§32 BSIG: Die 24-72-Stunden-Meldekette erklärt

§32 BSIG im Überblick

§32 BSIG (BSI-Gesetz in der Fassung des NIS2UmsuCG) regelt die Meldepflicht für erhebliche Sicherheitsvorfälle. Er gilt für alle wichtigen und besonders wichtigen Einrichtungen nach §28 BSIG.

Die drei Meldungsstufen

Frühwarnung — 24 Stunden

Innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls muss eine erste Meldung beim BSI eingehen. Die Frühwarnung ist bewusst niedrigschwellig: Sie muss keine vollständige Analyse enthalten. Nach §32 Abs. 1 Satz 1 Nr. 1 BSIG gibt sie an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte.

Wichtig: Die Frist läuft ab Kenntnisnahme, nicht ab dem Zeitpunkt des Angriffs. Wenn Sie morgens um 8 Uhr von einem gestrigen Ransomware-Angriff erfahren, läuft Ihre 24h-Frist ab 8 Uhr.

Vorfallsmeldung — 72 Stunden

Die Vorfallsmeldung enthält eine erste Bewertung: Ursache des Vorfalls (soweit bekannt), betroffene Systeme und Daten, ergriffene Gegenmaßnahmen, Schweregrad nach §32 Abs. 1 BSIG, grenzüberschreitende Auswirkungen.

Abschlussbericht — 1 Monat

Der Abschlussbericht ist spätestens einen Monat nach Übermittlung der Vorfallsmeldung fällig (§32 Abs. 1 Satz 1 Nr. 4 BSIG). Er enthält eine ausführliche Beschreibung des Vorfalls mit Schweregrad und Auswirkungen, die Art der Bedrohung bzw. ihre wahrscheinliche Ursache, die getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls die grenzüberschreitenden Auswirkungen. Dauert der Vorfall zu diesem Zeitpunkt noch an, legen Sie stattdessen eine Fortschrittsmeldung vor; der Abschlussbericht folgt nach abschließender Bearbeitung (§32 Abs. 2 BSIG). Eine Zwischenmeldung ist nur auf Ersuchen des BSI fällig (§32 Abs. 1 Satz 1 Nr. 3 BSIG).

Wann beginnt die Frist? Kenntnisnahme vs. Vorfallszeitpunkt

Die Frist beginnt mit der Kenntniserlangung von dem erheblichen Sicherheitsvorfall (§32 Abs. 1 Satz 1 Nr. 1 und 2 BSIG), nicht mit dem Angriff. Der tatsächliche Angriffszeitpunkt ist irrelevant. Dies ist praxisrelevant: Vorfälle werden oft erst Stunden oder Tage nach dem tatsächlichen Angriff entdeckt.

Was ist ein erheblicher Vorfall nach §32 Abs. 1 BSIG?

Erheblich ist ein Sicherheitsvorfall nach §2 Nr. 11 BSIG (entspricht Art. 23 Abs. 3 der NIS2-Richtlinie), wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die EU-Durchführungsverordnung 2024/2690 konkretisiert die Kriterien nur für bestimmte digitale Anbieter, etwa Cloud-Computing-Dienstleister, Rechenzentrumsbetreiber und Anbieter verwalteter Dienste.

Praxisbeispiel: Ransomware beim Maschinenbauer

Ein mittelständischer Maschinenbauer (300 MA) stellt morgens um 7:30 Uhr fest, dass seine Produktions-IT durch Ransomware verschlüsselt wurde. Die Fristen laufen:

• Frühwarnung: bis 7:30 Uhr am Folgetag
• Vorfallsmeldung: bis 7:30 Uhr am dritten Folgetag (72 Stunden)
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Vorfallsmeldung

Nutzen Sie den NIS2-Frist-Rechner um Ihre konkreten Fristen zu berechnen.