NIS2-Meldepflicht 2026: Der vollständige Leitfaden

Was ist die NIS2-Meldepflicht?

Die NIS2-Meldepflicht ist eine der zentralen Anforderungen des NIS2-Umsetzungsgesetzes (NIS2UmsuCG), das seit dem 6. Dezember 2025 in Deutschland in Kraft ist. Sie verpflichtet NIS2-pflichtige Unternehmen in 18 Sektoren, erhebliche Sicherheitsvorfälle strukturiert beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden.

Die drei Stufen der BSI-Meldekette nach §32 BSIG

§32 BSIG definiert einen dreistufigen Meldeprozess. Alle Fristen laufen ab dem Zeitpunkt der Kenntnisnahme — nicht ab dem Zeitpunkt des Angriffs.

Stufe 1: Frühwarnung — innerhalb von 24 Stunden

Die Frühwarnung ist eine erste, noch unvollständige Meldung. Nach §32 Abs. 1 Satz 1 Nr. 1 BSIG gibt sie an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. Vollständigkeit ist nicht erforderlich — Schnelligkeit geht vor.

Stufe 2: Vorfallsmeldung — innerhalb von 72 Stunden

Die Vorfallsmeldung enthält eine erste Bewertung des Vorfalls: Ursache, betroffene Systeme, Auswirkungen, ergriffene Gegenmaßnahmen und grenzüberschreitende Auswirkungen (falls zutreffend).

Stufe 3: Abschlussbericht — innerhalb von 1 Monat

Der Abschlussbericht ist spätestens einen Monat nach Übermittlung der Vorfallsmeldung fällig (§32 Abs. 1 Satz 1 Nr. 4 BSIG) und dokumentiert den Vorfall vollständig: Art und Ursache, ergriffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen. Dauert der Vorfall zu diesem Zeitpunkt noch an, folgt eine Fortschrittsmeldung — der Abschlussbericht dann nach abschließender Bearbeitung (§32 Abs. 2 BSIG).

Was ist ein „erheblicher Sicherheitsvorfall“?

Nicht jeder Vorfall ist meldepflichtig. Erheblich ist ein Sicherheitsvorfall nach §2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die EU-Durchführungsverordnung 2024/2690 konkretisiert das nur für bestimmte digitale Anbieter, etwa Cloud-Computing-Dienstleister, Rechenzentrumsbetreiber und Anbieter verwalteter Dienste.

Nutzen Sie unseren kostenlosen NIS2-Pflicht-Check um zu ermitteln, ob Ihr Unternehmen überhaupt NIS2-pflichtig ist, und den Erheblichkeits-Check um zu beurteilen, ob ein konkreter Vorfall meldepflichtig ist.

Bußgelder bei Verletzung der Meldepflicht

Bei versäumter oder mangelhafter Meldung drohen nach §65 BSIG:

• Besonders wichtige Einrichtungen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes
• Wichtige Einrichtungen: bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes

Zusätzlich: persönliche Haftung der Geschäftsleitung nach §38 BSIG.

Wie MeldeKette24 die Meldekette strukturiert

MeldeKette24 ist ein Standalone-BSI-Meldeketten-Wizard. Kein GRC-Overbau — nur der strukturierte Notfallprozess für die ersten 24 Stunden: Triage-Engine, Frist-Timer, GF-Schulungsnachweis und BSI-PDF-Export.