NIS2 · Incident Reporting

Reporting Cyber Incidents Under NIS2.

Structured incident reporting with clear notification obligations, deadlines and escalation paths per NIS2 Art. 23.

Note: Keine rechtsverbindliche Beratung. Die Inhalte dienen ausschließlich der Orientierung und ersetzen keine qualifizierte Rechts- oder Compliance-Beratung.

NIS2 Meldepflichten

NIS2 Art. 23 introduces a graduated incident notification system: early warning within 24h, notification within 72h, intermediate report and final report within 1 month. Affected entities must notify their competent CSIRT or authority.

24 Stunden

Frühwarnung

24 Stunden

Unverzügliche, jedenfalls innerhalb von 24 Stunden nach Kenntnis: Frühwarnmeldung an CSIRT/zuständige Behörde.

Angabe, ob Verdacht auf rechtswidrige/böswillige Handlung besteht.

72 Stunden

Incident-Notification

72 Stunden

Innerhalb von 72 Stunden: Vollständige Meldung mit Bewertung des Vorfalls.

Bewertung des Schweregrads, der Auswirkungen und der Kompromittierungsindikatoren.

1 Monat

Abschlussbericht

1 Monat

Spätestens einen Monat nach der Incident-Notification: Abschlussbericht mit detaillierter Beschreibung.

Detaillierte Beschreibung des Vorfalls, Ursachenanalyse, ergriffene Maßnahmen.

Laufend

Zwischenberichte

Laufend

Auf Anforderung der Behörde: Zwischenberichte zum Bearbeitungsstand.

Statusberichte auf Anfrage des CSIRT.

Notification Recipients

Incidents must be reported to the competent CSIRT or the competent authority. For essential entities, notification is mandatory; for important entities, notification on a voluntary basis.

CSIRT (national)

Zuständige Behörde (Branche)

BSI (DE)

Betroffene Kunden/Dienstnutzer (Art. 23 NIS2)

Verknüpfte Module

Cross-references to incident playbooks and DORA incident management for integrated crisis management.

DORA ICT Incidents → Incident Playbooks →