24 Stunden, 72 Stunden, ein Monat: Welche Meldefrist wann gilt

Warum drei Fristen statt einer?

Weil die drei Regelwerke verschiedene Dinge schützen und deshalb verschiedene Empfänger haben. Die DSGVO schützt die Daten von Personen und meldet an die Datenschutzaufsicht. NIS2 schützt die Funktionsfähigkeit wichtiger Betriebe und meldet an das BSI. Der Cyber Resilience Act schützt die Käufer von Produkten mit digitalen Elementen und meldet an eine europäische Plattform.

Das klingt nach sauberer Arbeitsteilung — und ist im Ernstfall trotzdem unübersichtlich, weil ein einziger Vorfall mehrere davon auslösen kann. Ein Ransomware-Angriff, bei dem auch Personaldaten abfließen, ist gleichzeitig ein meldepflichtiger Sicherheitsvorfall nach NIS2 und eine Datenschutzverletzung nach DSGVO. Zwei Uhren, zwei Empfänger, zwei Formulare — und beide laufen ab demselben Moment.

Die drei Fristen im Vergleich

Der folgende Überblick ist bewusst knapp gehalten; er soll im Ernstfall in dreißig Sekunden lesbar sein.

Die wichtigste Spalte ist die dritte. Nicht die Frist entscheidet, wie schnell man sein muss, sondern die Frage, wen man überhaupt erreichen können muss — und ob der Zugang zum jeweiligen Portal im Ernstfall bekannt und erreichbar ist.

Wann startet die Uhr wirklich?

Das ist der Punkt, an dem die meisten Notfallpläne ungenau werden. Die Fristen laufen nicht ab dem Angriff, sondern ab dem Moment, in dem Ihr Unternehmen Kenntnis vom Vorfall erlangt. Das ist eine gute Nachricht und eine schlechte zugleich.

Gut, weil ein Angriff, der drei Wochen unentdeckt blieb, Sie nicht rückwirkend in die Fristverletzung bringt. Schlecht, weil „Kenntnis“ früher eintritt, als viele annehmen: Sie beginnt nicht mit dem fertigen forensischen Befund, sondern mit dem begründeten Verdacht. Wer wartet, bis alles geklärt ist, meldet zu spät.

Deshalb sind die Erstmeldungen bewusst niederschwellig gehalten. Eine Frühwarnung nach NIS2 ist kein Bericht — sie sagt im Kern: Es ist etwas passiert, es sieht nach folgendem aus, wir melden uns wieder. Die Substanz kommt in der 72-Stunden-Meldung. Wer das weiß, verliert die erste Frist nicht mit dem Sammeln von Details, die noch niemand verlangt.

Und die Uhr läuft durchgehend. 24 Stunden bedeuten am Freitagabend nicht Montagmorgen. Das ist derselbe Punkt, den wir schon zum Cyber Resilience Act beschrieben haben — er gilt für alle drei.

Welches Regelwerk trifft Sie überhaupt?

Bevor man Fristen auswendig lernt, klärt man die Betroffenheit. Drei Fragen genügen:

• Verarbeiten wir personenbezogene Daten? Dann gilt die DSGVO — also praktisch immer, sobald es Beschäftigte oder Kunden gibt. Das ist die Frist, die jeden trifft.
• Fallen wir unter NIS2? Grobe Schwelle: ab etwa 50 Mitarbeitenden oder 10 Millionen Euro Umsatz, kombiniert mit einem betroffenen Sektor. Details und die Registrierungspflicht stehen in unserem Beitrag zur verstrichenen NIS2-Frist.
• Bringen wir ein Produkt mit digitalen Elementen in Verkehr? Nur dann gilt der CRA. Achtung: Das schließt Integratoren ein, die fremde Technik unter eigenem Namen ausliefern — nicht nur klassische Softwarehäuser.

Für den typischen Mittelständler lautet die Antwort: DSGVO ja, NIS2 vielleicht, CRA eher nein. Wer alle drei bejaht, braucht kein Auswendiglernen, sondern einen geordneten Ablauf mit benannten Zuständigkeiten.

Was im Ernstfall wirklich trägt

Fristen scheitern selten am Nichtwissen und fast immer an der Organisation. Vier Dinge entscheiden, ob Sie 24 Stunden halten können:

• Eine benannte Person mit Vertretung. Nicht „die Geschäftsführung“, sondern ein Name — und ein zweiter, falls der erste im Urlaub ist.
• Zugangsdaten zu den Meldeportalen außerhalb der IT. Wer sie nur im verschlüsselten Dateiserver hat, kommt im Ransomware-Fall nicht heran.
• Eine Vorlage für die Erstmeldung. Fünf Felder, vorbereitet. Im Ernstfall schreibt niemand gut.
• Ein klares Signal, wann gemeldet wird. Der häufigste Fehler ist, die Meldung von der vollständigen Aufklärung abhängig zu machen — genau das führt zur Fristverletzung.

Damit man einen Vorfall überhaupt rechtzeitig bemerkt, braucht es die Stufe davor: Monitoring, das Auffälligkeiten meldet, statt sie im Protokoll abzulegen. Wie lange Angreifer sonst unbemerkt bleiben, steht in Wochen unentdeckt im Netz.

Was sollten Sie als Nächstes tun?

Nehmen Sie diese Übersicht und beantworten Sie für Ihren Betrieb drei Zeilen: Welche der drei Regelwerke gelten bei uns? Wer meldet? Und woher nimmt diese Person die Zugangsdaten, wenn die IT steht?

Wenn eine der drei Antworten hakt, ist das kein Fristenproblem, sondern eine Lücke im Notfallplan — und die lässt sich an einem Vormittag schließen. Was sonst noch in die Notfallmappe gehört, steht in IT-Notfallplan.

Die Einstufung, welche Pflichten Sie konkret treffen, klären wir in der NIS2-Beratung — und zwar ergebnisoffen. Nicht jeder Betrieb fällt darunter, und wer nicht betroffen ist, soll das auch schriftlich haben.