Kurzdefinition: Die Meldepflicht nach § 32 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle in mehreren Stufen an das Bundesamt zu melden: eine frühe Erstmeldung binnen 24 Stunden, eine weitere Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. [N-BSIG-32]
Der Normwortlaut
§ 32 Abs. 1 Nr. 1 BSIG verlangt „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung“. Nummer 2 verlangt binnen 72 Stunden eine Meldung mit erster Bewertung, Nummer 4 spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung, vorbehaltlich der Fortschrittsmeldung nach Absatz 2. [N-BSIG-32]
Welche Fristen gelten bei der Meldepflicht?
Drei feste Stufen und eine Zwischenstufe auf Ersuchen. Erstens: die frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis — mit der Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen oder auf grenzüberschreitende Auswirkungen besteht. Zweitens: binnen 72 Stunden eine Meldung, die die Erstangaben bestätigt oder aktualisiert und eine erste Bewertung samt Schweregrad enthält. Drittens: auf Ersuchen des Bundesamtes eine Zwischenmeldung. Viertens: spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. [N-BSIG-32]
Was, wenn der Vorfall nach einem Monat noch andauert?
Dann tritt an die Stelle der Abschlussmeldung eine Fortschrittsmeldung (§ 32 Abs. 2 BSIG). Die Abschlussmeldung ist erst nach abschließender Bearbeitung des Sicherheitsvorfalls vorzulegen. Die Ein-Monats-Frist ist also der Zeitpunkt für Abschluss- oder Fortschrittsmeldung; die endgültige Abschlussmeldung hängt vom Bearbeitungsstand ab. [N-BSIG-32]
Welche Vorfälle sind meldepflichtig?
Nur erhebliche Sicherheitsvorfälle. Ein Sicherheitsvorfall ist nach der Legaldefinition ein Ereignis, das Verfügbarkeit, Integrität oder Vertraulichkeit beeinträchtigt; erst die gesetzlichen Erheblichkeitskriterien machen ihn meldepflichtig. Betreiber kritischer Anlagen müssen nach § 32 Abs. 3 BSIG zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung übermitteln. [N-BSIG-32] [N-BSIG-2]
Welche drei Meldestufen gibt es?
Drei. § 32 Abs. 1 BSIG verlangt eine frühe Erstmeldung innerhalb von 24 Stunden (Nr. 1), eine Meldung mit erster Bewertung innerhalb von 72 Stunden (Nr. 2) und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (Nr. 4). [N-BSIG-32]
Was gilt bei einem noch andauernden Vorfall?
Eine Fortschrittsmeldung. Dauert der Vorfall bei Ablauf der Monatsfrist noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung nach § 32 Abs. 2 BSIG; die Abschlussmeldung folgt, sobald der Vorfall abgeschlossen ist. [N-BSIG-32]
Ab wann läuft die Erstmeldefrist?
Ab Kenntniserlangung. Die Frist für die frühe Erstmeldung beginnt mit der Kenntniserlangung von dem erheblichen Sicherheitsvorfall. Der Kenntniszeitpunkt ist deshalb sorgfältig festzuhalten. [N-BSIG-32]
Häufige Fehlannahmen
- „Jeder IT-Vorfall ist zu melden.“ Nein. Meldepflichtig sind nur erhebliche Sicherheitsvorfälle. [N-BSIG-32] [N-BSIG-2]
- „Die 24-Stunden-Meldung muss schon alles enthalten.“ Nein. Die frühe Erstmeldung ist bewusst knapp; die Bewertung folgt in der 72-Stunden-Meldung. [N-BSIG-32]
- „Nach einem Monat ist der Fall in jedem Fall abzuschließen.“ Nein. Dauert er an, tritt die Fortschrittsmeldung an die Stelle der Abschlussmeldung. [N-BSIG-32]
- „BSIG-Meldung und DSGVO-Meldung sind dasselbe.“ Nein. Die Meldung nach § 32 BSIG und die Datenpannenmeldung nach Art. 33 DSGVO haben eigene Adressaten, Fristen und Voraussetzungen. [N-BSIG-32]
- „Erst nach abgeschlossener Analyse ist überhaupt zu melden.“ Nein. Bereits unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, ist eine frühe Erstmeldung abzugeben; die Bewertung (72 Stunden) und die Abschlussmeldung (spätestens einen Monat) folgen. [N-BSIG-32]
Was die Geschäftsleitung tun sollte
- Meldeweg vorbereiten. Wer 24 Stunden hat, kann den Kanal nicht erst im Ernstfall suchen.
- Erheblichkeit vorab klären. Die Kriterien kennen, damit im Vorfall schnell entschieden wird.
- Kenntniszeitpunkt dokumentieren. Er setzt die Fristen in Gang.
- Parallelregime mitdenken. DSGVO-Datenpanne und vertragliche Anzeigen laufen daneben.
Für die Geschäftsleitung
Die Meldepflicht ist eine Uhr, die mit der Kenntnis zu laufen beginnt — nicht mit der Aufklärung. Der Gesetzgeber staffelt bewusst: eine unverzügliche frühe Erstmeldung spätestens in 24 Stunden, eine bewertende Meldung in 72 Stunden, eine Abschluss- oder Fortschrittsmeldung nach einem Monat. Wer den Meldeweg und die Erheblichkeitskriterien vorbereitet hat, verliert im Ernstfall keine der knappen Stunden.
Quellen
- [N-BSIG-32] § 32 BSIG (Meldepflichten), Abs. 1 bis 3. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__32.html
- [N-BSIG-2] § 2 BSIG (Begriffsbestimmungen), Nr. 11 und Nr. 40 (Sicherheitsvorfall, erheblicher Sicherheitsvorfall). Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__2.html
