Was regelt §32 BSIG?
§32 des BSI-Gesetzes (BSIG), eingeführt durch das NIS2UmsuCG (in Kraft seit 06.12.2025), verpflichtet alle besonders wichtigen und wichtigen Einrichtungen zur Meldung erheblicher Sicherheitsvorfälle beim BSI. Die Vorschrift setzt Art. 23 der NIS2-Richtlinie (EU 2022/2555) in deutsches Recht um.
Der dreistufige Meldeprozess
Stufe 1: Frühwarnung (24 Stunden)
Nach §32 Abs. 1 Satz 1 Nr. 1 BSIG muss die betroffene Einrichtung innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung beim BSI erstatten. Diese erste Meldung ist bewusst niedrigschwellig gehalten — sie muss nur enthalten:
- Angabe, ob der Vorfall auf eine rechtswidrige oder böswillige Handlung zurückzuführen sein könnte
- Angabe, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte
Eine vollständige Analyse ist ausdrücklich nicht erforderlich.
Stufe 2: Vorfallsmeldung (72 Stunden)
Innerhalb von 72 Stunden nach Kenntnisnahme muss eine detaillierte Vorfallsmeldung folgen (§32 Abs. 1 Satz 1 Nr. 2 BSIG). Diese enthält:
- Erste Bewertung des Vorfalls mit Angabe des Schweregrads und der Auswirkungen
- Angaben zu Indikatoren für Kompromittierungen (soweit verfügbar)
- Art des Angriffs (soweit bekannt)
- Angewandte und geplante Gegenmaßnahmen
Stufe 3: Abschlussbericht (1 Monat)
Spätestens einen Monat nach Übermittlung der Vorfallsmeldung ist ein Abschlussbericht einzureichen (§32 Abs. 1 Satz 1 Nr. 4 BSIG); dauert der Vorfall dann noch an, tritt an seine Stelle zunächst eine Fortschrittsmeldung (§32 Abs. 2 BSIG). Er dokumentiert:
- Vollständige Beschreibung des Vorfalls
- Art der Bedrohung oder Ursache
- Ergriffene und laufende Gegenmaßnahmen
- Grenzüberschreitende Auswirkungen (soweit bekannt)
Was ist ein „erheblicher Vorfall"?
Erheblich ist ein Sicherheitsvorfall nach §2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die EU-Durchführungsverordnung 2024/2690 konkretisiert das nur für bestimmte digitale Anbieter, etwa Cloud-Computing-Dienstleister, Rechenzentrumsbetreiber und Anbieter verwalteter Dienste. Für die Einschätzung in der Praxis helfen acht Prüffragen:
- Anzahl betroffener Nutzer — je mehr, desto erheblicher
- Ausfallzeit — mehrstündige Ausfälle sind erheblicher als kurze Störungen
- Geographische Ausdehnung — bundesweite Auswirkungen sind erheblicher
- Finanzieller Schaden — auch zu erwartender Schaden zählt
- Auswirkungen auf andere NIS2-Einrichtungen — Kaskadeneffekte erhöhen die Erheblichkeit
- Auswirkungen auf die öffentliche Sicherheit — Gesundheit, Versorgung, Sicherheit
- Art der Daten — besonders schützenswerte Daten erhöhen die Erheblichkeit
- Reputationsrisiko — erheblicher Reputationsschaden zählt mit
An wen wird gemeldet?
BSI-Meldungen erfolgen ausschließlich über das BSI-Meldeportal unter bsi.bund.de. Es gibt keine papierbasierte Alternative. Die Meldung muss elektronisch erfolgen.
Wichtig: DSGVO-Meldungen (Datenschutzverletzungen mit personenbezogenen Daten) gehen zusätzlich an die zuständige Datenschutzbehörde — das ist eine separate Pflicht mit eigenen Fristen (72h nach DSGVO).
Sanktionen bei Verstößen
§65 BSIG regelt die Bußgelder bei Verstößen gegen §32:
- Besonders wichtige Einrichtungen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes
Hinzu kommt die persönliche Haftung der Geschäftsführung nach §38 BSIG.
Fazit: Meldeprozess vor dem Ernstfall aufbauen
§32 BSIG ist eindeutig: Die Fristen sind kurz, die Anforderungen klar, die Sanktionen erheblich. Entscheidend ist, den Meldeprozess vor dem ersten Vorfall zu etablieren — nicht erst, wenn die Uhr tickt.
Der NIS2-Frist-Rechner hilft Ihnen, alle drei Fristen auf Basis des Kenntnisnahme-Zeitpunkts zu berechnen.