Meldepflichten

Sicherheitsvorfälle

Die NIS2-Umsetzung verpflichtet Einrichtungen und Betreiber, Sicherheitsvorfälle und Störungen an Behörden zu melden. Nach NIS2 meldepflichtige Vorfälle betreffen die gesamte Einrichtung, abhängig vom Schweregrad. §32

Definitionen

Die verschiedenen Arten von potenziell meldepflichtigen Vorfällen regulierter Einrichtungen sind in der NIS2-Umsetzung definiert: §2 (1) BSIG

• Erheblicher Sicherheitsvorfall: Ein Sicherheitsvorfall, der entweder –
  • schwerwiegende Betriebs­störungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht oder verursachen kann,
  • andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt oder beeinträchtigen kann.
  • siehe auch die EU-Konkretisierung unten
• Sicherheitsvorfall: Beeinträchtigt die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von über IT angebotenen Daten oder Diensten.
  IT meint hier informationstechnische Systeme, Komponenten und Prozesse.
• Beinahevorfall: Ein potenzieller Sicherheitsvorfall, der verhindert wurde oder nicht eintrat.
• Erhebliche Cyberbedrohung: Eine Cyberbedrohung (nach Art. 2 Nr. 8 EU 2019/881), die das Potenzial besitzt, die IT erheblich zu beeinträchtigen; erheblich = wenn sie erheblichen materiellen oder immateriellen Schaden verursachen kann.

Die Definition erheblicher Sicherheitsvorfälle kann entweder durch eine Rechtsverordnung des Innenministeriums oder einen Implementing Act der EU angepasst oder konkretisiert werden. §2 (2)

Da die bisherigen Definitionen im Gesetz vage sind, müssen Unternehmen schwerwiegende Betriebsstörungen oder erhebliche Schäden selbst konkretisieren und so definieren, wann ein Vorfall erheblich und somit meldepflicht ist.

Meldewesen

Fristen und Meldungen

Regulierte Einrichtungen und Betreiber kritischer Anlagen müssen erhebliche Sicherheitsvorfälle an das BSI melden – innerhalb von 24 Stunden mit abgestuften Folge- und Abschlussmeldungen. Die Inhalte der Meldung sind vorgegeben – Betreiber kritischer Anlagen müssen zusätzliche Angaben zur betroffenen Anlage, kritischen Dienstleistung und Auswirkungen melden. §32

Falls der Vorfall nach einem Monat noch andauert, melden Unternehmen eine Fortschrittsmeldung. Die Abschlussmeldung erfolgt dann nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung.

Kunden und Öffentlichkeit

Bei erheblichen Sicherheitsvorfällen kann das BSI besonders wichtige und wichtige Einrich­tungen anweisen, ihre Kunden (Empfänger ihrer Dienste) unverzüglich zu unterrichten, wenn der erbrachte Dienst beeinträchtigt werden könnte. §35 (1)

Einrichtungen der Sektoren Finanz- und Versicherungswesen, IT und TK, und Digitale Dienste müssen von einer erheblichen Cyberbedrohung potenziell betroffenen Kunden unverzüglich informieren, einschließlich möglicher Gegenmaßnahmen. §35 (2)

Das BSI meldet sich nach Möglichkeit innerhalb von 24h bei Unternehmen nach Eingang der Meldung zurück, ggf. mit möglichen Nachfragen, Unterstützungsangeboten und Informationen. Falls eine Sensibilisierung der Öffentlichkeit erforderlich oder im öffentlichen Interesse ist, so kann das BSI Betreiber auffordern, dies zu tun.

Vorfälle

Betreiber kritischer Anlagen müssen nach dem Dachgesetz Sicherheitsvorfälle und Störungen an Behörden melden. Nach dem KRITIS-DachG meldepflichtige Vorfälle betreffen nur Vorfälle, die Einfluss auf die kritische Anlage oder die erbrachte kritische Dienstleistung haben. §18 KRITIS-Dachgesetz

Das KRITIS-DachG definiert im Unterschied zur NIS2-Umsetzung eine Art von meldepflichtigem Vorfall: ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte. §2 Nr. 9

Ausgenommen davon sind Sicherheitsvorfälle nach §2 Nr. 40 BSIG und Vorfälle nach TKG.

Meldewesen

Betreiber kritischer Anlagen müssen Vorfälle nach dem KRITIS-Dachgesetz über die vom BSI und BBK für NIS2 eingerichtete gemeinsame Meldestelle melden – in sehr kurzen Fristen, innerhalb von 24 Stunden, und mit stufenweisen Folgemeldungen: §18 (1)

Das BBK konkretisiert die Ausgestaltung der Meldwege und Inhalte der Meldungen im Einvernehmen mit dem BSI und veröffentlicht Informationen dazu auf der Internetseite des BBK.