Ein Vorfall um 22 Uhr. Wann genau läuft die Uhr los?

Die drei Fristen

Die Meldekette ist gestuft aufgebaut. Das ist kein Formalismus, sondern folgt der Erkenntnislage: Nach 24 Stunden weiß niemand, was passiert ist — nach 30 Tagen soll es geklärt sein.

Quelle: Angaben des BSI zu den NIS-2-Pflichten, abgerufen im Oktober 2026. Das BSI nennt dort „24 Stunden für die frühe Erstmeldung", „72 Stunden für eine Meldung" und „30 Tage für Abschlussmeldung/Folgemeldung", jeweils nach Kenntniserlangung. Eine Rechtsgrundlage für die Fristen gibt die Seite nicht an; die einzige dort genannte Norm, § 30 Absatz 2 BSIG, betrifft die Risikomanagementmaßnahmen. · Stand Oktober 2026

Der Startpunkt ist die eigentliche Schwierigkeit

„Ab Kenntniserlangung" klingt eindeutig und ist es im Betrieb nicht. Ein Monitoring-Alarm um 22:40 Uhr, den die Rufbereitschaft um 23:15 Uhr sichtet und der am nächsten Morgen als Kompromittierung eingestuft wird — welcher Zeitpunkt zählt?

Die veröffentlichten Angaben des BSI beantworten das nicht. Praktisch bedeutet das: Die Uhr läuft früher, als es einem lieb ist, und die Beweislast für den Zeitpunkt liegt bei Ihnen. Daraus folgt eine organisatorische Konsequenz, die wichtiger ist als jede Frist:

Halten Sie fest, wann wer was erfahren hat. Nicht, um die Frist zu verkürzen, sondern um später belegen zu können, wann sie begonnen hat.

Was in die Meldungen gehört

Die Meldungen laufen über das Meldeportal des BSI.

Die Schwelle: was ist „erheblich"?

Hier endet die Belastbarkeit der verfügbaren Angaben. Das BSI hat angekündigt, den Begriff des erheblichen Sicherheitsvorfalls noch zu konkretisieren, und verweist dazu auf eine spätere Veröffentlichung.

Das ist unangenehm, weil die Schwelle darüber entscheidet, ob die 24-Stunden-Uhr überhaupt läuft. Solange sie nicht konkretisiert ist, bleibt nur ein konservativer Umgang: im Zweifel den internen Bewertungsprozess dokumentieren und die Entscheidung begründen — auch die Entscheidung, nicht zu melden.

Wir nennen diese Lücke ausdrücklich, statt sie mit einer Faustregel zu überdecken. Veröffentlichte Ratgeber geben an dieser Stelle teils Prozentsätze und Schwellenwerte an, die sich in den Angaben der zuständigen Behörde nicht wiederfinden.

Was davor zu klären ist

1. Sind Sie überhaupt betroffen? Die Meldepflicht setzt voraus, dass Sie wesentliche oder wichtige Einrichtung sind. Der Selbsttest zur Betroffenheit klärt das in fünf Fragen.
2. Stimmt Ihre Mitarbeiterzahl? Die Größenschwelle rechnet in Jahresarbeitseinheiten, nicht in Köpfen — vier Beschäftigte können zwei AJU sein.
3. Wer meldet? Benannte Rolle, erreichbar außerhalb der Geschäftszeiten, mit Zugang zum Meldeportal. Eine Zuständigkeit, die erst im Ernstfall geklärt wird, kostet die ersten Stunden.
4. Was ist im Scope? Auch extern erbrachte Dienste gehören dazu — siehe NIS2 und die Lieferkette.

Was Regovio dazu beiträgt

Klar zur Abgrenzung: Regovio ist kein Incident-Response-Werkzeug und erzeugt keine BSI-Meldung. Es deckt den Teil ab, der vor dem Vorfall entsteht und im Vorfall gebraucht wird.