Meldung in 24 Stunden: wie das praktisch abläuft

Vorweg: Die Meldepflicht aus § 32 BSIG trifft nur betroffene Einrichtungen. Wenn Ihr Betrieb nicht unter das Gesetz fällt, haben Sie keine. Ihr Kunde kann Ihnen trotzdem vertraglich eine Meldefrist auferlegen, und das ist etwas anderes.

§ 32 Abs. 1 Satz 1 BSIG staffelt die Meldung. Nicht alles auf einmal, sondern in Schritten.

Für die Frühmeldung nach 24 Stunden reicht wenig. Nach § 32 Abs. 1 Satz 1 Nr. 1 BSIG geht es im Kern um zwei Angaben: ob der Verdacht auf eine rechtswidrige oder böswillige Handlung besteht, und ob grenzüberschreitende Auswirkungen möglich sind.

Dazu kommen laut BSI die Einstufung des Vorfalls, eine vorläufige Beschreibung der Störung, Zeitpunkt des Eintretens und des Erkennens, bereits getroffene Maßnahmen und Ihre Kontaktdaten.

Die Bewertung des Schweregrads, die Ursache und die Kompromittierungsindikatoren kommen erst in die 72-Stunden-Meldung.

Und dazu die Haltung der Behörde, wörtlich: Das BSI verfolgt „den Ansatz Schnelligkeit vor Vollständigkeit". „Im Zweifelsfall ist die Meldung nachrangig gegenüber der Eindämmung der akuten Folgen der IT-Störung."

Das heißt: Erst den Brand löschen. Dann melden. Nicht umgekehrt.

Nicht mit dem Angriff. Mit der Kenntnis.

Das BSI schreibt: „Mit ‚Kenntniserlangung' ist der Zeitpunkt gemeint, an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis über einen erheblichen Sicherheitsvorfall erlangt."

Wer also am Montagmorgen um neun sieht, dass die Server verschlüsselt sind, meldet bis Dienstag um neun. Das ist machbar.

Und noch ein Satz des BSI, damit niemand die Frist als Pufferzone versteht: „Die unten genannten Fristen sind Maximalzeiten, die nicht ausgereizt werden sollten."

Nicht jeder Virenfund. Gemeldet wird nur ein erheblicher Sicherheitsvorfall.

§ 2 Nr. 11 BSIG beschreibt ihn abstrakt: ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder der andere durch erhebliche Schäden beeinträchtigt.

Konkreter wird es über die EU-Durchführungsverordnung 2024/2690. Nach Art. 3 Abs. 1 dieser Verordnung ist ein Vorfall unter anderem erheblich, wenn er

• einen direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 Prozent des Jahresumsatzes verursacht hat oder verursachen kann, je nachdem, welcher Wert niedriger ist,
• den Abfluss von Geschäftsgeheimnissen verursacht hat oder verursachen kann,
• den Tod oder eine schwere Gesundheitsschädigung eines Menschen verursacht hat oder verursachen kann,
• oder wenn es einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme gab, der schwere Betriebsstörungen verursachen kann.

Der erste Punkt ist für einen Mittelständler die praktisch wichtigste Zeile. Bei 8 Millionen Euro Umsatz sind 5 Prozent genau 400.000 Euro. Das ist dann der niedrigere Wert, und damit Ihre Schwelle.

Zwei Regeln dazu, die man kennen sollte:

Geplante Wartung ist kein Vorfall. Art. 3 Abs. 2 der Verordnung nimmt planmäßige Betriebsunterbrechungen ausdrücklich aus.

Kleinvieh kann zusammenzählen. Art. 4 der Verordnung fasst mehrere für sich harmlose Vorfälle zu einem erheblichen zusammen. Bedingung: mindestens zweimal innerhalb von sechs Monaten, dieselbe offensichtliche Ursache, und zusammen reißen sie die finanzielle Schwelle.

Gemeldet wird über das BSI-Portal. Wer dort noch nicht registriert ist, nutzt das Melde- und Informationsportal MIP. KRITIS-Betreiber melden vorerst über ihre bisherigen Wege.

Und jetzt der Teil, der Wochen dauert: Der Zugang zum BSI-Portal läuft zweistufig. Zuerst eine Anmeldung bei „Mein Unternehmenskonto", das auf der ELSTER-Technik aufsetzt und ELSTER-Organisationszertifikate nutzt. Erst danach die Registrierung im BSI-Portal.

Wer um drei Uhr nachts melden will und dann feststellt, dass das Zertifikat fehlt, hat ein Problem, das sich in 24 Stunden nicht lösen lässt.

Deshalb der wichtigste Satz dieser Seite: Den Zugang richtet man vor dem Vorfall ein, nicht danach.

„Prinzipiell kann jeder Mitarbeitende einer Einrichtung melden", schreibt das BSI. Mehrere Personen können meldeberechtigt sein, der Zugang muss für sie eingerichtet werden.

Und für Sie besonders interessant: Die Organisation kann auch einen Dienstleister zur stellvertretenden Meldung ermächtigen. Das BSI setzt einen Halbsatz dahinter, den wir nicht wegkürzen: „Die Verantwortung für den Vorfall und den Inhalt der Meldung verbleibt in diesem Falle dennoch beim Betreiber bzw. der Einrichtung."

Wir können also für Sie melden. Wir können Ihnen die Verantwortung dafür nicht abnehmen.

Sie bekommen üblicherweise umgehend, spätestens aber innerhalb von 24 Stunden eine Eingangsbestätigung (§ 36 Abs. 1 BSIG). Bleibt sie aus, dürfen Sie beim BSI nachfragen.

Auf Ersuchen gibt das BSI Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen und kann zusätzliche technische Unterstützung leisten.

Drei Punkte, die häufig gefragt werden:

Zurückziehen geht nicht. Eine abgegebene Meldung lässt sich nicht stornieren. Falsches oder Unvollständiges korrigieren Sie über eine Folgemeldung.

Keine zusätzliche Dokumentationspflicht. Über die Meldung hinaus verlangt das BSI nichts. Sinnvoll ist eine eigene Mitschrift trotzdem.

Melden erhöht Ihre Haftung nicht. Art. 23 Abs. 1 der Richtlinie sagt wörtlich: „Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet."

Und was die Meldung nicht erledigt: die Meldung nach Art. 33 DSGVO, wenn personenbezogene Daten betroffen sind. Die läuft daneben weiter.

Das Gesetz verlangt bei der Registrierung Kontaktdaten, also Anschrift, E-Mail, Telefonnummern und öffentliche IP-Bereiche (§ 33 Abs. 1 Nr. 2 BSIG). Mehr nicht.

Das BSI wörtlich: „Das NIS-2-Umsetzungsgesetz nennt keine gesetzlichen Vorgaben hinsichtlich der Qualifikation des Personals der Kontaktstelle."

Es erwartet allerdings, dass eine dringende Warnung auch abends oder am Wochenende jemanden erreicht, und nennt dafür als Beispiel Pforte oder Bereitschaftsdienst. Ein Weiterleitungsweg reicht also.

1. Portalzugang einrichten. ELSTER-Organisationszertifikat, Mein Unternehmenskonto, BSI-Portal. Vorher.
2. Mehrere Personen meldeberechtigt machen. Einer ist im Urlaub, wenn es passiert.
3. Eine Seite Notfallzettel. Wer stuft ein, wer meldet, welcher Zugang, welche Nummer. Ausgedruckt, weil im Ernstfall die IT steht.
4. Die eigene Schwelle ausrechnen. 5 Prozent Ihres Jahresumsatzes gegen 500.000 Euro halten, den niedrigeren Wert notieren.
5. Mit dem IT-Dienstleister klären, ob er stellvertretend meldet, und das schriftlich festhalten.
6. Einmal üben. Eine Trockenübung mit Stoppuhr zeigt in zwanzig Minuten, wo es hakt.

Punkt 1 bis 4 macht Ihre Verwaltung selbst. Bei 5 und 6 sind wir dabei. Die Meldung ist nur eine von mehreren Pflichten aus dem Gesetz.

Übrigens: Auch ein nicht betroffener Betrieb darf einen Vorfall beim BSI melden, freiwillig und anonym (§ 5 Abs. 2 BSIG). Eine Pflicht entsteht daraus nicht.