§ 32 BSIG zwingt erhebliche Vorfälle in eine dreistufige Meldungskaskade: eine Früherkennungsmeldung innerhalb von 24 Stunden ab Kenntnis, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb eines Monats. Läuft der Vorfall nach einem Monat noch, tritt an deren Stelle ein Zwischenbericht bis zum Abschluss. Die Pflicht gilt für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG, und alle Fristen beginnen im selben rechtlichen Moment: wenn eine Beschäftigte oder ein Beschäftigter des Unternehmens Kenntnis erlangt.
Was zählt als meldepflichtiger Vorfall nach § 32 BSIG?
Das Gesetz knüpft an den “erheblichen Vorfall” an. Es verlangt nicht, dass jede Anomalie gemeldet wird; es verlangt eine Bewertung der Erheblichkeit unter Zeitdruck, denn die erste Frist läuft ab Kenntnis, nicht erst nach Abschluss einer Untersuchung. Zwei Fragen strukturieren diese Bewertung, und beide gehören in die erste Meldung: Besteht ein Verdacht auf rechtswidrige oder böswillige Handlungen, und sind grenzüberschreitende Auswirkungen möglich?
Wie das Unternehmen die Erheblichkeit einschätzt, muss es belegen können. § 30 Abs. 1 Satz 3 BSIG verlangt die Dokumentation der Konformität der Risikomanagementmaßnahmen, und das BSI vergleicht diese Pflicht mit dem Accountability-Prinzip der DSGVO. Ein als gering eingeschätzter Vorfall hinterlässt dieselbe Datenspur wie einer, der zur Meldestelle eskaliert wurde, und eine Entscheidung, die nur im Gedächtnis existiert, ist später nicht verteidigbar.
Die drei Fristen: 24 Stunden, 72 Stunden, ein Monat
Drei Meldungen mit zunehmender Tiefe, jede mit eigener Uhr:
- Früherkennungsmeldung (§ 32 Abs. 1 Nr. 1 BSIG), 24 Stunden: die erste Meldung nach Kenntniserlangung. Sie muss angeben, ob rechtswidrige oder böswillige Handlungen vermutet werden und ob grenzüberschreitende Auswirkungen möglich sind.
- Meldung (§ 32 Abs. 1 Nr. 2 BSIG), 72 Stunden: bestätigt und aktualisiert die Früherkennungsmeldung, enthält eine erste Bewertung von Schwere und Auswirkungen sowie Indikatoren für Kompromittierung.
- Abschlussmeldung (§ 32 Abs. 1 Nr. 4 BSIG), ein Monat: fällig einen Monat nach der Meldung. Sie beschreibt den Vorfall im Detail, einschließlich Schwere, Grundursache oder Bedrohungstyp, Gegenmaßnahmen und grenzüberschreitender Auswirkungen.
Zwei Sicherheitsventile stehen in derselben Vorschrift. Läuft der Vorfall beim Fristablauf noch, ersetzt ein Zwischenbericht die Abschlussmeldung, die dann nach dem Abschluss folgt (§ 32 Abs. 2). Das BSI kann zudem Zwischenberichte zum Zwischenstand anfordern. Nach Eingang einer Meldung bestätigt das BSI den Empfang umgehend, spätestens innerhalb von 24 Stunden.
Wer muss melden, und an welche Stelle?
Beide Kategorien des BSIG n.F. sind erfasst: besonders wichtige Einrichtungen und wichtige Einrichtungen im Sinne des § 28 BSIG. Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs; dieser Punkt ist in der Praxis erreicht, denn das BSI-Meldeportal ist seit dem 6. Januar 2026 geöffnet.
Eine Ausnahme ist Banken und Versicherern wichtig: Vollständig unter DORA regulierte Entitäten sind nach § 28 Abs. 6 BSIG von der Pflicht nach § 32 befreit, zusammen mit §§ 30, 31, 35, 36, 38 und 39. Ihre Meldepflichten laufen über den DORA-Rahmen. Für alle anderen entscheidet die Selbstbetroffenheitsprüfung nach § 28, und keine Behörde informiert ein Unternehmen darüber, dass es erfasst ist; der Beitrag NIS2 in Deutschland behandelt Betroffenheit und Registrierung.
Betreiber kritischer Anlagen tragen eine zusätzliche operative Pflicht: ihr registrierter Kontaktpunkt muss rund um die Uhr erreichbar sein, und Verstöße tragen eine eigene Bußgeldstufe. Das KRITIS-Regime steht neben dem BSIG; die Sektorlogik erklärt Was ist KRITIS: Sektoren, Schwellenwerte, Pflichten.
Was passiert bei versäumter Frist
Der sanktionierbare Mangel ist die Verspätung, nicht die Unvollständigkeit. Eine Meldung innerhalb von 72 Stunden darf begründet unvollständig sein; bestraft wird das zu späte Einreichen. Verstöße gegen § 32 liegen in der höchsten Bußgeldstufe des § 65 BSIG, derselben Stufe wie Verstöße gegen die zentralen Risikomanagementpflichten.
Die Rechnung arbeitet zudem gegen Zuspäter. Alle Fristen laufen ab Kenntniserlangung, nicht ab der ersten Meldung. Eine Früherkennungsmeldung am zweiten Tag lässt für die vollständige Meldung weniger als das volle Fenster, weil jene Uhr ab dem ursprünglichen Kenntniszeitpunkt weiterläuft. Das BSI sagt unmissverständlich, dass die Höchstfristen nicht ausgereizt werden sollten. Die praktische Konsequenz: der Meldeprozess muss vor dem Vorfall stehen, mit Vorlagen für jede Stufe und einem Entscheidungsweg, der unter Druck funktioniert.
Die Personalseite: wer die Uhr in Gang setzt
Jede Uhr des § 32 startet mit menschlicher Kenntnis. Das BSI liest die Fristen ab dem Zeitpunkt, an dem eine beschäftigte Person innerhalb ihrer Arbeitszeit Kenntnis erlangt. Jede Mitarbeiterin, die eine Anomalie bemerkt, kann die Kaskade damit rechtlich in Gang setzen. Eine Meldungskette, die an einer einzigen Spezialistin hängt, die zufällig im Urlaub ist, ist keine Meldungskette.
Drei Pflichten des BSIG setzen hier an. Grundlegende Schulungen und Sensibilisierungsmaßnahmen sind ein eigener Mindestmaßnahmenbereich (§ 30 Abs. 2 Nr. 7 BSIG): Die Belegschaft muss erkennen können, wie ein Vorfall aussieht. Incident-Handling ist ebenfalls Pflichtmaßnahmenbereich, damit Triage und Eskalation im dokumentierten Konzept stehen. Und § 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für die Sicherheit des Personals, also dort, wo die Meldungskette besetzt wird: Die Rollen, die Eskalation, Triage und die 24-Stunden-Entscheidung tragen, verdienen eine verhältnismäßige Überprüfung, bevor sie besetzt werden.
Das europäische Recht liefert die zitierfähige Grundlage. Erwägungsgrund 22 der Durchführungsverordnung (EU) 2024/2690 nennt als mögliche Zuverlässigkeitsprüfungen die Abfrage des Führungszeugnisses oder die Durchsicht der bisherigen beruflichen Leistung, soweit es die Aufgaben der Person erfordern. In der Sprache der Standards ordnet sich Screening unter A.6.1 der ISO/IEC 27001:2022 ein. Operativ ist das eine strukturierte, dokumentierte, überprüfbare Verifikation von Schlüsselpersonal aus Registerdaten, Sanktionslisten, Adverse Media und Berufsverlauf, mit einer menschlichen Endentscheidung. Indicium stellt diese Verifikationsklasse als Software-Reports mit datierten Quellen und menschlicher Endprüfung bereit. Was die Personalsicherheitspflicht des § 30 BSIG im Einzelnen verlangt, von der Einstellung über Rollenwechsel bis zu Dienstleistern, behandelt NIS2 Personalsicherheit: Die Pflichten nach § 30 BSIG.
Häufige Fragen
Was gehört in die Früherkennungsmeldung innerhalb von 24 Stunden?
Vor allem zwei Angaben: ob rechtswidrige oder böswillige Handlungen vermutet werden und ob grenzüberschreitende Auswirkungen möglich sind (§ 32 Abs. 1 Nr. 1 BSIG). Die Früherkennungsmeldung ist bewusst schlank, damit Geschwindigkeit vor Vollständigkeit geht.
Wann beginnt die 72-Stunden-Frist, ab Kenntnis oder ab der ersten Meldung?
Ab Kenntnis. Alle drei Fristen laufen ab dem Moment, in dem das Unternehmen Kenntnis erlangt, nicht ab der ersten Meldung. Eine verspätete Früherkennungsmeldung verkürzt das verbleibende Fenster für die vollständige Meldung.
Was gilt, wenn der Vorfall nach einem Monat noch andauert?
Ein Zwischenbericht ersetzt die Abschlussmeldung und beschreibt den aktuellen Stand (§ 32 Abs. 2 BSIG). Die Abschlussmeldung ist nach dem Abschluss des Vorfalls fällig. Das BSI kann zusätzlich Zwischenberichte zum Zwischenstand anfordern.
Ist eine begründet unvollständige Meldung nach 72 Stunden zulässig?
Ja. Die Meldung darf begründet unvollständig sein; der sanktionierbare Mangel ist nach § 32 BSIG die Verspätung. Verstöße liegen dennoch in der höchsten Bußgeldstufe des § 65 BSIG.
Dieser Artikel gibt allgemeine Informationen und ersetzt keine Rechtsberatung.