NIS2-Vorfallmeldung innerhalb von 24 und 72 Stunden: Prozess, Verantwortlichkeiten und Notfallübung

Ein Verfahren zur Meldung von Sicherheitsvorfällen innerhalb von 24 und 72 Stunden darf weder beim Meldeformular beginnen noch bei der IT-Abteilung enden. Seine Wirksamkeit hängt davon ab, wann die Organisation davon ausgeht, Kenntnis von einem Vorfall erlangt zu haben, wer dessen Auswirkungen bewertet, wer die Entscheidung trifft und ob die Meldung auch bei unvollständiger Informationslage, Abwesenheit von Schlüsselpersonen oder Ausfall zentraler Systeme vorbereitet und übermittelt werden kann. Meldebereitschaft ist daher als bereichsübergreifender Prozess aufzubauen und anschließend in einer Übung unter realistischem Zeitdruck zu überprüfen.

Warum die Meldefrist früher beginnt, als die Geschäftsleitung häufig annimmt

Der Fristbeginn darf nicht erst an eine vollständige technische Bestätigung oder die Übergabe an eine meldeberechtigte Person geknüpft werden. Die Organisation muss zwischen einem Ereignis – also einer beobachteten Anomalie oder Warnung – und einem Sicherheitsvorfall unterscheiden, der die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität von Ressourcen und Diensten beeinträchtigt. Die nächste Stufe ist ein Vorfall, der die gesetzlichen Meldekriterien erfüllt. Nicht jeder Alarm löst somit das 24- und 72-Stunden-Verfahren aus. Jedes Signal muss jedoch nach festgelegten Regeln bewertet werden.

Das größte Verzögerungsrisiko entsteht, wenn das Verfahren den Zeitpunkt der Kenntniserlangung nicht eindeutig definiert. Die erste Information kann beim Service, einem Anlagenbediener, einem Administrator, einem Dienstleister oder im Kundenservice eingehen. Wird die Frist erst ab der Benachrichtigung eines Geschäftsleitungsmitglieds oder des Sicherheitskoordinators gerechnet, entsteht eine künstliche Lücke zwischen dem tatsächlichen Erkennen der Störung und der formalen Reaktion. Das Verfahren sollte deshalb interne und externe Meldequellen, Eskalationskriterien sowie die Rolle benennen, die verbindlich entscheidet, ob eine Störung die Schwelle einer gewöhnlichen Betriebsstörung überschritten hat.

Meldet beispielsweise ein Dienstleister, der ein Produktionssystem betreut, einen Verfügbarkeitsverlust und den Verdacht auf externe Einwirkung, können Ursache, vollständiges Ausmaß und voraussichtliche Wiederherstellungszeit zunächst unbekannt sein. Das rechtfertigt kein Warten auf den technischen Abschlussbericht. Für die Eskalation genügen Angaben zum Zeitpunkt des ersten Hinweises, zu betroffenen Diensten und Standorten, zu beobachteten Auswirkungen, möglichen Folgen sowie zu bereits eingeleiteten Eindämmungsmaßnahmen. Auf dieser Grundlage nimmt die autorisierte Person eine Erstbewertung vor und dokumentiert die Entscheidung, ob der Meldeweg aktiviert wird.

Die 24- und 72-Stunden-Stufen sind als fortschreitende Erkenntnisgewinnung zu demselben Vorfall zu verstehen: Zunächst wird auf Basis der verfügbaren Anhaltspunkte eine Frühwarnung übermittelt, anschließend wird die Bewertung durch genauere Erkenntnisse ergänzt. Es handelt sich nicht um zwei voneinander unabhängige Verwaltungsaufgaben. Konkrete Fristen, Meldeschwellen und Meldekanäle sind jeweils anhand des aktuellen nationalen Rechts zur Umsetzung von NIS2 sowie der Vorgaben der zuständigen Stelle zu prüfen. Das Verfahren sollte nicht ausschließlich auf den Wortlaut der Richtlinie gestützt werden. Die Wirksamkeit der vorgesehenen Lösungen lässt sich im Rahmen eines NIS2-Audits in einem Produktionsunternehmen – wie sich die Bereitschaft für die neuen Pflichten bewerten lässt überprüfen.

Wo die ersten Stunden verloren gehen

Die ersten Stunden verstreichen häufig nicht mit technischer Analyse, sondern mit Warten. Eine Meldung bleibt im Ticketsystem liegen, außerhalb der Geschäftszeiten funktioniert die Kontaktkette nicht, der Dienstleister erstellt zunächst eine Stellungnahme, Fachbereiche diskutieren über das Ausmaß der Auswirkungen oder die entscheidungsbefugte Person ist nicht erreichbar. Verstärkt wird die Verzögerung durch die manuelle Zusammenführung von Informationen aus mehreren Quellen. Das Problem entsteht vor allem an den Schnittstellen zwischen IT, Operational Technology, Produktion, Qualität, Recht, Kommunikation, Datenschutz, Einkauf und Geschäftsleitung, weil jeder Bereich nur über einen Teil des Gesamtbildes verfügt.

Fällt in einem Produktionsunternehmen das Planungssystem aus und treten gleichzeitig Instabilitäten an einzelnen Anlagen auf, ergibt sich daraus nicht sofort ein vollständiges Lagebild. Ursache können der Ausfall voneinander abhängiger Systeme, eine Beeinträchtigung der Operational Technology oder ein Vorfall mit größerer Reichweite sein. Die Organisation muss parallel den Betrieb und die Produktionskontinuität absichern, betroffene Ressourcen und Standorte ermitteln und die Eskalation durchführen. Technische Eindämmungsmaßnahmen dürfen nicht auf die formale Entscheidung warten. Umgekehrt darf die Meldeentscheidung nicht bis zur Klärung der Ursache oder zur vollständigen Behebung der Störung aufgeschoben werden.

Engpässe werden am zuverlässigsten durch eine szenariobasierte Übung sichtbar, die auch einen Nachtfall und die Nichterreichbarkeit einer Schlüsselperson umfasst. Gemessen werden sollte die Zeit vom ersten Signal bis zur Eskalation, Bewertung, Kontaktaufnahme mit dem Entscheider und Zusammenstellung des minimal erforderlichen Datensatzes. Ebenso sind die Verträge mit IT- und Telekommunikationsdienstleistern zu prüfen. Ein Dienstleister kann bei der Aufbereitung von Informationen unterstützen. Eine Meldung im Namen der Organisation setzt jedoch eine eindeutige Grundlage, eine geeignete Bevollmächtigung und die Einhaltung des geltenden Verfahrens voraus. Der bloße Betrieb eines Systems überträgt keine Verantwortung.

Die Bereitschaftsbewertung sollte die gesamte Organisation und nicht nur die IT umfassen: Rollen, Informationsflüsse, Dienstleister, Operational Technology und Krisenmanagement. Die Nachweise für das Funktionieren dieser Mechanismen sollten mit dem Umfang übereinstimmen, der im Beitrag NIS2- und KSC-Dokumentation vor einer Prüfung: Welche Richtlinien, Register und Nachweise tatsächlich erforderlich sind beschrieben wird.

Vom ersten Signal bis zur dokumentierten Meldung

Das Verfahren muss vom ersten Signal bis zum nachweisbaren Versand führen, ohne die Entscheidung vom Abschluss der technischen Analyse abhängig zu machen. Der Ablauf umfasst die Entgegennahme des Hinweises, die Erfassung von Zeitpunkt und Quelle, eine Erstbewertung, die Sicherung von Beweismitteln sowie die Bewertung der Auswirkungen auf den Dienst. Anschließend erfolgen Eskalation, Entscheidung, Erstellung der Mitteilung, Versand über den vorgesehenen Kanal und Archivierung der Bestätigung. Für jeden Schritt sind ein Verantwortlicher, eine Vertretung, eine interne Frist und ein definierter Nachweis festzulegen. Interne Fristen müssen ausreichend Zeit für Freigabe und mögliche Versandprobleme lassen und dürfen nicht mit der gesetzlichen Höchstfrist identisch sein.

Für die erste Stufe innerhalb von 24 Stunden wird ein Mindestpaket bestätigter Informationen benötigt: Identität des Unternehmens beziehungsweise der Einrichtung, Erkennungszeitpunkt, betroffener Dienst, beobachtete Auswirkungen, bekanntes Ausmaß und eingeleitete Maßnahmen. Unsichere Angaben sind als vorläufig zu kennzeichnen; ihre Quelle und die vorgesehene Verifizierung sind anzugeben. Fehlende Kenntnisse über Ursache, vollständiges Ausmaß oder Endzeitpunkt des Ereignisses dürfen weder zu einer nur scheinbar vollständigen Darstellung führen noch die Mitteilung automatisch blockieren. Das Verfahren muss bestimmen, wer die Meldung freigibt, wer die Vertretung übernimmt und wie bereits übermittelte Informationen aktualisiert werden.

Verliert ein Werk den Zugriff auf das System zur Steuerung der Auftragsabwicklung, erfasst der Koordinator den Alarm, den Erkennungszeitpunkt und die Rückmeldungen der Anwender. Parallel sichert das technische Team Ereignisprotokolle und begrenzt die Auswirkungen. Der Dienst- oder Prozessverantwortliche bewertet die Folgen für Produktion, Logistik und Kunden. Der Entscheider beurteilt auf Grundlage der verfügbaren Informationen, ob eine Meldepflicht besteht. Dauert der Vorfall an, ist das Erfassungssystem nicht verfügbar oder liegt die Ursache beim Dienstleister, muss der vorbereitete Ersatzkanal genutzt werden, ohne auf den Abschlussbericht zu warten. In einer Unternehmensgruppe mit mehreren Gesellschaften sind die betroffenen Dienste, die Zuständigkeit für die einzelnen Rechtsträger und die Bevollmächtigung zum Handeln in deren Namen jeweils gesondert zu klären.

Bis zur 72-Stunden-Stufe ergänzt die Organisation ihre Bewertung zu Art und Schwere des Vorfalls, dessen Auswirkungen, verfügbaren Indikatoren einer Sicherheitsverletzung sowie zu den Eindämmungsmaßnahmen – jeweils im Umfang der aktuell geltenden Vorschriften und Formulare. Ändern spätere Erkenntnisse das Ausmaß, die Ursache oder die Einstufung des Ereignisses, ist die frühere Information kontrolliert zu korrigieren und nicht ohne nachvollziehbare Änderungshistorie zu ersetzen. Vor Einführung des Verfahrens sind daher die für die jeweilige Einrichtungskategorie zuständige Behörde oder Reaktionsstelle, der Meldekanal, die Regeln zur Fristberechnung sowie die Anforderungen an Aktualisierungen und weitere Berichte zu verifizieren. Den persönlichen und sachlichen Anwendungsbereich erläutert ausführlicher der Beitrag NIS2 für Produktionsunternehmen: Wer betroffen ist, welche Pflichten gelten und wie sich die Organisation vorbereitet, ohne das Thema auf die IT zu reduzieren.

Grundlage des Informationsflusses sollte ein zentrales Vorfallregister sein. Es enthält die Zeitleiste, aufeinanderfolgende Versionen der Erkenntnisse, Datenquellen, Entscheidungen mit Begründung, Inhalte der Mitteilungen und Versandbestätigungen. E-Mail und Messenger können zur Alarmierung dienen, sollten jedoch keine parallelen Versionen der Vorfallbeschreibung erzeugen. Die Prozessbereitschaft lässt sich anhand der Zeit vom Signal bis zur Erfassung, Eskalation, Entscheidung und Übermittlung messen. Weitere Kriterien sind der Anteil der Einträge mit dokumentierter Quelle und die Möglichkeit, nachzuvollziehen, wer die Vorfallbewertung wann und auf welcher Grundlage geändert hat.

Rollen, Vertretungen und Entscheidungsschwellen

Der Meldeprozess erfordert eine klare Trennung von Aufgaben, Verantwortlichkeiten und Befugnissen. Die Person, die das Ereignis erkennt, erfasst es und stößt die Eskalation an. Der Vorfallkoordinator führt die Zeitleiste und steuert den Informationsfluss. Der technische Experte bewertet die Art des Ereignisses und sichert die Daten. Der Dienst- oder Prozessverantwortliche beurteilt die operativen Auswirkungen. Eine Person mit geeigneter rechtlicher Kompetenz bewertet die Informations- und Meldepflichten. Der Freigabeverantwortliche entscheidet über die Meldung, während ein autorisierter Mitarbeiter den Versand ausführt und den Nachweis sichert. Eine Person kann mehrere Rollen übernehmen, sofern dadurch die Entscheidungsbefugnis nicht unklar wird und keine kritische Abhängigkeit von einer Einzelperson entsteht.

Eine Verantwortlichkeitsmatrix wird erst dann wirksam, wenn sie neben der Funktion auch den Aufgabenumfang, die erforderliche Reaktionszeit, die Entscheidungsbefugnis, die Vertretung und den erwarteten Ausführungsnachweis festlegt. Sie sollte außerdem bestimmen, wer bei unvollständiger Datenlage entscheiden darf und wie Konflikte zwischen Produktionskontinuität, Sicherheit und Informationspflicht gelöst werden. Die Leitung genehmigt das Reaktionsmodell, die Eskalationsschwellen und die erforderlichen Ressourcen. Das gesamte Entscheidungsrisiko darf nicht auf einen Systemadministrator oder Qualitätsmanagementbeauftragten verlagert werden, da diese Rollen üblicherweise kein Mandat besitzen, geschäftliche und rechtliche Auswirkungen abschließend zu beurteilen.

Nicht jede Meldung muss von einem Mitglied der Geschäftsleitung freigegeben werden, sofern das interne Kompetenzmodell eine geeignete Vollmacht oder Autorisierung vorsieht, die den für die jeweilige Organisation und den Meldekanal geltenden Anforderungen entspricht. Die Vertretungsregelung benötigt eine namentlich benannte Folgeperson, rund um die Uhr verfügbare Kontaktdaten und eine verbindliche Regel zur Übernahme nach Ablauf einer festgelegten erfolglosen Kontaktzeit. Die Vertretung muss tatsächlich Zugriff auf das Register, das Formular, das Postfach, erforderliche elektronische Signaturen und den Ersatzkanal besitzen. Ein Eintrag im Verfahren allein gewährleistet ohne eingerichtete Berechtigungen keine Handlungsfähigkeit.

Tritt ein Vorfall nachts ein, darf der Koordinator nicht unbegrenzt auf die freigabeberechtigte Person warten. Nach Ablauf der internen Kontaktfrist wird die Vertretung und anschließend die für Notfallentscheidungen autorisierte Person kontaktiert. Interne Fristen sind deutlich kürzer als externe Fristen anzusetzen. Sie müssen einen Puffer für Datenprüfung, rechtliche Einordnung, Freigabe, technische Schwierigkeiten und Dokumentation des Versands enthalten. Die Zeiten von der Erkennung bis zur Eskalation, Entscheidung und Übermittlung sind im Rahmen von Übungen zu messen.

Dieses Modell erfordert finanzierte Bereitschaftsdienste, Zugriffsrechte, Schulungen und Werkzeuge. Es sollte daher in der Planung berücksichtigt werden, die im Beitrag Was kostet die Umsetzung von NIS2 und uKSC – wie sich ein belastbares Budget für Audit, Dokumentation, Schulungen und Schutzmaßnahmen aufbauen lässt beschrieben wird. Nur einen Entscheider oder einen einzigen Inhaber kritischer Berechtigungen vorzusehen, ist lediglich eine scheinbare Einsparung: Im Ernstfall wird die organisatorische Abwesenheit zur Ursache einer formalen Verzögerung.

Eine Übung, die die tatsächliche Meldebereitschaft sichtbar macht

Meldebereitschaft wird nicht durch die Kenntnis des Verfahrens belegt, sondern durch die Fähigkeit, es unter Zeitdruck und bei unvollständiger Informationslage anzuwenden. Das Übungsszenario sollte Informationen schrittweise bereitstellen. Das erste Signal kann mehrdeutig sein, Teile der Systeme und Dokumentation können ausfallen, der Dienstleister kann verspätet reagieren und die operativen Auswirkungen können mit jeder neuen Lageinformation zunehmen. Eine solche Gestaltung zeigt, ob die Organisation die Eskalation starten kann, ohne auf eine vollständige technische Analyse zu warten.

Die Übung sollte entlang einer realistischen Zeitleiste durchgeführt werden. Erfasst werden die Zeitpunkte des Eingangs und der Dokumentation des Signals, der Weiterleitung an den Koordinator, der Einberufung des Teams, der Erstbewertung, der Texterstellung, der Freigabe und des simulierten Versands. Die Simulation darf nicht zu einer tatsächlichen Meldung führen, sofern nicht vorab eine sichere Testumgebung und eine eindeutige Kennzeichnung der Testdaten vereinbart wurden. Die Einbindung externer Parteien bedarf einer gesonderten Entscheidung. Ein Dienstleister sollte teilnehmen, wenn seine Information, sein Zugriff oder sein Handeln für die Einstufung des Vorfalls erforderlich ist. Die Geschäftsleitung sollte zumindest an einer Variante beteiligt sein, die eine geschäftliche Entscheidung, die Akzeptanz eines Risikos oder die Aktivierung einer Vertretung verlangt.

Ein Beispielszenario kann mit der Meldung über eine Verlangsamung des Produktionssystems beginnen. Im weiteren Verlauf gibt die Übungsleitung den fehlenden Zugriff auf das Ereignisregister, die Nichterreichbarkeit der freigabeberechtigten Person, widersprüchliche Angaben zur Zahl betroffener Prozesse und die ausbleibende Rückmeldung des Dienstleisters bekannt. Beobachter greifen nicht steuernd ein, sondern dokumentieren die tatsächlichen Zeiten und Nachweise. Bewertet werden die Zeit bis zum Eingang beim Koordinator, die Verfügbarkeit der Vertretungen, die Zahl ungeklärter Verantwortlichkeiten, die Vollständigkeit der Zeitleiste, Abweichungen zwischen Informationsquellen und die Nutzbarkeit des Ersatzkanals. Ebenso zu erfassen sind Rollen ohne Vertretung, fehlende Berechtigungen und veraltete Kontaktdaten.

Die Bewertung darf sich nicht darauf beschränken, ob die Testmeldung vor Ablauf der internen Frist erstellt wurde. Zu prüfen ist auch, ob die Teilnehmenden:

• bestätigte Tatsachen von Annahmen getrennt haben,
• Informationsquellen benannt haben,
• die Grundlage der Einstufung dokumentiert haben,
• später zu ergänzende Angaben gekennzeichnet haben,
• Vertretungsregelungen wie vorgesehen aktiviert haben,
• den alternativen Meldekanal nutzen konnten.

Ein wesentliches Ergebnis ist zudem der Umgang mit Unsicherheit. Das Team sollte weder jede Störung automatisch als meldepflichtigen Vorfall einstufen noch die Eskalation bis zum Abschluss einer vollständigen technischen Analyse zurückstellen.

Die Übung endet mit einem Korrekturmaßnahmenplan und nicht nur mit einem Protokoll. Für jede festgestellte Lücke sind ein Verantwortlicher, eine Umsetzungsfrist, ein messbares Wirksamkeitskriterium und der erneut zu prüfende Bestandteil festzulegen. Überwacht werden sollte der Anteil der Maßnahmen, die innerhalb der von der Organisation festgelegten Frist abgeschlossen und wirksam verifiziert wurden. Häufigkeit und Szenariowechsel weiterer Übungen richten sich nach dem Risiko, den Ergebnissen des vorherigen Tests und organisatorischen Änderungen. Zusätzliche Übungen sind insbesondere bei neuen Rollen, Dienstleistern, Systemen, Meldekanälen oder wesentlichen Defiziten angezeigt. Diese Festlegungen sollten mit dem Zeitplan aus dem Beitrag NIS2-Umsetzung nach der Aufnahme in das KSC-Verzeichnis – Maßnahmenplan bis zum 3. April 2027 abgestimmt sein.

Mindeststandard für die organisatorische Meldebereitschaft

Die Geschäftsleitung kann den Meldeprozess erst dann als funktionsfähig bewerten, wenn dessen vollständiges organisatorisches System freigegeben wurde. Dazu gehören das Verfahren, Eskalationskriterien, eine aktuelle Kontaktliste, zugewiesene Rollen und Vertretungen, der Zugang zum primären und alternativen Meldekanal, Mitteilungsvorlagen, ein zentrales Vorfallregister, Regeln zur Sicherung und Aufbewahrung von Nachweisen sowie eine durchgeführte Übung. Fehlt eines dieser Elemente, ist dies als operatives Risiko und nicht lediglich als redaktionelle Lücke in der Dokumentation zu bewerten.

Die Zahl freigegebener Dokumente ist kein Nachweis der Bereitschaft. Entscheidend ist eine konsistente Nachweiskette von der Erkennung des Ereignisses über die Bewertung und Entscheidung bis zur Erstellung und Übermittlung der Meldung. Diese muss Zeitpunkte, Informationsquellen, Entscheider, die Grundlage der Einstufung und den an die zuständige Stelle übermittelten Inhalt erkennen lassen. Die Organisation muss zudem nachweisen können, dass sie bei Abwesenheit von Schlüsselpersonen, Ausfall zentraler Systeme und eingeschränktem Datenzugriff handlungsfähig bleibt.

Nach der Übung ist eine Managementbewertung erforderlich, die Erkenntnisse noch vor einem Audit oder einer behördlichen Prüfung in Entscheidungen überführt. Der Prozessverantwortliche kann Arbeitsanweisungen, Register oder Kontaktlisten im Rahmen seiner Befugnisse verbessern. Die Geschäftsleitung muss dagegen über Defizite entscheiden, die eine Akzeptanz des Restrisikos, zusätzliche Finanzierung, weitere Ressourcen oder eine Änderung der Verantwortlichkeiten erfordern. Für jede Maßnahme sind ein Verantwortlicher, eine Frist und ein Termin zur erneuten Wirksamkeitsprüfung festzulegen.

Die Vorfallmeldung ist in einen umfassenderen Umsetzungsplan einzubetten, wobei Fristen und Anforderungen jeweils auf ihre Aktualität geprüft werden müssen. Bei der Reifegradbewertung sollte außerdem das Thema NIS2 und DIN EN ISO 27001: Was ein Zertifikat leistet und was für die Konformität mit dem KSC weiterhin fehlt berücksichtigt werden. Eine Organisation ist erst dann vorbereitet, wenn sie innerhalb begrenzter Zeit und bei unvollständiger Informationslage eine angemessene Entscheidung treffen, umsetzen und anhand belastbarer Nachweise belegen kann.