CyberPediaWissenA4-02NIS-2

BSI-Meldepflicht — die dreistufige Meldekaskade nach § 32 BSIG

Autor: Willi Plattes LinkedIn
Erstveröffentlichung: 19. Juni 2026 · Letzte Aktualisierung: 19. September 2026
Lesezeit: 45 Min.

1. Worum es geht — die Meldepflicht als eigene Disziplin

Ein Cybervorfall löst nicht automatisch eine Meldung nach § 32 BSIG [N-BSIG-32] aus. Die Meldeschiene hat eine eigene Logik. Erst wird geprüft, ob überhaupt ein Sicherheitsvorfall im Sinne von § 2 Nummer 40 BSIG [N-BSIG-2-40] vorliegt. Dann folgt die zweite Schwelle: Ist dieser Sicherheitsvorfall erheblich im Sinne von § 2 Nummer 11 BSIG [N-BSIG-2-11]? Erst danach läuft die gestufte Meldung an die vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe [B-BBK] eingerichtete gemeinsame Meldestelle.

Diese Meldepflicht ist nicht das operative Krisenmanagement der ersten 72 Stunden. Eindämmung, Forensik, Wiederanlauf, Führungsrhythmus und Stunde-0-Entscheidungen stehen in Cyber-Vorfall: die ersten 72 Stunden. A4-02 beantwortet die Frage, ob, wann, mit welchem Inhalt und an welchen Adressaten nach BSIG gemeldet wird. Die DSGVO [EU-DSGVO]-Datenpannen-Schiene steht in DSGVO-Datenpanne (Art. 33 / 34); Art. 33 und 34 DSGVO greifen nur bei einer Verletzung des Schutzes personenbezogener Daten und nach Risiko- beziehungsweise Hochrisiko-Prüfung. Die Lösegeldentscheidung steht in Lösegeld — ja oder nein?.

Die Meldepflicht ist deshalb eine eigene Disziplin: sie hat einen eigenen Auslöser, einen eigenen Adressaten, eine eigene Uhr und eigene Folgepflichten. Wer sie mit Datenschutz, Versicherungsanzeige, Strafanzeige oder Krisenkommunikation vermischt, erzeugt Compliance-Schulden.

Akut-Lesekarte: in 5 Minuten prüfen

Frage Sofortentscheidung Artefakt
1. Sind wir besonders wichtige Einrichtung oder wichtige Einrichtung, und greift eine Ausnahme nach § 28 oder ein wirksamer Ausnahmebescheid nach § 37? Wenn unklar: Einordnung und Reichweite parallel prüfen, die Vorfallprüfung aber nicht liegen lassen. Einordnungsnotiz, Bescheid und Anlagen, Register-/Anwendungsbereichsakte.
2. Liegt ein Sicherheitsvorfall nach § 2 Nr. 40 BSIG vor? Es muss um Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten gehen. Vorfallsbeschreibung, betroffene Systeme, betroffene Dienste.
3. Ist der Sicherheitsvorfall erheblich? Maßgeblich sind eingetretene oder nach der Norm prognostisch mögliche Folgen. Eine bloß offene Möglichkeit, dass die rechtliche Schwelle später erreicht sein könnte, genügt nicht; bei Unsicherheit sofort intern eskalieren und die Meldung vorbereiten. Erheblichkeitsvermerk mit Tatsachengrundlage und Sicherheitsgrad.
4. Wann wurde der erhebliche Sicherheitsvorfall erkannt? 24h- und 72h-Fristen hängen an Kenntniserlangung vom erheblichen Sicherheitsvorfall, nicht am Angriffsbeginn. Zeitstempel, wer wusste was wann.
5. Ist die 24h-Erstmeldung nötig? Bei erheblichem Sicherheitsvorfall: unverzüglich, spätestens innerhalb von 24 Stunden, mit schmalem Inhalt. Frühe Erstmeldung.
6. Welche Schiene läuft zusätzlich? DSGVO, TK, DORA, Versicherer, Vertrag, Strafverfolgung und Öffentlichkeitskommunikation separat prüfen. Parallelkaskaden-Log.
7. Wer entscheidet und wer gibt frei? Legal, IT/SOC, Compliance, Datenschutz, Geschäftsleitung und Kommunikation brauchen einen Freigabekanal. Entscheidungsakte, RACI, Fristenlog.

Die interne Grundregel für die Nacht- oder Wochenendlage lautet: Bei ernsthaften Anhaltspunkten für Erheblichkeit sofort eskalieren, Fristen vorsorglich sichern und die Meldung vorbereiten. Die gesetzliche §-32-Melde- und Fristkaskade knüpft an die Kenntniserlangung von einem erheblichen Sicherheitsvorfall an; eine interne Frühwarnschwelle verschiebt diesen Anker nicht. Ist die Erheblichkeit nach der Erstbewertung belastbar bejaht, wird früh, knapp und kenntlich vorläufig gemeldet. Die erste Stufe verlangt gerade keine fertige Forensik.

2. Wer melden muss

§ 32 BSIG [N-BSIG-32] richtet sich an besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Begriffe sind Normbegriffe des BSIG; sie dürfen nicht pauschal durch „Unternehmen“ ersetzt werden. Die vertiefte Einordnung nach Sektoren, Größen, Anlagen, Konzernen und Registrierung gehört in Schwellenwerte (250 MA / 50 Mio. €). Für A4-02 genügt: Wer in den Anwendungsbereich fällt, prüft vor der Entscheidung nach § 32 die bereichsspezifischen Ausnahmen nach § 28 Absatz 5, 6 oder 7 BSIG [N-BSIG-28] und, falls einschlägig, einen wirksamen Ausnahmebescheid nach § 37 BSIG [N-BSIG-37]. Greift weder eine Ausnahme noch der Bescheid im konkreten Umfang, sind erhebliche Sicherheitsvorfälle nach § 32 BSIG zu melden.

Registrierung und Meldung sind zu trennen. § 33 [N-BSIG-33] und § 34 BSIG [N-BSIG-34] betreffen Registrierungs- und besondere Registrierungspflichten; § 32 BSIG betrifft die Meldung erheblicher Sicherheitsvorfälle. Ein erweiterter Ausnahmebescheid nach § 37 Absatz 3 kann unter seinen engen Voraussetzungen auch die Registrierungspflichten erfassen. Ohne einen solchen wirksamen Bescheid ist eine fehlende oder noch nicht abgeschlossene Registrierung aber kein materieller Freibrief, einen erheblichen Sicherheitsvorfall nicht zu behandeln. Praktisch kann sie den Meldeweg erschweren; dann sollten Zustellversuch, Portalstatus, Ersatzweg und Supportkontakt aus Governance- und Beweisgründen dokumentiert werden.

Konzernlagen brauchen eine saubere Zuordnung. Die Pflicht ist einrichtungsbezogen. Ist ein Shared-Service, ein Cloud-Tenant oder ein zentrales ERP-System mehrerer Rechtsträger betroffen, muss die Meldung erkennen lassen, welche erfassten Einrichtungen betroffen sind, wer für welche Einrichtung handelt und welche Rückfragekontakte bestehen. Eine zentrale Abgabe kann praktisch sinnvoll sein; sie ersetzt aber nicht die Verantwortung der betroffenen Einrichtung.

3. Was gemeldet wird — die zweistufige Begriffs-Schleuse

Sicherheitsvorfall nach § 2 Nummer 40 BSIG

„Sicherheitsvorfall“ ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt;

— § 2 Nummer 40 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__2.html, Abruf 10. Juni 2026.

Die erste Schwelle fragt nicht nach Schuld, Angriffsart oder Datenschutzbezug. Sie fragt, ob ein Ereignis die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. „Authentizität“ steht nicht in § 2 Nummer 40 BSIG [N-BSIG-2-40] und darf nicht aus anderen Normwelten in diese Definition hineingelesen werden.

Typische Beispiele sind verschlüsselte Produktionsserver, kompromittierte Admin-Konten, manipulierte Datenbestände, ausgefallene Kundenportale oder ein Dienstleistervorfall, der die eigenen Dienste beeinträchtigt. Ein bloßes Phishing-Mail ohne erfolgreiche Wirkung kann unterhalb dieser Schwelle liegen; es kann aber als Beinahevorfall oder Cyberbedrohung für andere Schienen relevant sein.

Erheblicher Sicherheitsvorfall nach § 2 Nummer 11 BSIG

„erheblicher Sicherheitsvorfall“ ein Sicherheitsvorfall, der

a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder

b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,

sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt;

— § 2 Nummer 11 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__2.html, Abruf 10. Juni 2026.

Die zweite Schwelle ist die Melde-Schwelle. Nicht jeder Sicherheitsvorfall ist meldepflichtig; meldepflichtig ist der erhebliche Sicherheitsvorfall. Entscheidend ist dabei nicht nur, was schon eingetreten ist. Die beiden Prognoseäste „verursachen kann“ und „beeinträchtigen kann“ reichen aus. Wer erst meldet, wenn Schaden, Produktionsausfall oder Kundenschaden abschließend bewiesen sind, kann die 24h- und 72h-Logik verfehlen.

Verweisungsbruch § 2 Nummer 11 / § 56 BSIG

Der Konditionssatz in § 2 Nummer 11 [N-BSIG-2-11] verweist auf eine Rechtsverordnung nach § 56 Absatz 5. Die aktuelle amtliche Fassung ist aber anders zu lesen: Die materielle Ermächtigung, durch Rechtsverordnung zu bestimmen, wann ein Sicherheitsvorfall als erheblich im Sinne von § 2 Nummer 11 anzusehen ist, steht in § 56 Absatz 4 BSIG [N-BSIG-56]. § 56 Absatz 5 betrifft zugelassene Krankenhäuser und Nachweise. Dieser Bruch wird nicht geglättet.

§ 56 Absatz 4 gehört deshalb in den Text, nicht nur in die Quellenliste:

Das Bundesministerium des Innern kann im Einvernehmen mit dem Bundesministerium für Wirtschaft und Energie und im Benehmen mit dem Bundesministerium der Justiz und für Verbraucherschutz, dem Bundesministerium der Finanzen, dem Bundesministerium für Arbeit und Soziales, dem Bundesministerium für Landwirtschaft, Ernährung und Heimat, dem Bundesministerium für Gesundheit, dem Bundesministerium für Verkehr, dem Bundesministerium der Verteidigung, dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit, dem Bundesministerium für Forschung, Technologie und Raumfahrt und dem Bundesministerium für Digitales und Staatsmodernisierung durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, bestimmen, wann ein Sicherheitsvorfall im Hinblick auf seine technischen oder organisatorischen Ursachen oder im Hinblick auf seine Auswirkungen auf die Einrichtung, den Staat, die Wirtschaft oder die Anzahl der von den Auswirkungen Betroffenen als erheblich im Sinne von § 2 Nummer 11 anzusehen ist. Das Bundesministerium kann diese Ermächtigung durch Rechtsverordnung auf das Bundesamt übertragen. Etwaige Durchführungsrechtsakte der Europäischen Kommission gemäß Artikel 23 Absatz 11 Unterabsatz 2 der NIS-2-Richtlinie, die die Voraussetzungen eines erheblichen Sicherheitsvorfalls bestimmen, gehen der Rechtsverordnung nach den Sätzen 1 und 2 insoweit vor.

— § 56 Absatz 4 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__56.html, Abruf 10. Juni 2026.

Für die rechtliche Einordnung bleibt der amtliche Wortlaut maßgeblich: § 2 Nummer 11 verweist auf Absatz 5, die Erheblichkeits-RVO steht materiell in Absatz 4, und § 56 Absatz 5 betrifft Krankenhäuser. Sekundärquellen, die die Erheblichkeits-RVO in Absatz 5 und die Krankenhausregel in Absatz 6 verorten, dürfen diese amtliche Zuordnung nicht verdrängen.

DVO (EU) 2024/2690 als vorrangige Konkretisierung für bestimmte Einrichtungsarten

Für bestimmte Einrichtungsarten konkretisiert die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] unmittelbar, wann ein Sicherheitsvorfall als erheblich gilt. Erfasst sind nach Artikel 1 dieser DVO: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter.

Das Wort „insbesondere“ wäre hier irreführend. Für diese DVO-Schicht muss die konkrete Art aus Artikel 1 geöffnet und dann die passende Schwelle aus Artikel 3 bis 14 geprüft werden.

Die DVO ist nicht nur ein Auslegungshinweis. § 56 Absatz 4 Satz 3 BSIG ordnet den Vorrang etwaiger EU-Durchführungsrechtsakte nach Artikel 23 Absatz 11 Unterabsatz 2 der NIS-2-Richtlinie [EU-NIS2] gegenüber einer Rechtsverordnung nach § 56 Absatz 4 an. Für die erfassten Einrichtungsarten muss die unmittelbar geltende DVO deshalb vollständig geöffnet werden. Wie ihre Kriterien, die fortbestehende gesetzliche Definition in § 2 Nummer 11 BSIG und Artikel 5 der NIS-2-Richtlinie im Einzelfall zusammenwirken, darf wegen der offenen Verweisungs- und Schichtungslage nicht auf einen schematischen zweiten Auffangtest „DVO, dann national“ verkürzt werden; verbleibende Auslegungsfragen sind ausdrücklich zu kennzeichnen.

Die allgemeine DVO-Schleuse arbeitet mit den folgenden sieben Eingängen: direkte finanzielle Verluste von mehr als 500.000 Euro oder 5 Prozent des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist, die der Vorfall verursacht hat oder verursachen kann; der Abfluss von Geschäftsgeheimnissen der betreffenden Einrichtung, den der Vorfall verursacht hat oder verursachen kann; Tod oder mögliche Todesfolge; eine schwere Schädigung der Gesundheit einer natürlichen Person, die der Vorfall verursacht hat oder verursachen kann; erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen; wiederkehrende Vorfälle nach Artikel 4; und die artspezifischen Kriterien der Artikel 5 bis 14.

Planmäßige Betriebsunterbrechungen und Folgen planmäßiger Wartungsarbeiten gelten nach der DVO nur dann nicht als erhebliche Sicherheitsvorfälle, wenn die betreffenden Maßnahmen von der Einrichtung oder in ihrem Auftrag durchgeführt werden.

Für die Praxis heißt das: Ein Cloud-, Rechenzentrums-, DNS-, TLD-, CDN-, MSP-, MSSP-, Marktplatz-, Suchmaschinen-, Social-Network- oder Vertrauensdiensteanbieter muss die passende DVO-Schwelle vollständig öffnen und dokumentieren. Ob und in welchem Umfang daneben eine strengere nationale Schicht trägt, ist nicht schematisch zu unterstellen, sondern wegen der offenen Schichtung ausdrücklich zu begründen.

DVO-Schicht Praktische Frage Folge
Art. 3 Abs. 1 lit. a–e Liegt eines der allgemeinen materiellen Kriterien einschließlich der jeweiligen Prognosealternativen vor: finanzielle Verluste mit Vorjahresbezug, Abfluss von Geschäftsgeheimnissen, Tod, schwere Schädigung der Gesundheit oder erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff mit Eignung zu schwerwiegenden Betriebsstörungen? Dann ist die Erheblichkeit für DVO-erfasste Arten gesetzt, vorbehaltlich sauberer Tatsachengrundlage.
Art. 3 Abs. 1 lit. f / Art. 4 Sind mindestens zwei für sich genommen nicht erhebliche Vorfälle innerhalb von sechs Monaten aufgetreten, haben sie dieselbe offensichtliche Ursache und erfüllen sie zusammen das finanzielle Kriterium des Artikels 3 Absatz 1 Buchstabe a? Nur bei kumulativer Erfüllung aller drei Kriterien als wiederkehrenden erheblichen Sicherheitsvorfall behandeln.
Art. 3 Abs. 1 lit. g / Art. 5–14 Betrifft der Vorfall eine erfasste Einrichtungsart? Artspezifische Schwelle öffnen und ins Erheblichkeitslog aufnehmen.
Art. 3 Abs. 2 Beruht die Einschränkung auf einer planmäßigen Unterbrechung oder planmäßigen Wartungsarbeit, die von der Einrichtung oder in ihrem Auftrag durchgeführt wird? Nur dann nicht als erheblichen Sicherheitsvorfall nach DVO behandeln; ein planmäßig erscheinendes Dritt- oder Lieferkettenereignis ist nicht automatisch ausgenommen.
Art. 3 Abs. 3 Geht es um nutzerbezogene Schwellen der Artikel 7 und 9 bis 14? Bei Kunden nur Personen mit einem Vertrag mitzählen, der Zugang zu den betreffenden Systemen oder Diensten gewährt; mit Geschäftskunden verbundene natürliche oder juristische Personen nur, wenn sie diese Systeme oder Dienste tatsächlich nutzen.

Nebenbegriffe: Beinahevorfall, Cyberbedrohung, erhebliche Cyberbedrohung

Drei Begriffe dürfen nicht vermischt werden:

  • Beinahevorfall: ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit hätte beeinträchtigen können, dessen Eintritt aber erfolgreich verhindert wurde oder aus anderen Gründen nicht erfolgte.
  • Cyberbedrohung: Verweisbegriff auf Artikel 2 Nummer 8 der Verordnung (EU) 2019/881 [EU-CSA].
  • Erhebliche Cyberbedrohung: eine Cyberbedrohung mit Potenzial, informationstechnische Systeme, Komponenten und Prozesse aufgrund besonderer technischer Merkmale erheblich zu beeinträchtigen; die Erheblichkeit knüpft an möglichen erheblichen materiellen oder immateriellen Schaden an.

Diese Begriffe sind relevant für § 5 BSIG [N-BSIG-5] und § 35 Absatz 2 BSIG [N-BSIG-35]. Sie ersetzen aber nicht den erheblichen Sicherheitsvorfall nach § 2 Nummer 11 BSIG.

4. Die Kaskade — Stufe für Stufe

§ 32 BSIG [N-BSIG-32] enthält keine bloße „72-Stunden-Meldung“. Die Norm baut eine gestufte Kaskade. Pflicht-Stufen sind frühe Erstmeldung, 72h-Meldung und Abschlussmeldung beziehungsweise bei andauerndem Vorfall zunächst Fortschrittsmeldung. Die Zwischenmeldung ist keine automatische vierte Pflichtstufe; sie entsteht nur auf Ersuchen des Bundesamtes.

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden:

  1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;

  2. unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;

  3. auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen;

  4. spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die Folgendes enthält:

a) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen;

b) Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat;

c) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen;

d) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls.

Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.

— § 32 Absatz 1 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__32.html, Abruf 10. Juni 2026.

Dauert der Sicherheitsvorfall zum in Absatz 1 Satz 1 Nummer 4 genannten Zeitpunkt noch an, legt die betreffende Einrichtung statt einer Abschlussmeldung zu diesem Zeitpunkt eine Fortschrittsmeldung vor. Die Abschlussmeldung ist dem Bundesamt nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung vorzulegen.

— § 32 Absatz 2 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__32.html, Abruf 10. Juni 2026.

Die Stufen-Matrix

Stufe Auslöser Frist / Fälligkeit Pflichtinhalt Norm
Frühe Erstmeldung Kenntniserlangung von einem erheblichen Sicherheitsvorfall unverzüglich, spätestens innerhalb von 24 Stunden Ob Verdacht auf rechtswidrige oder böswillige Handlungen besteht oder grenzüberschreitende Auswirkungen möglich sind § 32 Abs. 1 S. 1 Nr. 1 BSIG
72h-Meldung gleicher erheblicher Sicherheitsvorfall unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung Bestätigung oder Aktualisierung der Erstmeldung; erste Bewertung von Schweregrad und Auswirkungen; gegebenenfalls Kompromittierungsindikatoren § 32 Abs. 1 S. 1 Nr. 2 BSIG
Zwischenmeldung nur Ersuchen des Bundesamtes nach Ersuchen relevante Statusaktualisierungen § 32 Abs. 1 S. 1 Nr. 3 BSIG
Abschlussmeldung Übermittlung der 72h-Meldung spätestens einen Monat nach Übermittlung der Nr.-2-Meldung, vorbehaltlich Abs. 2 ausführliche Beschreibung, Bedrohungsart/Ursache, Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen § 32 Abs. 1 S. 1 Nr. 4 BSIG
Fortschrittsmeldung Vorfall dauert beim Monatsanker noch an zum Zeitpunkt der eigentlich fälligen Abschlussmeldung Fortschritt statt Abschluss; Abschluss erst nach abschließender Bearbeitung § 32 Abs. 2 BSIG

Demut-Box: Die Uhr läuft ab Kenntniserlangung, nicht ab Angriffsbeginn

Die 24h- und 72h-Fristen laufen nicht ab Angriffsbeginn, nicht ab Log-Eintrag und nicht ab erster Vermutung irgendeines IT-Problems. Der gesetzliche Fristanker ist die Kenntniserlangung von einem erheblichen Sicherheitsvorfall. In unklaren Forensiklagen ist deshalb zu dokumentieren, wann welche Tatsachen vorlagen und ab wann sie eine belastbare Annahme der Erheblichkeit trugen. Frühere Verdachts- und Eskalationszeitpunkte sind getrennt festzuhalten; sie sind nicht automatisch der gesetzliche Fristbeginn.

Als Behördenpraxis beschreibt das BSI die Kenntniserlangung als Zeitpunkt, zu dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung innerhalb der Arbeitszeit Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Diese Praxis ersetzt den Gesetzeswortlaut nicht. Für 24/7-Leitstände, Rufbereitschaft, SOC, Schichtbetrieb und ausgelagerte Dienstleister muss der Meldeprozess deshalb ausdrücklich regeln, wer außerhalb normaler Bürozeiten Kenntnis entgegennimmt und eskaliert.

Schnelligkeit und Richtigkeit sind kein Widerspruch

Die frühe Erstmeldung ist bewusst schmal. Sie muss nicht die ganze Ursachenanalyse enthalten. Die 72h-Meldung bestätigt oder aktualisiert die Erstmeldung ausdrücklich. Diese Stufenlogik erlaubt stufengerechte Angaben nach dem jeweiligen Erkenntnisstand. Sie schafft aber keinen Safe Harbor: Bekannte Pflichtangaben müssen in der jeweiligen Stufe richtig und vollständig sein; eine Vorläufigkeitskennzeichnung und spätere Nachträge heilen keine bekannten oder vermeidbaren Falschangaben beziehungsweise Auslassungen.

Unsichere Formulierungen gehören in die Meldung, wenn sie sachlich sind: „Nach derzeitigem Stand“, „Forensik läuft“, „IoCs noch nicht abschließend“, „grenzüberschreitende Auswirkungen derzeit nicht ausgeschlossen“. Spekulationen gehören nicht hinein.

§ 32 Absatz 4: Verfahrens- und Portal-Schicht

Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt auf dessen Internetseite veröffentlicht.

— § 32 Absatz 4 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__32.html, Abruf 10. Juni 2026.

Absatz 4 ist praktisch wichtig. Das Gesetz nennt Mindestinhalte; das Bundesamt konkretisiert das Verfahren und die Meldungsinhalte. Portal- oder Formularfelder dürfen aber nicht mit dem gesetzlichen Mindestinhalt verwechselt werden. Wenn ein Formular mehr abfragt als § 32 Absatz 1 verlangt, ist das Verfahrenspraxis; wenn § 32 Absatz 1 etwas verlangt, bleibt es auch dann relevant, wenn ein Formularfeld anders benannt ist.

Stand 10. Juni 2026 ist der BSI-Portalweg [B-BSI] als Praxisstand zu berücksichtigen. Das BSI hatte das BSI-Portal zum 6. Januar 2026 als Meldestelle für erhebliche Sicherheitsvorfälle angekündigt; aktuelle BSI-Seiten verweisen auf das BSI-Portal und, je nach Rolle und Übergangslage, auf bestehende MIP-/KRITIS-Wege. Der konkrete Tagesstand muss beim Schreiben und vor Abgabe einer Meldung erneut geöffnet werden.

Meldeweg-Ausfall und Übergangslage

Ein Portalproblem ist keine materielle Entpflichtung. Wenn der vorgesehene Meldeweg nicht funktioniert, sollte die Einrichtung aus Governance- und Beweisgründen ein Ausfallprotokoll führen: Zeitpunkt, Screenshot oder Fehlermeldung, genutzter Alternativweg, Supportkontakt, Wiederholungsversuch, Zustellnachweis und interne Freigabe. Das schafft keine automatische Entlastung, dokumentiert aber die unternommenen Erfüllungsbemühungen.

5. Der KRITIS-Zusatz

Betreiber kritischer Anlagen haben bei erheblichen Sicherheitsvorfällen mit Bezug zur kritischen Anlage zusätzliche Angaben zu liefern.

Betreiber kritischer Anlagen sind zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte.

— § 32 Absatz 3 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__32.html, Abruf 10. Juni 2026.

Der Zusatz ist prognoseoffen: „hat oder haben könnte“. Er greift also nicht erst, wenn die kritische Dienstleistung tatsächlich ausgefallen ist. Es genügt, dass Auswirkungen möglich sind.

Die KRITIS-Schiene ist dennoch von der Registrierungs- und Resilienzschiene zu trennen. § 8 KRITIS-DachG [N-KRITISDachG-8] und die vertiefte KRITIS-Einordnung stehen in Sondertatbestände + KRITIS; die Anwendungsbereichs- und Registrierungsfragen stehen in Schwellenwerte (250 MA / 50 Mio. €). A4-02 beantwortet nur, welche zusätzlichen Angaben bei der BSIG-Meldung hinzukommen.

Für die Meldung heißt das: Die Incident-Beschreibung muss nicht nur Systeme, Dienste und Ursachen nennen. Sie muss auch Art der kritischen Anlage, betroffene kritische Dienstleistung und mögliche oder eingetretene Auswirkungen auf diese Dienstleistung sauber herausarbeiten.

6. Nach der Meldung

Eine Meldung beendet den Vorfall nicht. Sie eröffnet eine Behördenkommunikation und kann weitere Informations-, Unterstützungs- und Öffentlichkeitsfolgen auslösen.

Rückmeldung und Unterstützung nach § 36 BSIG

Im Fall einer Meldung einer Einrichtung gemäß § 32 übermittelt das Bundesamt dieser unverzüglich und nach Möglichkeit innerhalb von 24 Stunden eine Bestätigung über den Eingang der Meldung und, auf Ersuchen der Einrichtung, Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen. Das Bundesamt kann auf Ersuchen der betreffenden Einrichtung zusätzliche technische Unterstützung leisten.

— § 36 Absatz 1 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__36.html, Abruf 10. Juni 2026.

§ 36 Absatz 1 [N-BSIG-36] enthält drei unterschiedliche Aussagen. Erstens: Das Bundesamt bestätigt den Eingang unverzüglich und nach Möglichkeit innerhalb von 24 Stunden. Zweitens: Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen gibt es auf Ersuchen der Einrichtung. Drittens: zusätzliche technische Unterstützung kann das Bundesamt ebenfalls auf Ersuchen leisten.

Der Satz „Das BSI hilft dann“ wäre zu grob. Eine Einrichtung muss intern festlegen, wer Rückmeldungen entgegennimmt, wer ein Ersuchen um Beratung oder Unterstützung stellt und wer Antworten in Incident-Management, Legal, Datenschutz, Kommunikation und Geschäftsleitung einspeist.

Weiterleitung und Unterstützungsangebote nach § 32 Absatz 5 und 6 BSIG

Das Bundesamt stellt den zuständigen Aufsichtsbehörden des Bundes unverzüglich die bei ihm eingegangenen Meldungen zur Verfügung.

Das Bundesamt kann meldenden Einrichtungen nach Maßgabe des § 36 Absatz 1 Angebote zu deren Unterstützung bei der Behebung des Sicherheitsvorfalls machen.

— § 32 Absatz 5 und 6 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__32.html, Abruf 10. Juni 2026.

Aus Nutzersicht ist wichtig: Die Pflichtmeldung bleibt nicht nur beim Eingangskanal. Zuständige Bundesaufsichtsbehörden können eingebunden werden. Außerdem kann das Bundesamt Unterstützungsangebote machen; diese Unterstützung folgt aber der § 36-Logik und ersetzt keine eigene Incident-Steuerung.

Als Behördenpraxis beschreibt das BSI, Lageprodukte aus Meldungen zu sanitisieren, sodass kein Rückschluss auf Meldende möglich sein soll. Das ist Praxis, nicht der gesetzliche Kern der § 32-Pflichtmeldung.

Unterrichtung von Empfängern nach § 35 Absatz 1 BSIG

Im Fall eines erheblichen Sicherheitsvorfalls kann das Bundesamt besonders wichtigen Einrichtungen und wichtigen Einrichtungen anordnen, die Empfänger ihrer Dienste unverzüglich über diesen erheblichen Sicherheitsvorfall zu unterrichten, der die Erbringung des jeweiligen Dienstes beeinträchtigen könnte. Das Bundesamt setzt die für die Einrichtung zuständige Aufsichtsbehörde des Bundes über Anweisungen nach Satz 1 in Kenntnis. Die Unterrichtung nach Satz 1 kann auch durch eine Veröffentlichung auf der Internetseite der Einrichtung erfolgen.

— § 35 Absatz 1 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__35.html, Abruf 10. Juni 2026.

§ 35 Absatz 1 ist keine automatische Kundeninformationspflicht bei jedem erheblichen Sicherheitsvorfall. Es ist eine Anordnungskonstruktion: Das Bundesamt kann eine Unterrichtung der Empfänger anordnen. Die Unterrichtung kann auch über die Internetseite der Einrichtung erfolgen.

Für Geschäftsleitung und Kommunikation ist das heikel. Die Organisation muss vorbereiten, wer eine behördlich angeordnete Unterrichtung textlich, juristisch und kommunikativ freigibt. Sie darf nicht gleichzeitig in der § 32-Meldung unsicher formulieren und öffentlich absolute Gewissheiten behaupten.

Eigene Mitteilungspflicht bei erheblicher Cyberbedrohung nach § 35 Absatz 2 BSIG

Einrichtungen nach Absatz 1 Satz 1 aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste teilen den potenziell von einer erheblichen Cyberbedrohung betroffenen Empfängern ihrer Dienste und dem Bundesamt unverzüglich alle Maßnahmen oder Abhilfemaßnahmen mit, die diese Empfänger als Reaktion auf diese Bedrohung ergreifen können. Die Einrichtungen informieren zugleich diese Empfänger auch über die erhebliche Cyberbedrohung selbst. Die Pflichten nach Satz 1 oder 2 gelten nur dann, wenn in Abwägung der Interessen der Einrichtung und des Empfängers die Interessen des Empfängers überwiegen.

— § 35 Absatz 2 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__35.html, Abruf 10. Juni 2026.

Absatz 2 ist eine andere Konstruktion als Absatz 1. Er betrifft bestimmte Sektoren und knüpft an eine erhebliche Cyberbedrohung an, nicht an eine schon erfolgte § 32-Meldung. Die Mitteilung geht an potenziell betroffene Empfänger und an das Bundesamt. Sie umfasst Maßnahmen oder Abhilfemaßnahmen und zugleich Information über die Bedrohung selbst. Satz 3 enthält eine Interessenabwägung: Die Pflichten gelten nur, wenn die Interessen des Empfängers überwiegen.

Öffentlichkeit nach § 36 Absatz 2 BSIG

Ist eine Sensibilisierung der Öffentlichkeit erforderlich, um einen erheblichen Sicherheitsvorfall zu verhindern oder zu bewältigen, oder liegt die Offenlegung des erheblichen Sicherheitsvorfalls anderweitig im öffentlichen Interesse, so kann das Bundesamt nach Anhörung der betreffenden Einrichtung diese dazu verpflichten, die Öffentlichkeit über den erheblichen Sicherheitsvorfall zu informieren. Das Bundesamt kann entsprechend der Voraussetzungen nach Satz 1 die Öffentlichkeit auch selbst informieren. Handelt es sich bei der betreffenden Einrichtung um eine Einrichtung der Bundesverwaltung, gilt für die Information der Öffentlichkeit § 4 Absatz 3 entsprechend.

— § 36 Absatz 2 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__36.html, Abruf 10. Juni 2026.

§ 36 Absatz 2 ist eine Öffentlichkeitsbefugnis nach Anhörung. Sie ist nicht identisch mit § 35 Absatz 1 und nicht identisch mit Datenschutz-Benachrichtigung betroffener Personen nach Art. 34 DSGVO [EU-DSGVO]. Für die Krisenkommunikation heißt das: Es braucht eine Empfänger- und Öffentlichkeitmatrix, keine Einheitsmail.

Informationsweg Auslöser Adressat Wer handelt? Hinweis
§ 32 BSIG erheblicher Sicherheitsvorfall gemeinsame Meldestelle Einrichtung Pflichtmeldung, Stufenkaskade.
§ 35 Abs. 1 BSIG erheblicher Sicherheitsvorfall + Anordnung Empfänger der Dienste Einrichtung nach Anordnung Auch Internetseite möglich.
§ 35 Abs. 2 BSIG erhebliche Cyberbedrohung + Sektor + Interessenüberwiegen potenziell betroffene Empfänger und Bundesamt Einrichtung Eigenpflicht, nicht an § 32-Meldung gekettet.
§ 36 Abs. 2 BSIG Öffentlichkeitssensibilisierung oder öffentliches Interesse Öffentlichkeit Einrichtung auf Verpflichtung oder Bundesamt selbst Anhörung vorgesehen.
Art. 34 DSGVO Datenschutzverletzung + hohes Risiko betroffene Personen Verantwortlicher Vertiefung DSGVO-Datenpanne (Art. 33 / 34).
Vertrag / AVB vertragliche oder Versicherer-Obliegenheit Kunde, Auftraggeber, Versicherer nach Vertrag Markt- und Vertragsabhängig, Vertiefung Cyber-Versicherungs-Architektur.

7. Wer nicht oder eingeschränkt meldet — und was trotzdem bleibt

§ 28 BSIG [N-BSIG-28] enthält wichtige Bereichsausnahmen. Daneben ist ein wirksamer Ausnahmebescheid nach § 37 BSIG [N-BSIG-37] als eigener, formeller Ausnahmeweg zu prüfen. Beide Schichten dürfen weder ignoriert noch überdehnt werden. Die richtige Formel lautet: Eine Ausnahme oder ein Bescheid lässt nur die jeweils erfassten Pflichten zurücktreten; andere Pflichten, Spezialmeldewege und Parallelkaskaden folgen ihrem eigenen Tatbestand.

Telekommunikation und Energie nach § 28 Absatz 5 BSIG

Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die

  1. ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder

  2. Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen.

Satz 1 gilt nicht für die dort aufgeführten besonders wichtigen und wichtigen Einrichtungen, soweit sie über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 bestimmten Einrichtungsarten zuzuordnen sind.

Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind.

Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.

— § 28 Absatz 5 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__28.html, Abruf 10. Juni 2026.

§ 28 Absatz 5 BSIG nimmt also bestimmte Telekommunikations- und Energiekonstellationen nicht nur aus § 32 heraus, sondern auch aus § 30, § 31, § 35, § 36, § 38, § 39, § 61 und § 62. Das bedeutet nicht: „TK oder Energie müssen nichts melden.“ Es bedeutet: Der § 32-BSIG-Weg kann zurücktreten, während sektorale Meldewege, TK-/Energieaufsicht und andere Schienen separat laufen.

DORA-Finanzunternehmen und Telematik nach § 28 Absatz 6 BSIG

Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

  1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,

  2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.

— § 28 Absatz 6 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__28.html, Abruf 10. Juni 2026.

§ 28 Absatz 6 BSIG nimmt Finanzunternehmen nach Artikel 2 Absatz 2 DORA [EU-DORA] und die genannten Telematik-Konstellationen aus § 30, § 31, § 32, § 35, § 36, § 38 und § 39 heraus. Das DORA-IKT-Meldewesen läuft als eigene Schiene seit dem 17. Januar 2025; die Vertiefung steht in DORA oder BSIG?.

Auch hier ist der Satz „DORA-Unternehmen müssen nichts melden“ falsch. Richtig ist: Für die erfassten Finanzunternehmen tritt die § 32-BSIG-Meldung zurück; das DORA-Meldewesen und einschlägige Finanzaufsichtspflichten laufen eigenständig.

Betreiber kritischer Anlagen für DORA-Unternehmen nach § 28 Absatz 7 BSIG

§ 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.

— § 28 Absatz 7 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__28.html, Abruf 10. Juni 2026.

Absatz 7 ist eng. Er sagt nicht, dass alle Pflichten entfallen. Er sagt nur, dass § 32 nicht gilt, soweit der Betreiber kritischer Anlagen eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreibt. Registrierung, andere BSIG-Pflichten, vertragliche Pflichten, DORA-Zulieferkettenpflichten oder § 35-Konstellationen müssen gesondert geprüft werden.

Ausnahmebescheid nach § 37 BSIG

§ 37 BSIG ist keine zusätzliche Selbsteinstufung. Das Bundesministerium des Innern kann eine besonders wichtige Einrichtung oder wichtige Einrichtung unter den gesetzlichen Voraussetzungen durch einen einfachen Ausnahmebescheid teilweise oder durch einen erweiterten Ausnahmebescheid insgesamt von den dort bezeichneten Pflichten befreien, sofern die Einrichtung gleichwertige Vorgaben einhält. Maßgeblich sind der wirksame Bescheid, sein genauer Tenor und die von ihm erfassten Tätigkeiten oder Dienste.

Einrichtungen, die

  1. in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung, einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten, (relevante Bereiche) tätig sind oder Dienste erbringen oder

  2. ausschließlich für Behörden, die Aufgaben in relevanten Bereichen erfüllen, tätig sind oder Dienste erbringen,

können für diese Tätigkeiten oder Dienste von den Risikomanagementmaßnahmen nach § 30 und den Meldepflichten nach § 32 befreit werden. Die Sicherheit in der Informationstechnik dieser Einrichtungen muss in diesen Fällen anderweitig gewährleistet sein und beaufsichtigt werden.

— § 37 Absatz 2 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__37.html, Abruf 19. Juni 2026.

Ein erweiterter Ausnahmebescheid kann Einrichtungen, die ausschließlich in den relevanten Bereichen tätig sind oder Dienste erbringen, zusätzlich von den Registrierungspflichten nach §§ 33 und 34 befreien. Für Vertrauensdiensteanbieter gilt dieser Ausnahmeweg nicht. § 35 und § 36 gehören nicht zu den in § 37 Absatz 2 und 3 genannten Befreiungstatbeständen; ihre praktische Relevanz sowie Parallelkaskaden und vertragliche Pflichten sind deshalb nach ihren eigenen Voraussetzungen zu prüfen. Gültigkeit, Reichweite und ein möglicher Widerruf gehören in die Einordnungs- und Nicht-Melde-Akte.

Freiwillig melden nach § 5 BSIG

§ 5 BSIG [N-BSIG-5] eröffnet eine allgemeine Meldestelle. Der Kernsatz ist für A4-02 wichtig, weil er die freiwillige Informationsschiene von der Pflichtmeldung nach § 32 trennt.

Das Bundesamt nimmt zur Wahrnehmung der Aufgaben nach Absatz 1 Informationen zu Schwachstellen, Schadprogrammen, erfolgten oder versuchten Angriffen auf die Sicherheit in der Informationstechnik und der dabei beobachteten Vorgehensweisen sowie zu Sicherheitsvorfällen, Cyberbedrohungen und Beinahevorfällen entgegen. Das Bundesamt richtet hierzu geeignete Meldemöglichkeiten ein. Die Meldungen können anonym erfolgen. Erfolgt die Meldung nicht anonym, kann der Meldende zum Zeitpunkt der Meldung oder später verlangen, dass seine personenbezogenen Daten nur anonymisiert weitergegeben werden dürfen. Dies gilt nicht in den Fällen des § 8 Absatz 6 und 7 Satz 1. Eine Übermittlung der personenbezogenen Daten in den Fällen von § 8 Absatz 6 und 7 Satz 1 hat zu unterbleiben, wenn für das Bundesamt erkennbar ist, dass die schutzwürdigen Interessen des Meldenden das Allgemeininteresse an der Übermittlung überwiegen. Zu berücksichtigen ist dabei auch die Art und Weise, in der der Meldende die Erkenntnisse gewonnen hat. Die Entscheidung nach Satz 6 muss dem oder der behördlichen Datenschutzbeauftragten des Bundesamtes sowie einem oder einer weiteren Bediensteten des Bundesamtes, der oder die die Befähigung zum Richteramt hat, zur vorherigen Prüfung vorgelegt werden.

— § 5 Absatz 2 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__5.html, Abruf 19. Juni 2026.

Der Binnenverweis auf § 8 Absatz 6 und 7 Satz 1 bleibt für A4-02 ein Warnsignal: Das Anonymisierungsverlangen ist kein absoluter Geheimhaltungsschutz. Die letzten beiden Sätze des Absatzes verpflichten das Bundesamt zugleich, die Art der Erkenntnisgewinnung zu berücksichtigen und die Übermittlungsentscheidung intern vorprüfen zu lassen. Die freiwillige Schiene ist damit vertraulichkeitsfreundlicher als die Pflichtmeldung, aber nicht risikolos. Deshalb muss auch bei einer freiwilligen Meldung entschieden werden, ob anonym, nicht anonym oder mit Anonymisierungsverlangen gemeldet wird.

Diese freiwillige Schiene ist wichtig für unterschwellige Vorfälle, Beinahevorfälle und nicht erfasste Einrichtungen. Sie ersetzt aber keine § 32-Pflichtmeldung, wenn ein erheblicher Sicherheitsvorfall bei einer meldepflichtigen Einrichtung vorliegt. Die freiwillige Abgabe allein ist kein Eingeständnis, dass die § 32-Schwelle erreicht war; der Inhalt der Meldung kann jedoch Tatsachen offenlegen, die für die §-32-Prüfung erheblich sind.

Schlechterstellungsverbot nach § 30 Absatz 7 BSIG

Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen der Austausch von Informationen nach § 6 oder die freiwillige Meldung nach § 5 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte.

— § 30 Absatz 7 BSIG, amtlicher Quellenpfad: gesetze-im-internet.de/bsig_2025/__30.html, Abruf 10. Juni 2026.

Das ist hilfreich, aber begrenzt. Das Verbot schützt die freiwillige Schiene nach § 5 und den Informationsaustausch nach § 6. Es schützt nicht die Pflichtmeldung nach § 32. Außerdem steht es ausdrücklich unter dem Vorbehalt der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten.

8. Folgen und Druckkulisse

Eine Meldung ist Pflichterfüllung, kein Schuldeingeständnis. Trotzdem ist die Verletzung der Meldepflicht ein eigener Bußgeldtatbestand.

Die für A4-02 tragenden Nummern lauten im amtlichen Katalog:

4.

entgegen § 32 Absatz 1 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,

5.

entgegen § 32 Absatz 2 Satz 2 eine Abschlussmeldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt,

6.

entgegen § 35 Absatz 2 Satz 1, auch in Verbindung mit Satz 2, eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,

— § 65 Absatz 2 Nummer 4, 5 und 9 BSIG, Auszug aus dem amtlichen Katalog; Quellenpfad: gesetze-im-internet.de/bsig_2025/__65.html, Abruf 10. Juni 2026.

§ 65 Absatz 2 Nummer 1 Buchstabe d BSIG [N-BSIG-65] erfasst zusätzlich Zuwiderhandlungen gegen vollziehbare Anordnungen nach § 35 Absatz 1 Satz 1 oder § 36 Absatz 2 Satz 1. Die Druckkulisse endet also nicht bei § 32.

Für die Bußgeldrahmen genügt in A4-02 der Überblick. § 65 Absatz 5 Satz 1 Nummer 1 erfasst die Fälle des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und Nummer 9. Für besonders wichtige Einrichtungen nennt diese Schiene bis zu 10 Millionen Euro; für wichtige Einrichtungen bis zu 7 Millionen Euro.

Bei besonders wichtigen Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz kann § 65 Absatz 6 für diese Fallgruppe bis zu 2 Prozent des Gesamtumsatzes ermöglichen. § 65 Absatz 7 enthält die 1,4-Prozent-Schiene für wichtige Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz. Die Zumessung und Haftung stehen in Haftung und Sanktionen — Überblick.

Demut-Box: Meldung ist kein Schuldgeständnis, aber kein Schutzschild

Eine § 32-Meldung sagt nicht: „Wir haben schuldhaft schlecht gearbeitet.“ Sie sagt: „Wir erfüllen eine gesetzliche Informationspflicht zu einem erheblichen Sicherheitsvorfall.“ Umgekehrt schützt eine Meldung nicht vor Aufsicht, Folgefragen oder Haftung. Wer zu spät, unrichtig oder unvollständig meldet, schafft ein eigenes Risiko.

Verwendungs- und Selbstbelastungsfrage

Für die § 32-Pflichtmeldung enthält das BSIG keine mit § 42 Absatz 4 oder § 43 Absatz 4 BDSG [N-BDSG-42-43] vergleichbare ausdrückliche Verwendungsbeschränkung zugunsten des Melders. Das Schlechterstellungsverbot des § 30 Absatz 7 BSIG [N-BSIG-30] erfasst nur die freiwillige Schiene nach § 5 beziehungsweise den Informationsaustausch nach § 6 und steht unter Strafverfolgungsvorbehalt.

Die anwaltliche Konsequenz ist nicht Schweigen. Die Konsequenz ist kontrollierte, sachliche und kenntlich vorläufige Meldung: keine Spekulationen als Tatsachen, keine Schuldnarrative, keine unnötigen Selbstbewertungen, klare Trennung zwischen gesichertem Stand, Verdacht und laufender Forensik.

Versicherer und Verträge

Viele Cyber-Versicherungsbedingungen und Kundenverträge enthalten unverzügliche Anzeige-, Mitwirkungs- oder Informationsobliegenheiten. Das ist marktabhängig und gehört vertieft in Cyber-Versicherungs-Architektur. Für A4-02 genügt: Die BSIG-Meldung ersetzt nicht automatisch Versicherer- oder Kundenanzeigen. Sie muss aber mit ihnen konsistent sein.

9. Wie du entscheidest — die Prüfreihenfolge

Schritt Frage Artefakt Stoppsignal
1 Sind wir besonders wichtige Einrichtung oder wichtige Einrichtung, und greift eine Ausnahme nach § 28 oder ein wirksamer Ausnahmebescheid nach § 37? Einordnungsnotiz, Registerstatus, Ausnahmencheck, Bescheid samt Anlagen „Nicht erfasst“ oder „befreit“ nur mit begründeter Reichweite.
2 Liegt ein Sicherheitsvorfall nach § 2 Nr. 40 vor? Vorfallsbeschreibung, betroffene Daten/Dienste Kein Sprung von „IT-Störung“ zu „§ 32“.
3 Ist der Sicherheitsvorfall erheblich? Bei DVO-erfassten Einrichtungen sind die DVO-Kriterien vollständig zu prüfen und ihr Verhältnis zu § 2 Nummer 11 offen zu dokumentieren. Erheblichkeitsvermerk, DVO-Prüfung, Prognose und Schichtungscaveat Kein Abwarten auf Endschaden und kein schematischer „DVO-oder-national“-Kurzschluss.
4 Wann lag Kenntnis vom erheblichen Sicherheitsvorfall vor? Zeitstrahl, Personen, Arbeitszeit/Rufbereitschaft Nicht Angriffsbeginn mit Kenntnis verwechseln.
5 Ist die 24h-Erstmeldung fällig? Meldung Nr. 1, Freigabe Inhalt bewusst schmal halten.
6 Ist die 72h-Meldung fällig? Meldung Nr. 2, erste Bewertung, IoCs soweit vorhanden Erstmeldung bestätigen oder aktualisieren.
7 Gibt es ein Ersuchen um Zwischenmeldung? Behördenkommunikationslog Keine Zwischenmeldung ohne Ersuchen als Automatismus darstellen.
8 Läuft der Monatsanker? Fristenlog ab Übermittlung der Nr.-2-Meldung Nicht ab Vorfall oder Kenntnis rechnen.
9 Ist der Vorfall abgeschlossen? Abschluss- oder Fortschrittsmeldung Bei andauerndem Vorfall Fortschrittsmeldung.
10 Gibt es KRITIS-Zusatzangaben? Anlage, kritische Dienstleistung, Auswirkungen „hat oder haben könnte“ beachten.
11 Laufen § 35/§ 36-Folgen? Empfänger-/Öffentlichkeitsmatrix Anordnung, Eigenpflicht und Öffentlichkeit trennen.
12 Laufen Parallelkaskaden? DSGVO-, TK-, DORA-, Versicherer-, Vertrags-, Strafverfolgungslog Eine Meldung ersetzt nicht alle anderen.
13 Ist die Nicht-Melde-Entscheidung dokumentiert? Nicht-Melde-Vermerk Keine „stille Nichtmeldung“.

Nicht-Melde-Vermerk

Auch die Entscheidung gegen eine Meldung braucht einen Vermerk. Er enthält mindestens: Datum und Uhrzeit, verfügbare Tatsachen, betroffene Systeme/Dienste, Prüfung § 2 Nummer 40, Prüfung § 2 Nummer 11 und DVO, Ausnahmen nach § 28, einen etwaigen Ausnahmebescheid nach § 37 samt Reichweite und Gültigkeit, beteiligte Rollen, Sicherheitsgrad, Wiedervorlage und Trigger für Neubewertung.

Das ist nicht deshalb nötig, weil § 32 eine ausdrückliche Dokumentationspflicht für Nichtmeldungen formuliert. Es ist nötig, weil Geschäftsleitung, Compliance und Anwälte später erklären müssen, warum die Einrichtung trotz Vorfall keine § 32-Meldung abgegeben hat.

Kausalketten-Checksumme

Die Entscheidung darf nie aus einem isolierten Stichwort abgeleitet werden. A4-02 arbeitet deshalb mit folgenden Ketten:

Kette Richtige Lesart Verbotener Sprung
Begriffs-Kette Ereignis → Sicherheitsvorfall nach § 2 Nr. 40 → Erheblichkeitsprüfung nach § 2 Nr. 11; bei DVO-erfassten Einrichtungen DVO-Kriterien und offene Schichtung ausdrücklich einbeziehen → Kenntnis vom erheblichen Sicherheitsvorfall → § 32-Kaskade. „Incident = Meldung“ oder „DVO und nationale Definition sind schematisch austauschbare Auffangtests“.
Prognose-Kette Eingetretener Schaden ist nicht allein maßgeblich; „verursachen kann“ und „beeinträchtigen kann“ reichen für die Erheblichkeitsprüfung. „Noch kein Endschaden = nicht erheblich“.
Stufen-Kette 24h-Erstmeldung → 72h-Meldung → Zwischenmeldung nur auf Ersuchen → Abschluss oder Fortschritt nach Absatz 2. „Eine Meldung reicht“ oder „es gibt immer vier Pflichtmeldungen“.
Zeit-Kette 24h/72h ab Kenntnis vom erheblichen Sicherheitsvorfall; Monatsfrist ab Übermittlung der Nr.-2-Meldung. „Ab Angriff“, „ab Ticket“, „ab Vorfall“.
KRITIS-Kette Mögliche Auswirkung auf kritische Anlage → Zusatzangaben nach § 32 Abs. 3 → KRITIS-DachG-Schienen separat. „KRITIS = anderes Meldesystem ersetzt § 32“.
Ausnahme-Kette § 28 Abs. 5, 6 oder 7 sowie einen etwaigen Ausnahmebescheid nach § 37 prüfen → Reichweite genau lesen → Spezialschienen und Restpflichten separat bestimmen. „DORA/TK/Energie oder Ausnahmebescheid = gar keine Pflichten“.
Folge-Kette §-32-Meldung → Eingangsbestätigung/Rückmeldung/Unterstützung nach § 36 Absatz 1; daneben § 35 Absatz 1 und 2 sowie § 36 Absatz 2 jeweils nach ihren eigenen Voraussetzungen prüfen → Fristen- und Behördenlog fortführen. „Nach Absenden ist der Fall für Legal/Compliance erledigt“ oder „§ 35/§ 36 setzen stets eine §-32-Meldung voraus“.
Freiwilligen-Kette Keine § 32-Pflicht oder Beinahevorfall → § 5-Meldung möglich → § 30 Abs. 7 schützt nur diese freiwillige Schiene. „Freiwillig ist risikolos“ oder „freiwillig erzeugt neue Pflichten“.
Parallel-Kette BSIG, DSGVO, TK, DORA, Versicherer, Vertrag und Strafverfolgung jeweils getrennt auslösen, adressieren und dokumentieren. „Eine Meldung deckt alle Schienen“.
Dienstleister-Kette Provider-/MSP-Fakten → eigene Betroffenheit → eigene Erheblichkeit → eigene Entscheidung der Einrichtung. „Der Dienstleister meldet, also sind wir fertig“.

Diese Ketten sind keine Zusatztheorie. Sie sind die praktische Sicherung gegen falsche Kurzschlüsse im Vorfall.

10. Meldefähigkeit als Prozess

Meldefähigkeit entsteht nicht im Formular. Sie entsteht vor dem Vorfall.

Rollenübersicht — RACI einrichtungsspezifisch ausfüllen

Rolle Aufgabe im Meldeprozess Entscheidungsmacht
Incident Lead / Krisenstab Faktenlage konsolidieren, Zeitstrahl führen operativ koordinierend
CISO / IT-Leitung / SOC technische Bewertung, IoCs, Auswirkungen, Dienststatus fachliche Vorbewertung
Legal Normprüfung, Formulierung, Unsicherheitsmarker, Verwendungsrisiken rechtliche Freigabe
Datenschutz DSGVO-Schiene Art. 33/34 prüfen Datenschutzfreigabe für DSGVO-Teile
Compliance Fristenlog, RACI, Nicht-Melde-Vermerk, Lessons Learned Prozesskontrolle
Geschäftsleitung / Vorstand Eskalationsentscheidung, Risikoakzeptanz, Ressourcenzuteilung rechtsform- und ressortabhängige Leitungs- und Freigabeverantwortung
Kommunikation Kunden-/Öffentlichkeitstexte, interne Kommunikation nur nach Legal/GF-Freigabe
Versicherungskoordination AVB-/Makler-/Versichererfristen Vertrags-/AVB-Abgleich
Dienstleister / MSP / Forensik Faktenzulieferung, Logs, forensische Einschätzung keine automatische Verlagerung der Verantwortung der Einrichtung

Diese Rollenübersicht ist noch keine ausgefüllte RACI. Jede Einrichtung muss mindestens für Erheblichkeitsentscheidung, Fristüberwachung, Portalabgabe, Rückfragen- und Zwischenmeldungsmonitoring sowie die Freigabe außerhalb normaler Arbeitszeiten jeweils eine verantwortliche Rolle, eine rechenschafts- beziehungsweise freigabeverantwortliche Rolle und eine belastbare Stellvertretung festlegen.

Die praktische Abgabe kann nach Behördenpraxis durch Mitarbeitende oder Dienstleister erfolgen; Pflichtadressatin bleibt die Einrichtung. Die interne Organ- und Ressortverantwortung richtet sich nach Rechtsform, Organstellung, Geschäftsverteilung und den jeweils anwendbaren Regeln. Rollen-, Freigabe- und Dokumentationsnachweise sind beweis- und verteidigungsrelevant, schaffen aber keine automatische Enthaftung.

Perspektivenkarte

Perspektive Was der Text liefern muss Wo es im Prozess landet
Geschäftsführung im Vorfall Schnelle Entscheidung, ob die Schwelle erreicht ist und welche Minimalmeldung fällig wird. Akut-Lesekarte, Stufenmatrix, Board-Akte.
Vorstand/Aufsichtsorgan Nachvollziehbare Überwachungs- und Eskalationsakte, keine bloße Formularroutine. Board-Akte, RACI, Lessons Learned.
Anwalt Wortlauttreue, Unsicherheitsmarker, keine Selbstbelastungsnarrative, saubere Trennung von Pflicht- und freiwilliger Meldung. Legal-Freigabe, Meldungstext, Verwendungsrisiko.
Compliance Fristenlog, Owner, Nicht-Melde-Vermerk, Ausnahmen nach § 28, Ausnahmebescheid nach § 37, Druckkulisse nach § 65. Compliance-Runbook und Kontrollnachweis.
CISO/SOC/Forensik Fakten, IoCs, Auswirkungen, Zeitstempel und vorläufige technische Bewertung. Faktenzulieferung je Meldestufe.
Datenschutz Separate DSGVO-Prüfung ohne Vermischung mit § 32. Parallelkaskaden-Log.
Kommunikation/Kundenservice Keine Kunden- oder Öffentlichkeitsbotschaft ohne § 35-/DSGVO-/Vertragsprüfung. Empfänger-/Öffentlichkeitsmatrix.
Dienstleister/MSP Schnelle Zulieferung, aber keine automatische Verlagerung der Verantwortung der Einrichtung; interne Organ- und Ressortfragen bleiben gesondert zu bestimmen. Vertragliche Incident-Klauseln und Eskalationskanal.
Versicherungskoordination AVB-Anzeige und Mitwirkung separat prüfen. Versicherungslog, Cyber-Versicherungs-Architektur.

Die Perspektiven sollen nicht getrennte Parallelwelten erzeugen. Sie greifen auf dasselbe Fristen- und Faktenlog zu, damit Vorstandsakte, Meldetext, Forensikstand und Kommunikation nicht auseinanderlaufen.

Board-Entscheidungsakte

Geschäftsleitungen und Vorstände brauchen keine 40-seitige Rechtsanalyse in der Nacht. Sie brauchen eine belastbare Entscheidungsakte:

Element Inhalt
Tatsachengrundlage Was wissen wir, was wissen wir nicht, welche Systeme/Dienste sind betroffen?
Erheblichkeitsentscheidung Warum § 2 Nr. 11 ja, nein oder noch unklar; bei DVO-erfassten Einrichtungen: Welche DVO-Kriterien greifen, und wie wird die offene Schichtung dokumentiert?
Fristenanker Wann begann aus unserer Sicht 24h/72h?
Freigabe Wer hat welche Meldestufe wann freigegeben?
Unsicherheiten Welche Angaben sind vorläufig und werden nachgereicht?
Parallelkaskaden DSGVO, TK, DORA, Versicherer, Vertrag, § 35/§ 36, Strafverfolgung.
Wiedervorlage Wann wird neu bewertet?

§ 38 BSIG [N-BSIG-38] bindet die Geschäftsleitung ausdrücklich an die Umsetzung und Überwachung der Risikomanagementmaßnahmen nach § 30; die Tiefe und rechtsformspezifische Haftung stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Für A4-02 folgt daraus keine eigenständige §-38-Meldepflicht, wohl aber die Governance-Anforderung, Meldefähigkeit organisatorisch abzusichern.

Wochenend-, Arbeitszeit- und Rufbereitschaftsbox

Die BSI-Praxisdefinition der Kenntniserlangung enthält den Bezug zur Kenntnis einer Mitarbeiterin oder eines Mitarbeiters innerhalb der Arbeitszeit. Das löst Wochenendlagen nicht automatisch. Einrichtungen mit 24/7-Betrieb, SOC, Rufbereitschaft, Produktionsleitstand, Notfallnummer oder Managed Detection dürfen nicht so planen, als beginne die Welt erst Montagmorgen.

Der Prozess muss festlegen:

  • wer außerhalb normaler Bürozeiten Vorfallsinformationen entgegennimmt;
  • wann Dienstleisterwissen als Eskalation an die Einrichtung gilt;
  • wer die Erheblichkeitsprognose vorläufig treffen darf;
  • wer die 24h-Erstmeldung freigibt, wenn Geschäftsleitung oder Legal nicht erreichbar sind;
  • wie Rückmeldungen des Bundesamtes und Ersuchen um Zwischenmeldung erkannt werden.

Dienstleister-, MSP- und Lieferkettenfälle

Ein Dienstleistervorfall ist nicht automatisch ein eigener erheblicher Sicherheitsvorfall der Einrichtung. Er ist aber auch keine automatische Entlastung. Maßgeblich ist, ob die Verfügbarkeit, Integrität oder Vertraulichkeit der eigenen Daten oder Dienste beeinträchtigt ist und ob die Erheblichkeitsschwelle anhand eingetretener oder nach der Norm prognostisch möglicher Folgen erfüllt ist.

Meldefähigkeit sollte deshalb risikobasiert durch geeignete Incident-Klauseln in Dienstleisterverträgen abgesichert werden, etwa durch kurze Eskalationszeiten, Faktenzulieferung, IoCs, Angaben zu betroffenen Mandanten, Zeitstempel, Kontaktkanäle und Unterstützung bei Meldestufen. Ob und in welcher Form eine Weitergabe an Behörden vorgesehen werden muss, ist nach Rechtslage, Vertrag und Verhältnismäßigkeit festzulegen. § 30 BSIG [N-BSIG-30] verlangt geeignete und verhältnismäßige Vorfalls- und Lieferkettenmaßnahmen, schreibt aber nicht jede dieser Klauseln für jede Einrichtung als starren Einzelkatalog vor; für DVO-erfasste Einrichtungen können zusätzliche spezifische Anforderungen gelten. Die Vertiefung steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Meldevorlagen und Versionierung

Jede Meldestufe braucht eine eigene Vorlage. Die 24h-Vorlage darf nicht wie eine Abschlussmeldung aussehen. Die 72h-Vorlage muss Aktualisierung, erste Bewertung und IoCs abfragen. Die Abschlussvorlage muss Ursache, Maßnahmen, Auswirkungen und grenzüberschreitende Aspekte abbilden. Jede Version erhält Zeitstempel, Freigabe, Sicherheitsgrad und Änderungsnotiz.

Faktenpaket Für welche Stufe? Warum es vorab vorbereitet werden sollte
Einrichtungsdaten, betroffener Rechtsträger, Kontakt und Vertretung alle Stufen Konzern- und Dienstleisterlagen werden sonst unklar.
Zeitlinie: Entdeckung, Kenntnis, Eskalation, Freigabe, Abgabe alle Stufen Die Frist hängt an Kenntniserlangung; der Nachweis ist für Governance und Verteidigung wichtig, garantiert aber keine Enthaftung.
Betroffene Dienste, Daten, Systeme, Komponenten und Prozesse § 2 Nr. 40, § 32 Nr. 2 und Nr. 4 Ohne Dienstbezug bleibt die Erheblichkeitsprüfung zu abstrakt.
Erheblichkeitsgrund: Betriebsstörung, finanzieller Verlust, Schaden Dritter, DVO-Schwelle § 2 Nr. 11; bei DVO-erfassten Einrichtungen DVO-Kriterien und offene Schichtung dokumentieren Das ist der Kern der Meldeentscheidung und des Nicht-Melde-Vermerks.
Verdacht auf rechtswidrige oder böswillige Handlung und grenzüberschreitende Wirkung 24h-Erstmeldung Das ist der schmale Pflichtinhalt der ersten Stufe.
Schweregrad, Auswirkungen und Kompromittierungsindikatoren 72h-Meldung Die zweite Stufe aktualisiert und bewertet.
Ursache, Bedrohungsart, Abhilfemaßnahmen, laufende Maßnahmen Abschluss/Fortschritt Das braucht Forensikzulieferung und Versionierung.
Unsicherheiten und Nachtragsbedarf alle Stufen Vorläufige Angaben sind nur im Umfang der jeweiligen Stufe und des tatsächlichen Erkenntnisstands vertretbar; bekannte Pflichtangaben müssen stufengerecht richtig und vollständig sein, neue Erkenntnisse sind nachzuführen.

11. Zeitlicher Geltungsstand

Rechtsstand dieses Artikels ist der 19. Juni 2026. Maßgeblich sind die jeweils geltenden amtlichen Fassungen des BSIG und des EU-Rechts sowie der am Tag einer Meldung aktuelle behördliche Meldeweg.

Das neu gefasste BSIG gilt seit dem 6. Dezember 2025; das BSI-Portal wurde nach BSI-Mitteilung zum 6. Januar 2026 freigeschaltet und dient unter anderem als Meldestelle für erhebliche Sicherheitsvorfälle. § 32 Absatz 1 Satz 2 BSIG sagt zugleich, dass die Verpflichtung nach Satz 1 frühestens ab Einrichtung des Meldewegs gilt. Für eine echte Meldung ist deshalb der aktuelle Meldewegstatus am Abgabetag zu prüfen.

Die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] wurde am 17. Oktober 2024 erlassen, am 18. Oktober 2024 veröffentlicht und gilt seit dem 7. November 2024. Sie hebt die Durchführungsverordnung (EU) 2018/151 auf. Alte NIS-1-/Digitale-Dienste-Schwellen dürfen für diese Schicht nicht mehr als aktuelles Recht verwendet werden.

Für die NIS-2-Richtlinie [EU-NIS2] wird Artikel 23 nur als Herkunfts- und Durchführungsrechtsakt-Schicht verwendet. Die deutsche Berichtigung vom 22. Dezember 2023 betrifft nach der konsolidierten EUR-Lex-Schicht Artikel 33 Absatz 4, nicht Artikel 23. Das verhindert, dass eine Berichtigung an der falschen Stelle in die § 32-Kaskade hineingelesen wird.

In den am 19. Juni 2026 geöffneten amtlichen Pfaden — geltende Fassung des § 56 BSIG [N-BSIG-56] bei gesetze-im-internet.de sowie amtliche Veröffentlichungssuche bei recht.bund.de nach „§ 56 Absatz 4 BSIG“, „erheblicher Sicherheitsvorfall“ und „Rechtsverordnung“ — wurde kein in Kraft befindlicher nationaler Konkretisierungsakt festgestellt. Das ist ein zeitgebundener Suchbefund, kein dauerhafter Negativnachweis; er ist vor jeder konkreten Meldungsberatung tagesaktuell zu wiederholen.

§ 66 BSIG [N-BSIG-66] ist kein allgemeiner Stundungs- oder Entpflichtungsanker der Meldekaskade nach § 32. Wegen der dort geregelten Übergangsanwendung von § 2 Nummer 22 und 24 sowie § 33 Absatz 2 bleibt § 66 jedoch für die Begriffe „kritische Anlage“ und „kritische Dienstleistung“, für die KRITIS-Zusatzangaben nach § 32 Absatz 3 und für die Reichweite von § 28 Absatz 5 und 7 als Definitionscaveat relevant.

12. Schnittstellen

Die BSIG-Meldung steht selten allein. Die Schnittstellen müssen aber sauber getrennt bleiben.

Schiene Adressat Auslöser Fristen Inhalt Routing
BSIG § 32 gemeinsame Meldestelle von BSI und BBK erheblicher Sicherheitsvorfall 24h, 72h, ggf. Zwischenmeldung, Abschluss/Fortschritt § 32 Abs. 1–3 dieser Artikel
DSGVO Art. 33/34 Aufsichtsbehörde / betroffene Personen Verletzung des Schutzes personenbezogener Daten + Risiko/Hochrisiko unverzüglich, möglichst binnen 72h für Art. 33 Datenschutzbezogene Risikoprüfung DSGVO-Datenpanne (Art. 33 / 34)
TK/Energie sektorale Behörden/Meldewege Spezialtatbestand sektorabhängig sektorabhängig Schwellenwerte (250 MA / 50 Mio. €)
DORA zuständige Finanzaufsicht / DORA-Schiene schwerwiegender IKT-bezogener Vorfall nach DORA DORA-/RTS-Schiene DORA-Inhalte DORA oder BSIG?
KRITIS gemeinsame Meldestelle plus KRITIS-Zusatz erheblicher Sicherheitsvorfall mit möglicher Auswirkung auf kritische Anlage § 32 plus Zusatz Anlage, kritische Dienstleistung, Auswirkungen Sondertatbestände + KRITIS
Lösegeld intern, ggf. Strafverfolgung/Sanktionen/Versicherer Erpressungslage lageabhängig Entscheidungs- und Risikolog Lösegeld — ja oder nein?
Bußgeld/Aufsicht/Haftung BSI / zuständige Behörden / Organe Pflichtverletzung verfahrensabhängig Verteidigungs- und Haftungsakte Haftung und Sanktionen — Überblick
Versicherer Versicherer/Makler AVB/Police oft unverzüglich Anzeige, Mitwirkung, Freigaben Cyber-Versicherungs-Architektur

Strafverfolgung ist keine eigene § 32-Stufe, kann aber eine relevante Parallelentscheidung sein. Sie darf nicht reflexhaft aus der BSIG-Meldung abgeleitet werden und nicht ohne Legal-/Vorstandsfreigabe in die Kommunikation rutschen.

13. Kurzantworten auf die 24 Lese-Fragen

  1. Muss jeder Cyber-Vorfall an das BSI gemeldet werden? Nein. Gemeldet wird ein erheblicher Sicherheitsvorfall. Zuerst ist § 2 Nr. 40 BSIG zu prüfen; bei DVO-erfassten Einrichtungen sind anschließend die unmittelbar geltenden DVO-Kriterien und die offen gehaltene Schichtung zu § 2 Nr. 11 BSIG einzubeziehen.
  2. Was ist ein Sicherheitsvorfall? Ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt — Authentizität steht nicht in der Definition.
  3. Wann ist er erheblich? Bei schwerwiegenden Betriebsstörungen oder finanziellen Verlusten für die Einrichtung oder erheblichen Schäden für andere — eingetreten oder möglich: Die Prognose genügt.
  4. Gilt für alle dieselbe Erheblichkeits-Schwelle? Nein. Für elf Einrichtungsarten (u. a. Cloud, Rechenzentren, DNS, Managed Services) konkretisiert die DVO (EU) 2024/2690 vorrangig, etwa mit der 500.000-Euro/5-Prozent-Schwelle.
  5. Wer muss melden? Besonders wichtige Einrichtungen und wichtige Einrichtungen — sofern keine Bereichsausnahme (§ 28 Abs. 5–7) und kein Ausnahmebescheid nach § 37 greift.
  6. Was ist der §-37-Ausnahmebescheid? Ein behördlicher, tätigkeits- oder dienstbezogener Ausnahmebescheid mit teilweiser oder im erweiterten gesetzlichen Umfang möglicher Befreiungswirkung für die Bereiche nationale Sicherheit, öffentliche Sicherheit, Verteidigung und Strafverfolgung — keine Selbsteinschätzung der Einrichtung.
  7. Wohin geht die Meldung? An die gemeinsame Meldestelle von BSI und BBK — nicht an die Datenschutz-Aufsicht.
  8. Welche Stufen hat die Kaskade? Frühe Erstmeldung (24h), Meldung (72h), Abschlussmeldung (ein Monat) — die Zwischenmeldung nur auf Ersuchen des Bundesamtes, die Fortschrittsmeldung bei andauerndem Vorfall.
  9. Ab wann laufen 24 und 72 Stunden? Ab Kenntniserlangung vom erheblichen Sicherheitsvorfall — nicht ab Angriffsbeginn, Log-Eintrag oder erster Vermutung.
  10. Ab wann läuft die Monatsfrist? Ab Übermittlung der 72h-Meldung — nicht ab Vorfall oder Kenntnis.
  11. Was gehört in die 24h-Erstmeldung? Bewusst wenig: ob Verdacht auf rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind.
  12. Und in die 72h-Meldung? Bestätigung oder Aktualisierung der Erstmeldung, eine erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
  13. Was, wenn der Vorfall nach einem Monat noch läuft? Dann Fortschrittsmeldung statt Abschluss; die Abschlussmeldung folgt nach abschließender Bearbeitung.
  14. Schnell melden oder richtig melden? Beides: stufengerecht nach dem aktuellen Erkenntnisstand melden, Unsicherheiten kennzeichnen und neue Erkenntnisse nachführen. Das ist kein Safe Harbor: Bekannte Pflichtangaben müssen richtig und vollständig sein; eine Vorläufigkeitskennzeichnung heilt keine bekannte oder vermeidbare Falschangabe oder Auslassung.
  15. Was kommt nach der Meldung zurück? Eingangsbestätigung unverzüglich, nach Möglichkeit binnen 24 Stunden; Orientierungshilfen, Beratung und technische Unterstützung nur auf Ersuchen.
  16. Müssen Betreiber kritischer Anlagen mehr liefern? Ja: Angaben zu Anlage, kritischer Dienstleistung und Auswirkungen — schon wenn Auswirkungen möglich sind („hat oder haben könnte“).
  17. Kann das BSI uns zwingen, Kunden oder Öffentlichkeit zu informieren? Es kann die Empfänger-Unterrichtung anordnen (§ 35 Abs. 1) und nach Anhörung die Öffentlichkeits-Information verpflichtend machen oder selbst informieren (§ 36 Abs. 2).
  18. Gibt es eine Informationspflicht ohne Anordnung? Ja, für sechs Sektoren bei erheblicher Cyberbedrohung: Empfänger und Bundesamt sind unverzüglich über mögliche Gegenmaßnahmen zu informieren — mit Interessenabwägung (§ 35 Abs. 2).
  19. Sind TK-, Energie- oder Finanzunternehmen befreit? Nicht pauschal: § 28 Abs. 5–7 lassen bestimmte BSIG-Pflichten zurücktreten; Spezialschienen (TK-Aufsicht, Energie, DORA) laufen mit eigenen Meldewegen weiter.
  20. Was bringt die freiwillige Meldung nach § 5? Einen vertraulichkeitsfreundlicheren Kanal (auch anonym) für unterschwellige Vorfälle und Beinahevorfälle — sie ersetzt keine Pflichtmeldung und gilt nicht als Schuldeingeständnis.
  21. Schützt das Schlechterstellungsverbot jede Meldung? Nein, § 30 Abs. 7 schützt nur die freiwillige Schiene und den Informationsaustausch — nicht die §-32-Pflichtmeldung, und unter Strafverfolgungsvorbehalt.
  22. Was droht bei Meldeverstößen? Eigene Bußgeldtatbestände: bis zu 10 Millionen Euro für besonders wichtige, bis zu 7 Millionen Euro für wichtige Einrichtungen; ab 500 Millionen Euro Umsatz auch 2 bzw. 1,4 Prozent.
  23. Ersetzt die BSI-Meldung andere Meldungen? Nein — DSGVO, TK, DORA, Versicherer, Verträge und Strafanzeige laufen als getrennte Kaskaden mit eigenen Auslösern, Adressaten und Fristen.
  24. Was macht eine Organisation meldefähig? Prozesse vor dem Vorfall: Rollen und Freigaben, 24/7-Kenntnisnahme, Fristenlog, Meldevorlagen je Stufe, Nicht-Melde-Vermerk und Dienstleister-Klauseln.

14. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

14.1 Nationale Normen

14.2 EU-Recht

14.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung.

14.4 Behörden und amtliche Praxis

14.5 Markt, AVB, Versicherer und Banken

  • [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzender Markt- und Einzelfallhinweis)

14.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex). Der zu § 56 Absatz 4 BSIG dokumentierte Befund, dass kein in Kraft befindlicher nationaler Konkretisierungsakt festgestellt wurde, ist ein zeitgebundener Suchbefund und vor jeder konkreten Meldungsberatung tagesaktuell zu wiederholen.

15. CyberSchutzEngel-Hinweis

CyberSchutzEngel behandelt die BSIG-Meldung als Führungs- und Compliance-Prozess: Erheblichkeit entscheiden, Fristen halten, Unsicherheiten sauber markieren, Meldungen versionieren und Parallelkaskaden trennen. Der Nutzen liegt nicht in einer größeren Formularsammlung, sondern in einer Organisation, die auch am Wochenende weiß, wer entscheiden, freigeben und nachmelden darf.

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking