NIS2

NIS2 · die Meldefrist

Die Meldefrist: 24 Stunden, 72 Stunden, 1 Monat

Der Zeitpunkt, an dem Sie Kenntnis erlangt haben, der Mitgliedstaat und ob der Vorfall nach Artikel 23 Absatz 3 erheblich ist; die drei Fristen werden aus Artikel 23 Absatz 4 berechnet, das CSIRT wird aus dem Register genannt, und Frühwarnung, Meldung und Abschlussbericht werden mit den Inhalten geschrieben, die die Richtlinie aufzählt.

Ist die Einrichtung ein Vertrauensdiensteanbieter?

Artikel 23 Absatz 4 Unterabsatz 2: ein Vertrauensdiensteanbieter übermittelt die Meldung innerhalb von 24 Stunden ab Kenntnis, dieselbe Frist wie die Frühwarnung.

Ist der Vorfall erheblich?

Ein Sicherheitsvorfall gilt als erheblich, wenn (a) er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann; (b) er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Hat er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder kann er das?

Hat er andere natürliche oder juristische Personen durch erheblichen materiellen oder immateriellen Schaden beeinträchtigt oder kann er das?

Welche Art von Anbieter ist die Einrichtung?

Die Durchführungsverordnung (EU) 2024/2690 der Kommission legt die Schwellen fest, die einen Vorfall für die von ihr genannten digitalen Anbieter erheblich machen, gelesen am 13. September 2026; ein Cloud-Computing-Dienstleister erfüllt ihren Artikel 7, ein Anbieter verwalteter Dienste oder verwalteter Sicherheitsdienste ihren Artikel 10, und jede betreffende Einrichtung ihren Artikel 3 Absatz 1. Jede andere Einrichtung liest nur Artikel 23 Absatz 3 der Richtlinie.

Artikel 3 Absatz 1: die allgemeinen Kriterien, eines davon genügt

Ein Sicherheitsvorfall gilt in Bezug auf die betreffenden Einrichtungen als erheblich im Sinne von Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555, wenn eines oder mehrere der folgenden Kriterien erfüllt sind:

Artikel 7: für einen Cloud-Computing-Dienst, eines davon genügt

In Bezug auf Anbieter von Cloud-Computing-Diensten gilt ein Sicherheitsvorfall als erheblich im Sinne von Artikel 3 Absatz 1 Buchstabe g, wenn er eines oder mehrere der folgenden Kriterien erfüllt:

Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten, die von oder im Auftrag der betreffenden Einrichtungen durchgeführt werden, gelten nicht als erhebliche Sicherheitsvorfälle.

1. Die Frist

Geben Sie oben den Zeitpunkt der Kenntnis ein; die Fristen und die Meldungen folgen.

2. Die Frühwarnung, innerhalb von 24 Stunden

unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Frühwarnung, in der gegebenenfalls angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;

3. Die Meldung, innerhalb von 72 Stunden

unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Meldung über den Sicherheitsvorfall, in der gegebenenfalls die unter Buchstabe a genannten Informationen aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;

auf Ersuchen eines CSIRT oder gegebenenfalls der zuständigen Behörde einen Zwischenbericht über relevante Statusaktualisierungen;

4. Der Abschlussbericht, innerhalb von 1 Monat nach der Meldung

spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht, der Folgendes enthält:

im Falle eines andauernden Sicherheitsvorfalls zum Zeitpunkt der Vorlage des Abschlussberichts gemäß Buchstabe d stellen die Mitgliedstaaten sicher, dass die betreffenden Einrichtungen zu diesem Zeitpunkt einen Fortschrittsbericht und einen Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls vorlegen.

Das Dokument

# NIS2-Meldungen zum Sicherheitsvorfall

Geschrieben am 14. September 2026 um 11:05 mit der kostenlosen Seite auf getstandardos.com; die Frist ist Artikel 23 Absatz 4 der Richtlinie (EU) 2022/2555, und die Inhalte sind dessen Buchstaben a, b und d, wie das Amtsblatt sie formuliert.

## 1. Die Frist

Geben Sie oben den Zeitpunkt der Kenntnis ein; die Fristen und die Meldungen folgen.

## 2. Die Frühwarnung, innerhalb von 24 Stunden

> unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Frühwarnung, in der gegebenenfalls angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;

### Geht der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurück?

Nicht angegeben.

### Könnte der Vorfall grenzüberschreitende Auswirkungen haben?

Nicht angegeben.

## 3. Die Meldung, innerhalb von 72 Stunden

> unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, eine Meldung über den Sicherheitsvorfall, in der gegebenenfalls die unter Buchstabe a genannten Informationen aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;

### Aktualisierung der Frühwarnung

Nicht angegeben.

### Erste Bewertung des Vorfalls, einschließlich Schweregrad und Auswirkungen

Nicht angegeben.

### Kompromittierungsindikatoren, soweit verfügbar

Nicht angegeben.

## 4. Der Abschlussbericht, innerhalb von 1 Monat nach der Meldung

> spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht, der Folgendes enthält:

### (i) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen

Nicht angegeben.

### (ii) Angaben zur Art der Bedrohung bzw. zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat

Nicht angegeben.

### (iii) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen

Nicht angegeben.

### (iv) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls

Nicht angegeben.

> im Falle eines andauernden Sicherheitsvorfalls zum Zeitpunkt der Vorlage des Abschlussberichts gemäß Buchstabe d stellen die Mitgliedstaaten sicher, dass die betreffenden Einrichtungen zu diesem Zeitpunkt einen Fortschrittsbericht und einen Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls vorlegen.

Die Stunden, der Monat und die Inhalte sind aus der Richtlinie gelesen, nie hier getippt; der Zeitpunkt der Kenntnis und die Erheblichkeit sind die eigenen Feststellungen des Unternehmens. Das Umsetzungsgesetz des Mitgliedstaats kann Felder und ein Portal hinzufügen. Dies ist ein Dokument, keine Rechtsberatung.

Ein Softwareunternehmen unter dem CRA oder der DSGVO lässt ab demselben Zeitpunkt der Kenntnis eine zweite Frist laufen, mit anderem Empfänger und anderer Schwelle: welche Meldefrist für ein Softwareunternehmen läuft

Drei Meldungen aus einer Vorfallsaufzeichnung

StandardOS öffnet die Frist von 24 Stunden in dem Moment, in dem ein Vorfall erfasst wird, entwirft Frühwarnung, Meldung und Abschlussbericht aus derselben Aufzeichnung und lässt daneben die CRA- und DSGVO-Fristen laufen, wo sie gelten.

Die Stunden, der Monat, die Erheblichkeitsbedingungen und die Inhalte der Meldungen sind aus Artikel 23 der Richtlinie gelesen, nie auf dieser Seite getippt; das CSIRT ist das Register des CSIRTs-Netzwerks. Ob ein Vorfall erheblich ist, ist die eigene Lesart des Unternehmens. Dies ist ein Dokument, keine Rechtsberatung.