Meldepflicht-Check · Art. 23 NIS2 · § 32 BSIG

Ist dieser Vorfall meldepflichtig – und bis wann?

Prüfen Sie Erheblichkeit, Meldestufen und fehlende Angaben. Mit dem tatsächlichen Meldezeitpunkt berechnen Sie die Abschlussfrist genauer. Die DVO-Schwellen gelten nur für die erfassten digitalen Dienste.

Für Übungen und Vorbereitung gedacht. Im echten Vorfall läuft die Uhr ab Kenntnisnahme – nicht ab diesem Formular.

A · Einrichtung und Kenntnisnahme

Einrichtungstyp (bestimmt die Schwellen der DVO 2024/2690) Zeitpunkt der Kenntnisnahme (Europe/Berlin)

Bereits gemeldet oder Bearbeitung abgeschlossen?

Optional, Europe/Berlin: Mit der tatsächlichen Vorfallsmeldung wird die Monatsfrist neu berechnet. Ohne Zeitpunkt bleibt sie eine Prognose.

Vorfallsmeldung tatsächlich übermittelt am Bearbeitung abgeschlossen am

24 h Frühwarnung und 72 h Meldung ab Kenntnis. Abschluss: 1 Monat nach Übermittlung der Vorfallsmeldung; ohne Meldezeitpunkt nur Prognose. Art. 23 Abs. 4 NIS2

„Kenntnisnahme“ ist der Zeitpunkt, an dem die Einrichtung – nicht ein einzelner Administrator – genug Fakten hat, um einen erheblichen Vorfall zu erkennen (Art. 23 Abs. 4, Erwägungsgrund 102). Leer lassen für „jetzt“.

B · Erheblichkeit nach Art. 23 Abs. 3 („verursacht oder kann verursachen“)

Schwerwiegende Betriebsstörung der Dienste Finanzielle Verluste für die Einrichtung Erheblicher materieller Schaden für andere natürliche oder juristische Personen Erheblicher immaterieller Schaden für andere natürliche oder juristische Personen

C · Schwellen der DVO (EU) 2024/2690 (Art. 3 allgemein, Art. 5–14 je Typ)

Nur für die in Art. 1 der DVO genannten digitalen Dienste. Bei „Allgemeine Einrichtung“ werden diese Angaben nicht als gesetzliche Schwellen ausgewertet; maßgeblich ist die Bewertung unter B.

Direkter finanzieller Verlust (€) Jahresumsatz (€, für die 5-%-Schwelle)

Abfluss von Geschäftsgeheimnissen (RL (EU) 2016/943) Hat den Tod einer natürlichen Person verursacht oder kann ihn verursachen Erheblicher Schaden für die Gesundheit einer natürlichen Person Mutmaßlich böswilliger unbefugter Zugriff, der eine schwerwiegende Betriebsstörung verursachen kann

Nur ausfüllen, was bekannt ist. Leere Felder werden nicht als Null gewertet.

Messwerte (nur ausfüllen, was bekannt ist)

Vollständiger Ausfall (Minuten) Eingeschränkte Verfügbarkeit (Minuten) Antwortzeit überschritten (Minuten) Betroffene Nutzer (Anzahl) Nutzer in der Union gesamt Betroffene Nutzer (%) Betroffene Domainnamen (Anzahl) Betroffene Domainnamen (%)

Böswillige Datenkompromittierung Datenintegrität beeinträchtigt Physischer Zugang kompromittiert

D · Was liegt bereits vor? (Inhalte nach Art. 23 Abs. 4)

Optional – ergibt die Liste dessen, was je Meldung noch fehlt.

Verdacht rechtswidriger / böswilliger Ursache bewertet (auch „kein Verdacht“ dokumentieren) Kompromittierungsindikatoren geprüft und soweit verfügbar zusammengestellt Beschreibung des Vorfalls Erste Bewertung (Schwere, Auswirkungen, Kompromittierungsindikatoren) Schwere und Auswirkungen Art der Bedrohung oder zugrunde liegende Ursache Ursache Getroffene und laufende Abhilfemaßnahmen Bewertung grenzüberschreitender Auswirkungen

E · Nebenpflichten

Personenbezogene Daten betroffen (DSGVO Art. 33/34 läuft parallel) Empfänger der Dienste betroffen (Art. 23 Abs. 1 und 2) Grenzüberschreitende Auswirkungen möglich

Es wird nichts gespeichert.