Ein Vorfall, vier Uhren: NIS2, DORA, CRA und DSGVO-Meldung

Ein einzelner Cybervorfall kann vier Meldungsfristen auslösen. Dieser Handlungsleitfaden vergleicht die Fristen, führt Sie durch die Klassifizierung und listet die belgischen, niederländischen und luxemburgischen Empfänger auf.

Dieser Handlungsleitfaden ist für die Personen im Krisenstab, wenn etwas schiefgeht: den Incident Manager, CISO, Datenschutzbeauftragten, Rechtsberater und in Finanzeinrichtungen die IKT-Risikofunktion. Er legt die Meldepflichten für einen einzelnen EU-Cyber-Vorfall nebeneinander dar, mit einem Entscheidungsfluss und den belgischen, niederländischen und luxemburgischen Empfängern. Am Ende haben Sie ein Entscheidungsblatt, das Sie in einem Tabletop-Szenario üben und im Ernstfall nutzen können. Es behandelt nur die Meldung; die technische Bewältigung liegt in Ihrem Incident-Response-Plan.

Bevor Sie beginnen

Halten Sie fest, welche Regelungen gelten, an einem Ort, den Sie während eines Ausfalls öffnen können. Sind Sie eine wesentliche oder wichtige Einrichtung nach Ihrem nationalen NIS2-Gesetz? Eine Finanzeinrichtung nach DORA? Ein Hersteller von Produkten mit digitalen Elementen nach dem CRA? Die DSGVO gilt fast immer. Vereinbaren Sie dann die Rollen:

• Meldeverantwortlicher (CISO oder IKT-Risikoverantwortlicher): verantwortlich für Klassifizierung und Fristen.
• Datenschutzbeauftragter: entscheidet über Meldungen nach Artikel 33 und 34 DSGVO.
• Rechtsberatung: prüft Formulierung, Haftung und Einschränkungen durch Strafverfolgungsbehörden.
• Meldende Person und Stellvertretung: verfügen über aktive Konten auf jedem Portal (CCB-Plattform, NCSC-Portal, ENISA Single Reporting Platform, Kanal der Finanzaufsicht).
• Genehmigende Person: ein Mitglied des Leitungsorgans, das bei jeder Meldung informiert wird.

Die vier Meldefristen im Vergleich

Regelwerk	Was löst sie aus	Erster Bericht	Nachverfolgung	Abschlussbericht	Empfänger
NIS2 (Art. 23)	Ein erheblicher Sicherheitsvorfall: schwerwiegende Betriebsstörung oder finanzieller Verlust oder beträchtlicher Schaden für Dritte	Frühwarnung innerhalb von 24 h nach Kenntniserlangung	Meldung des Sicherheitsvorfalls innerhalb von 72 h (24 h für Vertrauensdiensteanbieter); Zwischenbericht auf Anfrage	Einen Monat nach der Meldung des Sicherheitsvorfalls oder ein Fortschrittsbericht, falls der Vorfall noch andauert	Nationales CSIRT oder zuständige Behörde
DORA (Art. 19; Del. Reg. 2025/301)	Ein schwerwiegender IKT-bezogener Vorfall gemäß Del. Reg. 2024/1772	Erstmeldung innerhalb von 4 h nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 h nach Kenntniserlangung	Zwischenbericht innerhalb von 72 h nach der Erstmeldung	Einen Monat nach dem letzten aktualisierten Zwischenbericht	Zuständige Behörde im Finanzbereich
CRA (Art. 14)	Eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall, der die Sicherheit des Produkts beeinträchtigt	Frühwarnung innerhalb von 24 h nach Kenntniserlangung	Meldung innerhalb von 72 h	Schwachstelle: 14 Tage nach Verfügbarkeit einer Behebung oder Abhilfemaßnahme. Vorfall: einen Monat nach der 72-h-Meldung	CSIRT-Koordinator über die ENISA Single Reporting Platform
DSGVO (Art. 33/34)	Eine Verletzung des Schutzes personenbezogener Daten	Meldung an die Aufsichtsbehörde innerhalb von 72 h nach Kenntniserlangung, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko	Informationen können schrittweise übermittelt werden	Kein festgelegter Abschlussbericht; Verletzung intern dokumentieren	Datenschutzbehörde; betroffene Personen unverzüglich, wenn das Risiko hoch ist

Quellen: NIS2 Artikel 23^[1], DORA-Fristen^[4], CRA Artikel 14^[5], DSGVO^[7].

Schritt 1: Kenntniserlangung festhalten und protokollieren

Jede Regelung zählt ab Kenntniserlangung, daher muss dieser Zeitpunkt eindeutig festgelegt werden: der Moment, in dem Sie hinreichend sicher sind, dass ein Sicherheitsereignis mit möglichen Auswirkungen eingetreten ist. Erfassen Sie Datum, Uhrzeit und Zeitzone im Vorfallsprotokoll, wenn der Vorfallmanager den Vorfall deklariert.

• Dokumentieren Sie, wer zuerst Kenntnis erlangt hat und wie (ein SOC-Alarm, eine Lieferantenmitteilung, eine Kundenbeschwerde).
• Berechnen Sie alle möglichen Fristen sofort und setzen Sie sie auf die Agenda des Krisenstabs.
• Markieren Sie Wochenenden und Feiertage. DORA gestattet einigen Einrichtungen die Meldung bis Mittag des nächsten Werktags, jedoch nicht Kreditinstituten oder Einrichtungen, die auch wesentliche oder wichtige Einrichtungen nach NIS2 sind.^[4].

Schritt 2: Erheblichkeit nach NIS2 prüfen

Nach NIS2 ist ein Vorfall erheblich, wenn er zu einer schwerwiegenden Betriebsstörung Ihrer Dienste oder zu finanziellem Schaden für Sie geführt hat oder führen kann, oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt^[1]. Die Durchführungsverordnung (EU) 2024/2690 setzt verbindliche Zahlen nur für digitale Infrastruktur und digitale Anbieter fest: DNS- und TLD-Anbieter, Cloud- und Rechenzentrumsanbieter, Content-Delivery-Netzwerke, verwaltete (Sicherheits-)Dienstleister, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienstleister^[2].

• Für diese Einrichtungen gelten die allgemeinen Kriterien: ein direkter finanzieller Verlust über 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist; Exfiltration von Geschäftsgeheimnissen; Tod oder beträchtlicher Gesundheitsschaden; oder erfolgreicher, mutmaßlich böswilliger unbefugter Zugriff, der eine schwerwiegende Betriebsstörung verursachen könnte.
• Vorfälle, die innerhalb von sechs Monaten mit derselben offensichtlichen Grundursache wiederkehren, werden zusammengezählt.
• Prüfen Sie dann die dienstspezifischen Schwellenwerte in den Artikeln 5 bis 14 (z. B. Nichtverfügbarkeit bei Cloud-Diensten).
• In Belgien veröffentlicht das CCB Leitlinien für andere Sektoren, die einen niedrigeren finanziellen Schwellenwert von 250.000 EUR verwenden. Wenn sich die Leitlinien und die EU-Verordnung unterscheiden, hat die Verordnung Vorrang^[8].

Schritt 3: Klassifizierung nach DORA (nur Finanzunternehmen)

DORA hat einen eigenen Test, der in der Delegierten Verordnung (EU) 2024/1772^[3] festgelegt ist. Ein Vorfall ist erheblich, wenn er kritische Dienste beeinträchtigt und eine von zwei Bedingungen erfüllt ist. Entweder gab es einen erfolgreichen, böswilligen, unbefugten Zugriff auf Netz- und Informationssysteme, der zu Datenverlusten führen kann, oder es sind mindestens zwei weitere Wesentlichkeitsschwellen erfüllt.

• Kunden und Transaktionen: mehr als 10 % der Kunden, die den Dienst nutzen, oder mehr als 100.000 Kunden; oder mehr als 10 % der durchschnittlichen täglichen Transaktionen.
• Dauer und Ausfallzeit: der Vorfall dauert länger als 24 Stunden, oder ein Dienst, der kritische oder wichtige Funktionen unterstützt, fällt länger als 2 Stunden aus.
• Geografische Ausbreitung: Auswirkungen in zwei oder mehr Mitgliedstaaten.
• Wirtschaftliche Auswirkungen: Kosten und Verluste über 100.000 EUR.
• Reputationsschäden und Datenverluste: qualitative Tests. Beispiele sind Medienberichterstattung, wiederholte Kundenbeschwerden oder Auswirkungen auf die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten.

Die Einstufung als schwerwiegend startet die 4-Stunden-Frist; erfolgt die Einstufung erst nach 24 Stunden, melden Sie innerhalb von 4 Stunden nach der Einstufung^[4]. DORA ist lex specialis zu NIS2, daher melden Finanzunternehmen nach DORA; prüfen Sie nationale Regelungen für eine eventuelle Kopie an das CSIRT.

Schritt 4: Prüfen Sie die CRA, wenn Sie Produkte herstellen

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit ihrer Produkte mit digitalen Elementen beeinträchtigen, melden^[6]. Der Rest der CRA gilt ab dem 11. Dezember 2027. Dies ist eine Produktverpflichtung: Sie gilt auch dann, wenn Ihr eigenes Netz nie berührt wurde, beispielsweise wenn Ihre Firmware am Standort eines Kunden ausgenutzt wird.

• Reichen Sie eine Meldung über die Single Reporting Platform von ENISA ein. Sie geht an das als Koordinator benannte CSIRT im Mitgliedstaat Ihrer Hauptniederlassung (in Belgien das CCB), und ENISA erhält sie gleichzeitig.
• Senden Sie die Frühwarnung innerhalb von 24 Stunden und die Meldung innerhalb von 72 Stunden. Der Abschlussbericht ist 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (bei Schwachstellen) bzw. einen Monat nach der Meldung (bei schwerwiegenden Vorfällen) fällig.
• Informieren Sie die betroffenen Nutzer und teilen Sie ihnen mit, welche Abhilfemaßnahmen sie ergreifen können^[5].

Schritt 5: Entscheiden Sie über die DSGVO-Meldung

Wenn personenbezogene Daten zerstört, verloren, verändert, offengelegt oder ohne Berechtigung zugegriffen wurden, muss der Verantwortliche seine federführende Datenschutzbehörde innerhalb von 72 Stunden nach Kenntnisnahme benachrichtigen, es sei denn, der Verstoß wird voraussichtlich kein Risiko mit sich bringen; wenn das Risiko hoch ist, informieren Sie die betroffenen Personen ohne unangemessene Verzögerung^[7]. Auftragsverarbeiter informieren den Verantwortlichen ohne unangemessene Verzögerung. NIS2- und DORA-Meldungen ersetzen die DSGVO-Benachrichtigung nicht.

• Bewerten Sie das Risiko aus Sicht der betroffenen Person.
• Dokumentieren Sie jede Verletzung intern, auch solche, die Sie nicht melden, mit Ihrer Begründung.

Schritt 6: Einreichen, abstimmen und Folgetermine vormerken

Verwenden Sie ein Faktenblatt als Quelle für jeden Bericht: Zeitverlauf, betroffene Dienste, vermutete Ursache, grenzüberschreitende Auswirkungen, ergriffene Maßnahmen und Indikatoren für eine Kompromittierung. Die Formate unterscheiden sich je nach Portal; die Fakten dürfen sich nicht unterscheiden.

• Reichen Sie den ersten Bericht rechtzeitig ein, auch wenn er kurz ist. Kennzeichnen Sie Unbekanntes als „in Klärung".
• Tragen Sie die Nachfassfristen in das Vorfallsprotokoll ein. Sie laufen ab unterschiedlichen Startzeitpunkten: Der NIS2-Abschlussbericht läuft ab der 72-Stunden-Meldung, der DORA-Abschlussbericht ab dem letzten Zwischenbericht.
• Wenn Sie eine DORA-Frist nicht einhalten können, informieren Sie die Behörde vor deren Ablauf und erläutern Sie die Gründe.
• Informieren Sie die Geschäftsleitung und dokumentieren Sie, dass Sie dies getan haben.

Schritt 7: Abschluss und Erkenntnisse

Überprüfen Sie nach den abschließenden Meldungen den Meldeprozess selbst: Wurden die Fristen eingehalten, war die Klassifizierung schnell genug, funktionierten die Portale und Zugänge? Lassen Sie die Erkenntnisse in diesen Handlungsleitfaden und Ihre Tabletop-Szenarien einfließen. Die begleitende Vorlage enthält das Entscheidungsblatt, einen Fristenrechner, eine Benelux-Kontaktliste und ein Meldeprotokoll.

Wie dies mit anderen Rahmenwerken verbunden ist

ISO/IEC 27001:2022, Maßnahmen 5.24 bis 5.28, erfordern einen Vorfallmanagement-Prozess, setzen aber keine externen Fristen; dieser Handlungsleitfaden ist die regulatorische Ebene darüber. CyFun und NIS2 Artikel 21 erwarten dokumentiertes Vorfallmanagement, und DORA Artikel 17 verlangt einen Vorfallmanagement-Prozess, der die Klassifizierung in Schritt 3 speist. In Secrato sind der Handlungsleitfaden und das Entscheidungsblatt Nachweise für die Vorfallmanagement-Kontrollen in der Einheitlichen Kontrollbibliothek, sodass eine Bewertung für NIS2, DORA, ISO/IEC 27001 und DSGVO zählt.

Häufig gestellte Fragen

Müssen wir eine NIS2-Frühwarnung abgeben, wenn wir noch nicht sicher sind, dass der Vorfall erheblich ist?

Die Frühwarnung soll schnell und schlank sein. Wenn Erheblichkeit wahrscheinlich erscheint, melden Sie und korrigieren Sie später; das ist weitaus einfacher zu erklären als eine verpasste Frist.

Wir sind eine Bank in Belgien. Melden wir sowohl an die NBB als auch an das CCB?

DORA hat Vorrang für Finanzunternehmen, daher ist die DORA-Meldung an Ihre Finanzaufsicht die primäre Verpflichtung. Prüfen Sie die aktuellen Leitlinien von NBB und CCB, wie DORA-Meldungen an das CSIRT weitergegeben werden. Gehen Sie nicht davon aus, dass Sie eine separate NIS2-Meldung abgeben müssen.

Fällt ein Ransomware-Angriff auf unser ERP-System unter die CRA?

Nur, wenn der Angriff eine Sicherheitslücke in einem Produkt mit digitalen Elementen ausnutzt, das Sie herstellen, oder wenn es sich um einen schwerwiegenden Vorfall handelt, der die Sicherheit dieses Produkts beeinträchtigt. Ein Angriff auf Ihre eigenen internen Systeme fällt unter NIS2 und die DSGVO, nicht unter die CRA.

Welche Tools unterstützen die NIS2-Meldung von Vorfällen innerhalb von 24 Stunden?

Ein Entscheidungszeitplan, der dem Team zeigt, welche Uhr gestartet ist, und ein zentraler Ort für die Vorfalldetails. Unser kostenloses Entscheidungszeitplan-Formular für Vorfallmeldungen deckt den ersten Teil ab. Eine GRC-Plattform wie Secrato verknüpft Vorfallaufzeichnungen mit den betroffenen Kontrollen, Risiken und Nachweisen, sodass die Frühwarnung, die Meldung und der Abschlussbericht auf denselben Informationen basieren.