Die ersten 72 Stunden: Wer bis wann was gemeldet bekommt (NIS2, DSGVO, DORA)

In den ersten 72 Stunden eines schweren Cyber-Vorfalls arbeitet Ihr Team an drei Fronten gleichzeitig: Systeme eindämmen, Geschäft stabilisieren und melden. Denn während intern noch unklar ist, was genau passiert ist, laufen extern bereits Fristen. Welche, hängt davon ab, wer Sie sind und wessen Daten betroffen sind.

Drei Regelwerke setzen diese Uhren: das BSIG (die deutsche NIS2-Umsetzung), die DSGVO und, nur für den Finanzsektor, DORA. Sie folgen unterschiedlichen Logiken, adressieren unterschiedliche Empfänger und gelten für unterschiedliche Adressatenkreise. Der teuerste Fehler passiert vor dem Vorfall: nicht zu wissen, welche der drei Uhren für das eigene Haus überhaupt tickt.

Der Überblick: welche Uhr für wen tickt

Die Merkregel: NIS2 knüpft an die Einrichtung an, die DSGVO an die Daten, DORA an den Sektor. Deshalb können mehrere Uhren parallel laufen: ein Fertigungsunternehmen unter dem BSIG, bei dem auch Personaldaten abfließen, meldet an das BSI und an die Datenschutz-Aufsicht, jeweils nach eigener Frist und mit eigenem Inhalt.

NIS2/BSIG: die dreistufige Meldekette an das BSI

Für Einrichtungen im Anwendungsbereich des BSIG gilt bei erheblichen Sicherheitsvorfällen die Meldekette des §32 BSIG. Die Uhr startet mit der Kenntnis vom Vorfall, und die zuständige Anlaufstelle existiert längst: Das Melde- und Kontaktstellen-Portal (MUK) des BSI ist seit dem 1. Juni 2026 im Vollbetrieb.

Die 24-Stunden-Frühwarnung ist bewusst als Erstsignal konzipiert: Sie verlangt keine fertige Analyse. Genau das übersehen Teams im Ernstfall: Es wird an einer vollständigen Lagebewertung gefeilt, während eine bewusst unvollständige Erstmeldung längst hätte draußen sein können.

DSGVO: 72 Stunden an die Aufsicht, und manchmal an die Betroffenen

Unabhängig von NIS2 gilt für jeden Verantwortlichen die DSGVO. Führt ein Vorfall zu einer Verletzung des Schutzes personenbezogener Daten, verlangt Art. 33 DSGVO die Meldung an die zuständige Datenschutz-Aufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Ausgenommen ist nur der Fall, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt; kommt die Meldung später, ist die Verzögerung zu begründen.

Art. 34 DSGVO legt nach: Bei voraussichtlich hohem Risiko sind zusätzlich die betroffenen Personen selbst zu benachrichtigen, ebenfalls unverzüglich. Für die Praxis heißt das: Sobald bei einem Ransomware-Vorfall personenbezogene Daten verschlüsselt oder abgeflossen sind, liegt die Art.-33-Frage auf dem Tisch, zusätzlich zur BSIG-Meldekette, nicht an ihrer Stelle. Zwei Uhren, zwei Empfänger, zwei Inhalte.

DORA: eigene Uhren, aber nur für den Finanzsektor

DORA, die Verordnung (EU) 2022/2554 und anwendbar seit dem 17. Januar 2025, gilt ausschließlich für Finanzunternehmen und kritische IKT-Drittdienstleister. Für schwerwiegende IKT-Vorfälle konkretisiert der technische Regulierungsstandard RTS (EU) 2025/301 den Meldetakt:

Wer nicht zum Finanzsektor gehört, kann diesen Abschnitt zur Kenntnis nehmen und ablegen: DORA gilt dann nicht. Umgekehrt gilt für Finanzunternehmen: Die 4-Stunden-Frist nach Einstufung ist die schärfste Uhr in diesem Artikel, und sie funktioniert nur mit einem Klassifizierungsprozess, der steht, bevor der Vorfall da ist.

Ein Vorfall, mehrere Uhren: die organisatorische Wahrheit

Das eigentliche Problem ist selten die Unkenntnis der Fristen: Es ist ihre Bedienung um drei Uhr nachts. Alle drei Regelwerke starten ihre Uhren bei Kenntnis beziehungsweise Bekanntwerden oder bei einer Einstufungsentscheidung. Die eigene Organisation bestimmt also mit, wann die Fristen zu laufen beginnen, und muss diesen Moment sauber feststellen und dokumentieren können. Vier Dinge gehören deshalb in jedes Melde-Playbook:

• Zuständigkeit: Wer stellt die Kenntnis fest, wer beurteilt Erheblichkeit (BSIG), Risiko (DSGVO) beziehungsweise Schwere (DORA), und wer entscheidet bei Dissens?
• Entwürfe: vorformulierte Gerüste für Frühwarnung und Art.-33-Meldung, in die am Tag X nur noch die Lage eingetragen wird.
• Zugänge: Wer hält die Konten für das MUK-Portal und die Meldewege der Aufsicht, und wer vertritt, wenn diese Person nicht erreichbar ist?
• Protokoll: ein Entscheidungslog mit Zeitstempeln, das später gegenüber Aufsicht und Versicherer belegt, wann was bekannt war und entschieden wurde.

Vom Fristen-Blatt zur geübten Meldung

Ein Playbook mit diesen vier Elementen ist notwendig, und trotzdem nur eine Hypothese, solange es nie unter Druck gelaufen ist. Deshalb sind in Verdus-Übungen Meldeketten-Injects fest eingebaut: Das Team wird mitten in der eskalierenden Lage mit der Meldefrage konfrontiert, entscheidet unter Zeitdruck, ob, wann und was gemeldet wird, und jede dieser Entscheidungen wird zeitgestempelt erfasst. Im Debrief steht dann nicht „hätten wir wohl geschafft“, sondern schwarz auf weiß, ob die Frühwarnung binnen 24 Stunden beim BSI gewesen wäre.

Die ersten 72 Stunden eines Vorfalls lassen sich nicht improvisieren, aber sie lassen sich proben. Wer die Meldekette einmal im geschützten Raum durchgespielt hat, kennt seine Lücken, bevor eine Aufsicht sie kennt.