Eine der grundlegendsten Änderungen, die durch die Änderung des Gesetzes über das Nationale Cybersicherheitssystem (NCS) eingeführt wurden, ist ein strenges, dreistufiges Meldeverfahren für schwerwiegende Vorfälle. Die EU-Richtlinie NIS2 legt Wert auf präzise Fristen. Für wichtige Einrichtungen erfordert dies die Implementierung und Anwendung strenger Reaktionsverfahren.
Wann wird ein Vorfall ernst?
Unternehmen sind nicht verpflichtet, jeden kleineren IT-Vorfall zu melden. Meldepflicht besteht jedoch für schwerwiegende Vorfälle, also Ereignisse, die erhebliche Störungen der Dienstbereitstellung verursachen oder verursachen können, zu erheblichen finanziellen Verlusten für das Unternehmen führen oder anderen erheblichen materiellen oder immateriellen Schaden zufügen.
Entscheidend ist, dass die 24-Stunden-Frist für die erste Reaktion ab dem Zeitpunkt der Feststellung des Vorfalls durch die Organisation beginnt, nicht erst nach Abschluss der Analyse nach dem Eindringen. Wichtig ist auch, dass die Fristen für Samstage, Sonntage und andere gesetzliche Feiertage gelten.
Drei Meldephasen: 24 Stunden, 72 Stunden und 1 Monat
Die neuen KSC-Vorschriften unterteilen den Prozess der Benachrichtigung der Behörden in drei genau definierte Schritte:
- Bis zu 24 Stunden – Frühwarnung: Innerhalb von 24 Stunden nach Feststellung eines Vorfalls übermittelt die betroffene Organisation erste Informationen an das zuständige CSIRT. Diese Meldung dient der Feststellung, ob der Vorfall durch illegale oder böswillige Handlungen verursacht wurde und ob er grenzüberschreitende Auswirkungen haben könnte.
- Bis zu 72 Stunden – Vollständiger Vorfallsbericht: Aktualisierungen müssen innerhalb dieses Zeitraums eingereicht werden. Der Bericht enthält eine vorläufige Einschätzung der Schwere des Vorfalls, potenzieller Auswirkungen, Indikatoren für eine Kompromittierung (IoCs) und bisher ergriffener Abhilfemaßnahmen.
- Innerhalb eines Monats – Abschlussbericht: Sobald der Vorfall behoben ist (oder innerhalb eines Monats nach vollständiger Meldung), reicht die Organisation einen detaillierten Bericht ein. Dieser umfasst eine Ursachenanalyse, eine abschließende Schadensbewertung, umgesetzte langfristige Präventivmaßnahmen und die gewonnenen Erkenntnisse. Dauert die Behebung des Vorfalls länger als einen Monat, wird ein Zwischenbericht eingereicht.
Parallele Wege: KSC, DSGVO und DORA
Ein Cyberangriff beschränkt sich selten auf ein einzelnes Rechtsgebiet. Handelt es sich bei dem Vorfall um eine Verletzung des Schutzes personenbezogener Daten (z. B. ein Datenleck infolge eines Ransomware-Angriffs), muss das Unternehmen zwei voneinander unabhängige Pflichten erfüllen: die Meldung an das zuständige CSIRT gemäß KSC und die Benachrichtigung des Amtes für den Schutz personenbezogener Daten (UODO) innerhalb von 72 Stunden gemäß DSGVO. Für Unternehmen des Finanzsektors gelten zusätzlich die Bestimmungen der DORA-Verordnung.
Wie kann man eine Organisation auf Zeitdruck vorbereiten?
Um den gesetzlichen Anforderungen zu entsprechen, sollten Organisationen die folgenden Schritte durchführen:
- Entwickeln und testen Sie ein Incident-Response-Playbook: Erstellen Sie ein klares Incident-Response-Szenario, das die Rollen des IT-Teams, des Managements sowie der Rechts- und Kommunikationsabteilung definiert.
- Einrichtung von Kontaktstellen und Meldekanälen: Testen Sie den Zugriff auf das S46-System und die entsprechenden CSIRT-Formulare, bevor eine tatsächliche Bedrohung eintritt.
- Kriterien zur Ereignisklassifizierung: Implementieren Sie interne Indikatoren, die es IT-Administratoren ermöglichen, einen gewöhnlichen Vorfall sofort von einem schwerwiegenden Vorfall zu unterscheiden.
- Information der Leistungsempfänger: Denken Sie daran, Ihre Kunden unverzüglich zu benachrichtigen, wenn eine Cyberbedrohung die von ihnen in Anspruch genommenen Dienstleistungen beeinträchtigen könnte.
Zusammenfassend lässt sich sagen, dass das neue Meldesystem für Sicherheitsvorfälle beim KSC einen Wandel von deklarativer Sicherheit hin zu echter operativer Einsatzbereitschaft erzwingt. Die Aufsichtsbehörde bestraft Unternehmen nicht allein für das Auftreten eines Angriffs, sondern für das Versäumnis, Bedrohungen zu erkennen, Kommunikationsstörungen und die Überschreitung gesetzlicher Fristen. Ein gut funktionierendes Meldesystem ist nun der wichtigste Schutzschild, um das Management vor Vorwürfen mangelnder Sorgfalt im Risikomanagement zu bewahren. Angesichts des Berichts von 2026 empfiehlt es sich, die Befugnisse von Vertretern zu überprüfen, technische Daten aufzubereiten und verantwortliche Ansprechpartner zu benennen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 27. August 2026.
