Die Uhr läuft ab dem ersten Wissen
§32 Abs. 1 Satz 1 Nr. 1 BSIG ist eindeutig: Die 24-Stunden-Frist für die Frühwarnung beginnt nicht mit dem Angriff, sondern mit dem Moment, in dem Ihr Unternehmen Kenntnis von dem Sicherheitsvorfall erlangt. Das ist der entscheidende Unterschied.
Ob schon die Ransomware-Meldung auf dem Bildschirm eines einzelnen Mitarbeiters um 23:47 Uhr die Frist auslöst, regelt §32 BSIG nicht ausdrücklich. Sicher ist: Interne Kommunikationsverzögerungen verlängern die Frist nicht — wer Meldewege kurz hält, verschenkt keine Zeit.
Was ist eine Frühwarnung?
Die Frühwarnung ist explizit keine vollständige Meldung. Das BSI akzeptiert ausdrücklich unvollständige Informationen. Gesetzlicher Pflichtinhalt nach §32 Abs. 1 Satz 1 Nr. 1 BSIG ist die Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. Sinnvoll sind außerdem:
- Art des Vorfalls (soweit bekannt)
- Datum und Uhrzeit der Kenntnisnahme
- Betroffene Systeme oder Dienste
Nicht erforderlich in der Frühwarnung: vollständige Ursachenanalyse, Schadensausmaß, Gegenmaßnahmen.
Die häufigsten Fehler in den ersten 24 Stunden
Fehler 1: Abwarten bis zur vollständigen Analyse
Der häufigste und gefährlichste Fehler. Viele IT-Teams wollen erst dann melden, wenn sie den Vorfall vollständig verstanden haben. Das BSI sieht das anders: Schnelligkeit vor Vollständigkeit.
Fehler 2: Falsche Zeitzählung
Die 24 Stunden gelten nicht ab Geschäftsbeginn des nächsten Werktages. Es sind 24 Stunden ab Kenntnisnahme — auch wenn das nachts oder am Wochenende ist.
Fehler 3: Unklare interne Meldekette
Wenn unklar ist, wer die BSI-Meldung übernimmt, verliert man wertvolle Zeit. Die Meldekette muss vor dem Ernstfall definiert sein.
Fehler 4: Falsche Ansprechpartner
BSI-Meldungen gehen an das BSI-Meldeportal (bsi.bund.de/meldeportal), nicht an Polizei, Staatsanwaltschaft oder die Datenschutzbehörde. Letztere gelten für DSGVO-Meldungen — eine separate Pflicht.
Was zählt als „erheblicher Vorfall"?
Nicht jeder Sicherheitsvorfall löst die Meldepflicht aus. Erheblich ist ein Vorfall nach §2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen erheblich schädigen kann — Anhaltspunkte sind etwa Anzahl betroffener Nutzer, Ausfallzeit, finanzieller Schaden und Art der Daten.
Faustformel: Im Zweifel melden. Falschmeldungen werden milder behandelt als Nicht-Meldungen.
Der optimale Ablauf in den ersten 24 Stunden
- Minute 0: Kenntnisnahme → sofortige Eskalation an den NIS2-Beauftragten
- Stunde 1–2: Erstbewertung — ist der Vorfall erheblich?
- Stunde 2–4: BSI-Frühwarnung absenden (auch mit unvollständigen Infos)
- Stunde 4–8: Incident-Response-Team aktivieren
- Stunde 8–24: Vorbereitung der Vorfallsmeldung (Frist: 72h)
Fristrechner und Meldeprozess
Mit dem NIS2-Frist-Rechner berechnen Sie alle drei BSI-Fristen auf einen Blick. MeldeKette24 führt Ihr Team strukturiert durch die ersten 24 Stunden — mit Triage-Engine, Frist-Timer und BSI-PDF-Export.