Meldepflicht-Check · Art. 23 NIS2 · § 32 BSIG

Ist dieser Vorfall meldepflichtig – und bis wann?

Nach Art. 23 Abs. 3 NIS2 ist ein Vorfall „erheblich“, wenn er eine schwerwiegende Betriebsstörung oder finanzielle Verluste verursacht hat oder verursachen kann oder andere erheblich schädigt; die Durchführungsverordnung (EU) 2024/2690 ergänzt harte Schwellen für digitale Infrastruktur und digitale Dienste. Ab Kenntnisnahme sind Frühwarnung (24 h), Meldung (72 h) und Abschlussbericht (1 Monat) fällig – an das CSIRT bzw. die zuständige Behörde, in Deutschland das BSI (§ 32 BSIG).

Für Übungen und Vorbereitung gedacht. Im echten Vorfall läuft die Uhr ab Kenntnisnahme – nicht ab diesem Formular. Das Vorfall-Modul der Plattform führt Timer, Meldungen und Nachweise für echte Fälle.

A · Einrichtung und Kenntnisnahme

Einrichtungstyp (bestimmt die Schwellen der DVO 2024/2690) Zeitpunkt der Kenntnisnahme (Europe/Berlin)

„Kenntnisnahme“ ist der Zeitpunkt, an dem die Einrichtung – nicht ein einzelner Administrator – genug Fakten hat, um einen erheblichen Vorfall zu erkennen (Art. 23 Abs. 4, Erwägungsgrund 102). Leer lassen für „jetzt“.

B · Erheblichkeit nach Art. 23 Abs. 3 („verursacht oder kann verursachen“)

Schwerwiegende Betriebsstörung der Dienste Finanzielle Verluste für die Einrichtung Erheblicher materieller Schaden für andere natürliche oder juristische Personen Erheblicher immaterieller Schaden für andere natürliche oder juristische Personen

C · Schwellen der DVO (EU) 2024/2690 (Art. 3 allgemein, Art. 5–14 je Typ)

Direkter finanzieller Verlust (€) Jahresumsatz (€, für die 5-%-Schwelle)

Abfluss von Geschäftsgeheimnissen (RL (EU) 2016/943) Hat den Tod einer natürlichen Person verursacht oder kann ihn verursachen Erheblicher Schaden für die Gesundheit einer natürlichen Person Mutmaßlich böswilliger unbefugter Zugriff, der eine schwerwiegende Betriebsstörung verursachen kann

Messwerte (nur ausfüllen, was bekannt ist)

Vollständiger Ausfall (Minuten) Eingeschränkte Verfügbarkeit (Minuten) Antwortzeit überschritten (Minuten) Betroffene Nutzer (Anzahl) Nutzer in der Union gesamt Betroffene Nutzer (%) Betroffene Domainnamen (Anzahl) Betroffene Domainnamen (%)

Böswillige Datenkompromittierung Datenintegrität beeinträchtigt Physischer Zugang kompromittiert

D · Was liegt bereits vor? (Inhalte nach Art. 23 Abs. 4)

Beschreibung des Vorfalls Erste Bewertung (Schwere, Auswirkungen, Kompromittierungsindikatoren) Schwere und Auswirkungen Art der Bedrohung Ursache Getroffene und laufende Abhilfemaßnahmen Bewertung grenzüberschreitender Auswirkungen

E · Nebenpflichten

Personenbezogene Daten betroffen (DSGVO Art. 33/34 läuft parallel) Empfänger der Dienste betroffen (Art. 23 Abs. 1 und 2) Grenzüberschreitende Auswirkungen möglich

Es wird nichts gespeichert.