Kurzdefinition: Der erhebliche Sicherheitsvorfall ist der Meldetatbestand des BSIG. Nach § 32 BSIG lösen solche Vorfälle bei besonders wichtigen und wichtigen Einrichtungen eine gestufte Meldepflicht an das Bundesamt aus. [N-BSIG-32]
Der Normwortlaut
§ 32 Absatz 1 BSIG verlangt „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung“ und „unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung“ eine Meldung mit einer ersten Bewertung, einschließlich Schweregrad und Auswirkungen. [N-BSIG-32]
Welche Fristen gelten?
Zwei Stufen — 24 und 72 Stunden. § 32 BSIG verlangt zunächst eine frühe Erstmeldung binnen 24 Stunden, in der anzugeben ist, ob der Verdacht auf rechtswidrige oder böswillige Handlungen oder auf grenzüberschreitende Auswirkungen besteht. Binnen 72 Stunden folgt eine Meldung mit einer ersten Bewertung des Vorfalls. Auf Ersuchen des Bundesamts kann eine Zwischenmeldung hinzukommen; eine Abschlussmeldung schließt den Prozess ab. [N-BSIG-32]
Wer muss melden?
Besonders wichtige und wichtige Einrichtungen. Die Meldepflicht des § 32 BSIG trifft die nach dem BSIG erfassten Einrichtungen. Adressat der Meldung ist das Bundesamt für Sicherheit in der Informationstechnik; Einzelheiten des Meldeverfahrens legt das Bundesamt nach § 32 Abs. 4 BSIG fest. [N-BSIG-32]
Wann ist ein Sicherheitsvorfall erheblich?
Bei erheblichen Auswirkungen auf die Dienste. Maßgeblich ist, ob der Vorfall die Erbringung der Dienste erheblich stören kann oder gestört hat. Die konkrete Einordnung bleibt eine Bewertung anhand der anwendbaren gesetzlichen und behördlich konkretisierten Vorgaben; das Glossar bildet vor allem die Meldekaskade des § 32 BSIG ab. [N-BSIG-32]
Was umfasst die 24-Stunden-Meldung?
Eine frühe Erstmeldung. § 32 Abs. 1 BSIG verlangt unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, eine frühe Erstmeldung des erheblichen Sicherheitsvorfalls. Sie dient der raschen Alarmierung. [N-BSIG-32]
Was umfasst die 72-Stunden-Meldung?
Eine erste Bewertung. Innerhalb von 72 Stunden nach Kenntniserlangung ist eine Meldung mit einer ersten Bewertung des Vorfalls zu übermitteln, einschließlich seines Schweregrads und seiner Auswirkungen. Sie vertieft die Erstmeldung. [N-BSIG-32]
Ab wann laufen die Fristen?
Ab Kenntniserlangung. Beide Fristen des § 32 Abs. 1 BSIG beginnen mit der Kenntniserlangung von dem erheblichen Sicherheitsvorfall. Der Zeitpunkt der Kenntnis ist damit sorgfältig zu dokumentieren. [N-BSIG-32]
Häufige Fehlannahmen
- „Es genügt eine einzige Meldung.“ Nein. § 32 BSIG sieht eine gestufte Meldung vor (24 Stunden, 72 Stunden, Abschluss). [N-BSIG-32]
- „Jeder IT-Störfall ist meldepflichtig.“ Nein. Erforderlich ist ein erheblicher Sicherheitsvorfall. [N-BSIG-32]
- „Erheblich ist ein Vorfall erst bei einem Totalausfall.“ Nein. Erheblich ist er bereits, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder wenn er Dritte durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. [N-BSIG-32]
- „Nach der 72-Stunden-Meldung ist die Sache erledigt.“ Nein. Spätestens einen Monat nach dieser Meldung ist zusätzlich eine Abschlussmeldung zu übermitteln. [N-BSIG-32]
- „Die BSIG-Meldung deckt auch die DSGVO-Meldung ab.“ Nein. Beide Meldewege sind getrennt zu prüfen. [N-BSIG-32]
Was die Geschäftsleitung tun sollte
- Erkennung sichern. Vorfälle früh erkennen, um die 24-Stunden-Frist zu wahren.
- Meldeprozess einüben. Die gestuften Meldungen organisatorisch vorbereiten.
- Meldeweg kennen. Registrierung und Meldung über das BSI-Portal einrichten.
- Meldewelten trennen. DSGVO- und KI-VO-Meldungen parallel prüfen.
Für die Geschäftsleitung
Der erhebliche Sicherheitsvorfall ist der Ernstfall des BSIG: Er löst eine schnelle, gestufte Meldung aus — 24 Stunden für die Erstmeldung, 72 Stunden für die Bewertung. Für die Geschäftsleitung zählt, dass Erkennung und Meldeprozess eingeübt sind, denn die Uhr läuft ab Kenntniserlangung, und die BSIG-Meldung steht neben DSGVO- und KI-VO-Pflichten.
Quellen
- [N-BSIG-32] § 32 BSIG (Meldepflichten), frühe Erstmeldung (24 Stunden) und Meldung (72 Stunden). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__32.html
