24 Stunden, 72 Stunden, ein Monat: der Meldeprozess nach § 32 BSIG
Die Meldepflicht ist der Teil der NIS2-Regulierung, der im Ernstfall über Stress oder Routine entscheidet. § 32 BSIG verlangt bei einem erheblichen Sicherheitsvorfall drei Meldungen an das BSI: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine vollständige Meldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Bei andauernden Vorfällen tritt an dessen Stelle zunächst ein Fortschrittsbericht.
Die drei Stufen haben unterschiedliche Funktionen. Die Frühwarnung soll die Behörde schnell ins Bild setzen: Verdacht auf rechtswidriges Handeln, mögliche grenzüberschreitende Auswirkungen – mehr wird zu diesem Zeitpunkt nicht erwartet. Die 72-Stunden-Meldung bewertet den Vorfall erstmals inhaltlich, einschließlich Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Der Abschlussbericht liefert die ausführliche Beschreibung: Ursache, Art der Bedrohung, ergriffene Maßnahmen, gegebenenfalls grenzüberschreitende Effekte.
Woran es in der Praxis hängt
Die Frist beginnt mit Kenntnis vom Vorfall – nicht mit dessen Aufklärung. Das ist der Punkt, den viele Notfallpläne unterschätzen. In den ersten Stunden eines Angriffs ist das IT-Team mit Eindämmung beschäftigt; parallel muss jemand entscheiden, ob der Vorfall erheblich im Sinne des Gesetzes ist, und die Frühwarnung absetzen. Ohne vorbereitete Zuständigkeiten, hinterlegte Meldewege und eine dokumentierte Entscheidungshilfe passiert das selten fristgerecht – zumal Vorfälle bevorzugt an Wochenenden und Feiertagen auffallen.
Sinnvoll ist deshalb, den Meldeprozess vor dem ersten Ernstfall einmal durchzuspielen: Wer stellt die Erheblichkeit fest? Wer meldet an das BSI, wer informiert intern die Geschäftsleitung? Wo liegen die Zugänge zum Meldeportal? Und wie werden die Zeitpunkte der einzelnen Stufen festgehalten, damit die Einhaltung der Fristen später belegbar ist? Die Dokumentation ist kein Selbstzweck: Sie ist im Zweifel der Nachweis, dass die Organisation funktioniert hat.
SPECTOR bildet diesen Ablauf mit einem Vorfalls-Register ab, das die drei Fristen ab Anlage des Vorfalls berechnet, an Abläufe erinnert und jede Stufe mit Zeitstempel bestätigt – Details dazu auf der Seite zum Modul NIS2.
