monaten ab dem Moment, in dem die Einrichtung Kenntnis erlangt. Der CRA hat seine eigene Frist für aktiv ausgenutzte Schwachstellen und die DSGVO ihre 72 Stunden für eine Verletzung des Schutzes personenbezogener Daten, und der Wegweiser-Artikel sagt, welche läuft; dieser hier handelt von der NIS2-Frist selbst, davon, was jede ihrer drei Meldungen enthält, und davon, wann ein Vorfall erheblich genug ist, sie zu starten, gelesen gegen den Katalog, den StandardOS über die Richtlinie führt, und die kostenlose Seite, die die Fristen berechnet und die Meldungen schreibt.

Die drei Fristen des Artikels 23 Absatz 4

Artikel 23 Absatz 4 zählt ab Kenntnis eines erheblichen Sicherheitsvorfalls. Buchstabe a: eine Frühwarnung unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, die gegebenenfalls angibt, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht und ob er grenzüberschreitende Auswirkungen haben könnte. Buchstabe b: eine Meldung unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, die die Frühwarnung aktualisiert und eine erste Bewertung des Vorfalls gibt, einschließlich Schweregrad und Auswirkungen sowie, soweit verfügbar, der Kompromittierungsindikatoren; ein Vertrauensdiensteanbieter gibt diese Meldung innerhalb von 24 Stunden (Artikel 23 Absatz 4 zweiter Unterabsatz). Buchstabe c: ein Zwischenbericht über relevante Statusaktualisierungen, auf Ersuchen des CSIRT oder der zuständigen Behörde. Buchstabe d: ein Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung, mit vier Inhalten: einer ausführlichen Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen, der Art der Bedrohung oder der Grundursache, die ihn wahrscheinlich ausgelöst hat, den ergriffenen und laufenden Abhilfemaßnahmen und gegebenenfalls den grenzüberschreitenden Auswirkungen. Buchstabe e: dauert der Vorfall bei Fälligkeit des Abschlussberichts noch an, dann ein Fortschrittsbericht und der Abschlussbericht innerhalb eines Monats nach Bewältigung des Vorfalls. Empfänger ist das CSIRT oder, wenn der Mitgliedstaat es so vorsieht, die zuständige Behörde (Artikel 23 Absatz 1), und gegebenenfalls werden die Empfänger der Dienste unverzüglich über einen erheblichen Vorfall unterrichtet, der sie voraussichtlich beeinträchtigt. Die kostenlose Seite nennt das CSIRT des Staates aus dem Register des CSIRTs-Netzwerks, berechnet die drei Fristen und zählt den Monat des Abschlussberichts ab der Frist der Meldung, bis der Zeitpunkt der Übermittlung eingegeben ist.

Was einen Vorfall erheblich macht

Artikel 23 Absatz 3 der Richtlinie setzt zwei Bedingungen, von denen jede einen Vorfall erheblich macht: er hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann das, oder er hat andere natürliche oder juristische Personen durch erheblichen materiellen oder immateriellen Schaden beeinträchtigt oder kann das. Für die digitalen Anbieter geht die Durchführungsverordnung (EU) 2024/2690 weiter und sagt in Zahlen, wann diese Bedingungen erfüllt sind. Artikel 3 Absatz 1 zählt sieben allgemeine Kriterien auf, von denen eines genügt: ein direkter finanzieller Verlust über 500 000 EUR oder 5 % des gesamten Jahresumsatzes der Einrichtung im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist; die Exfiltration von Geschäftsgeheimnissen; der Tod einer natürlichen Person; ein erheblicher Gesundheitsschaden einer natürlichen Person; ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der schwerwiegende Betriebsstörungen verursachen kann; wiederkehrende Vorfälle, die zusammen das finanzielle Kriterium erfüllen (Artikel 4: mindestens zweimal innerhalb von sechs Monaten, dieselbe offensichtliche Grundursache); oder eines der dienstspezifischen Kriterien der Artikel 5 bis 14. Für einen Cloud-Computing-Dienstleister setzt Artikel 7 vier: der Dienst länger als 30 Minuten vollständig nicht verfügbar; seine Verfügbarkeit für mehr als 5 % seiner Nutzer in der Union oder mehr als 1 Million von ihnen, je nachdem, welche Zahl kleiner ist, länger als eine Stunde eingeschränkt; Integrität, Vertraulichkeit oder Authentizität der Daten infolge einer mutmaßlich böswilligen Handlung kompromittiert; oder eine solche Kompromittierung mit Auswirkungen auf mehr als 5 % oder 1 Million der Nutzer in der Union, je nachdem, welche Zahl kleiner ist. Artikel 10 setzt dieselben vier für Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste. Artikel 3 Absatz 2 nimmt planmäßige Unterbrechungen und geplante Wartung heraus. Ein SaaS-Ausfall von 31 Minuten ist also ein erheblicher Vorfall und startet die 24-Stunden-Frist; ein geplantes Wartungsfenster von zwei Stunden nicht; eine Phishing-Mail, die ein Postfach erreicht hat, nicht, es sei denn, das Konto wurde benutzt, um die Systeme zu erreichen.

Was jede Meldung sagt, und worauf sie nicht warten darf

Die Frühwarnung sind zwei Angaben und ein Zeitstempel: böswillig oder nicht, grenzüberschreitend oder nicht, gesendet innerhalb von 24 Stunden, auch wenn die Antworten "noch nicht bekannt" lauten. Die Meldung ist die erste Bewertung: was geschehen ist, wie schwer, was betroffen ist, mit den Kompromittierungsindikatoren, wo das Unternehmen sie hat; sie ist innerhalb von 72 Stunden fällig und wird nicht für den forensischen Bericht zurückgehalten. Der Abschlussbericht ist die Aufzeichnung: die Beschreibung mit Schweregrad und Auswirkungen, die Grundursache oder Art der Bedrohung, die ergriffenen und noch laufenden Maßnahmen und die grenzüberschreitenden Auswirkungen, wo es sie gibt, einen Monat nach der Meldung. Keine der drei wartet darauf, dass der Vorfall vorbei ist: Artikel 23 Absatz 4 Buchstabe e ist genau für den Vorfall geschrieben, der bei Fälligkeit des Abschlussberichts noch offen ist, und der Fortschrittsbericht ist seine Antwort. Ein Softwareunternehmen, das zu spät meldet, weil es das vollständige Bild wollte, hat zu spät gemeldet; die Richtlinie ist so gebaut, dass das Bild in drei Schritten entsteht.

Zwei Fristen daneben

Ein Softwareunternehmen, das eine NIS2-Einrichtung ist, ist oft zugleich DSGVO-Verantwortlicher oder Auftragsverarbeiter, und derselbe Vorfall, der das CSIRT innerhalb von 24 Stunden erreicht, erreicht die Aufsichtsbehörde innerhalb von 72, wo personenbezogene Daten betroffen sind, auf der DSGVO-Meldefrist, und der Hersteller eines Produkts mit digitalen Elementen meldet eine aktiv ausgenutzte Schwachstelle an die zentrale Meldeplattform der ENISA auf der Frist des CRA von 24 Stunden, 72 Stunden und 14 Tagen. Die drei Fristen laufen ab einem Moment der Kenntnis mit drei verschiedenen Empfängern und drei verschiedenen Schwellen, weshalb das eine, was vorab zu regeln ist, die Aufzeichnung ist, die sie startet: der Vorfall mit Zeitstempel erfasst, die betroffenen Systeme, die betroffenen Daten und die betroffenen Produkte, sodass jede Meldung eine Wiedergabe derselben Aufzeichnung ist und keine eigene Untersuchung.

Was damit zu tun ist

Entscheiden Sie heute, welche Art von Anbieter das Unternehmen nach der Durchführungsverordnung ist, und setzen Sie deren Schwellen als Prüfung für "erheblich" in das Verfahren für Sicherheitsvorfälle. Benennen Sie das CSIRT des Staates oder die zuständige Behörde, wo das Umsetzungsgesetz sie gewählt hat, mit Portal und Kontakt, vor dem ersten Vorfall. Lassen Sie die kostenlose Seite einmal mit einem vergangenen Vorfall laufen, um die drei Meldungen zu sehen, die sie schreibt, und bewahren Sie ihren Link mit dem Moment der Kenntnis darin als erste Aufzeichnung des Vorfalls. StandardOS öffnet die Frist aus der Vorfallsaufzeichnung und entwirft die drei Meldungen daraus; das Werkzeug zum Anwendungsbereich sagt, ob das Unternehmen überhaupt eine wesentliche oder wichtige Einrichtung ist.