Ein einziger Cyberangriff kann heute mehrere gesetzliche Meldepflichten zugleich auslösen. Anhand eines fiktiven Beispiels zeigen wir, wie DSGVO, NIS-2, CRA und DORA zusammenspielen und wie Unternehmen sie bewältigen, ohne dass ihre IT ständig in Bereitschaft sein muss.
Angreifer haben eine bemerkenswerte Vorliebe für Freitagnachmittage. Das dürfte weniger mit ihrer eigenen Wochenendplanung zu tun haben als mit der ihrer Opfer. So ergeht es auch der Hauptperson in unserem Beispiel: Jan ist IT-Leiter der fiktiven Maschinenbau GmbH. Es ist Freitag, 16:47 Uhr, sein Rechner ist bereits im Begriff herunterzufahren, und am Samstag hat sein Sohn ein wichtiges Fußballturnier. Dann klingelt das Telefon. In der Fertigung stehen die Anlagen still, und auf den Bildschirmen der Leitstände erscheint eine Lösegeldforderung.
Wer in der IT Verantwortung trägt, kennt diesen Moment – zumindest aus Albträumen. Neben der technischen Krise stellt sich sofort die Frage, wer jetzt was, an wen und bis wann melden muss. Die Zahl der Stellen, die über einen Cyberangriff gern informiert werden möchten, ist in den vergangenen Jahren beachtlich gewachsen.
Wozu so viele Meldungen?
Auf den ersten Blick wirkt das Nebeneinander der Meldepflichten wie ein Paradebeispiel europäischer Regulierungsfreude. Bei näherem Hinsehen verfolgt jede Pflicht jedoch einen eigenen, durchaus nachvollziehbaren Zweck.
Die Datenschutz-Grundverordnung (DSGVO) schützt die betroffenen Menschen. Neben einer Meldung an die Datenschutzaufsicht soll eine Mitteilung an die Betroffenen selbst (sofern erforderlich) es ihnen ermöglichen, sich zu schützen, etwa durch geänderte Passwörter oder einen wachsamen Blick auf das eigene Konto (Art. 33, 34 DSGVO).
Die NIS-2-Richtlinie, in Deutschland umgesetzt im BSI-Gesetz (BSIG), schützt die Funktionsfähigkeit wichtiger Dienste und Branchen. Meldungen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) fließen in ein Lagebild ein, aus dem das BSI andere Unternehmen warnt, bevor dieselben Angreifer bei ihnen anklopfen (§ 32 BSIG).
Der Cyber Resilience Act (CRA) schützt die Nutzer digitaler Produkte. Wird eine Schwachstelle in einem Produkt aktiv ausgenutzt, sind womöglich Tausende Geräte bei Kunden betroffen. Die Meldung an das BSI und die EU-Agentur für Cybersicherheit (ENISA) soll dafür sorgen, dass Warnungen und Updates schnell dort ankommen, wo sie gebraucht werden (Art. 14 CRA).
Der Digital Operational Resilience Act (DORA) schützt schließlich die Stabilität des Finanzsystems, in dem der Ausfall eines Instituts schnell andere mitreißen kann (Art. 19 DORA).
Zusammen ergeben die Pflichten ein Frühwarnsystem, das umso besser funktioniert, je mehr Unternehmen sich daran beteiligen. Wer meldet, hilft also auch dem nächsten potenziellen Opfer. Und das kann beim nächsten Mal das eigene Unternehmen sein.
Jans Arbeitgeber beschäftigt 280 Mitarbeitende und baut vernetzte Steuerungen für Verpackungsanlagen. Damit unterliegt das Unternehmen der DSGVO, als Maschinenbauer ab 50 Beschäftigten als „wichtige Einrichtung“ dem BSIG und als Hersteller vernetzter Produkte dem CRA, dessen Meldepflichten seit dem 11.09.2026 gelten. Der Data Act, die EU-Verordnung über den Zugang zu Daten vernetzter Geräte, nimmt solche Hersteller zwar ebenfalls in die Pflicht, enthält aber keine Meldepflicht für Sicherheitsvorfälle. DORA betrifft Jan nicht unmittelbar, da die Verordnung nur für Banken, Versicherer und andere Finanzunternehmen gilt.
Ein Angriff, zwei Fristen
Gegen 17:30 Uhr am Freitag hat sich Jan schon ein erstes Bild gemacht. Ein Verschlüsselungstrojaner hat die Server der Fertigung und den Dateiserver der Personalabteilung erfasst. Die Produktion wird voraussichtlich mehrere Tage stillstehen. Die Backups sind intakt, Hinweise auf einen Datenabfluss gibt es bislang nicht.
Mit Blick auf NIS-2 ist die Lage damit recht eindeutig. Ein mehrtägiger Produktionsausfall ist ein erheblicher Sicherheitsvorfall, weil er eine schwerwiegende Betriebsstörung verursacht. Bis Samstag, 17:30 Uhr, muss daher eine erste Meldung beim BSI eingehen, die sog. Frühwarnung. Binnen 72 Stunden folgt eine ausführlichere Meldung, nach einem Monat eine Abschlussmeldung. Auf das Ende der IT-Forensik muss Jan dafür nicht warten. Das BSI ist seinerseits verpflichtet, binnen 24 Stunden auf die Frühwarnung zu reagieren, und gibt auf Wunsch Hinweise zur Eindämmung (Art. 23 Abs. 5 NIS-2-Richtlinie).
Beim Datenschutz ist die Lage am Freitag noch offen. Auch die Verschlüsselung von Personaldaten ist eine Datenschutzverletzung, da die DSGVO ebenso die Verfügbarkeit von Daten schützt. Meldepflichtig ist sie aber nur, wenn sie voraussichtlich zu einem Risiko für die Betroffenen führt. Nach den Leitlinien des Europäischen Datenschutzausschusses (EDSA) kann eine Meldung unterbleiben, wenn die Daten rasch aus einem Backup wiederhergestellt werden und nicht abgeflossen sind. Jan hält diese Einschätzung schriftlich fest, wie es Art. 33 Abs. 5 DSGVO verlangt.
Am Montagmorgen ändert sich das Bild. Die hinzugezogenen IT-Forensiker stellen fest, dass die Angreifer vor der Verschlüsselung rund 40 Gigabyte vom Personalserver kopiert haben, darunter Gehaltsabrechnungen und Krankmeldungen. Mit dieser Erkenntnis beginnt die zweite Frist und die Datenschutzaufsicht ist nun binnen 72 Stunden zu informieren. Da Gesundheits- und Finanzdaten betroffen sind, liegt ein hohes Risiko nahe, sodass auch die Beschäftigten benachrichtigt werden müssen (Art. 34 DSGVO).
Die Fristen beginnen also nicht zwingend gleichzeitig, weil sie an unterschiedliche Ereignisse anknüpfen. Beide Meldungen sollten zudem auf demselben Faktenstand beruhen, denn Behörden tauschen sich aus, und abweichende Angaben werfen Fragen auf. Der CRA bleibt hier außen vor, da die eigene IT angegriffen wurde und nicht ein Produkt des Unternehmens.
Nicht jede Schwachstelle ist ein Meldefall
Drei Wochen später läuft der Betrieb wieder, als an einem Dienstag eine E-Mail eintrifft. Eine Sicherheitsforscherin hat in der Firmware der hauseigenen Steuerung eine Schwachstelle gefunden, über die sich Anlagen aus der Ferne manipulieren ließen. Sie bittet um eine abgestimmte Veröffentlichung in 90 Tagen.
Jan denkt sofort an die 24-Stunden-Frist des CRA. Eine Meldepflicht besteht hier jedoch nicht. Melden müssen Hersteller nur aktiv ausgenutzte Schwachstellen, also solche, für die verlässliche Hinweise vorliegen, dass ein böswilliger Akteur sie tatsächlich ausgenutzt hat (Art. 3 Nr. 42 CRA). Eine Schwachstelle, die eine Forscherin in guter Absicht entdeckt und meldet, fällt nach Erwägungsgrund 68 nicht darunter. Jan kann sich also darauf konzentrieren, die Lücke zu schließen und ein Update vorzubereiten.
Zwei Tage später ruft ein Kunde an, ein Lebensmittelhersteller. An einer seiner Verpackungsanlagen wurden Parameter von außen verändert, und die Spuren führen genau zu dieser Schwachstelle. Nun liegt ein verlässlicher Hinweis auf eine Ausnutzung vor, und die CRA-Frist beginnt. Binnen 24 Stunden ist eine Frühwarnung über die zentrale Meldeplattform abzugeben, die sie zugleich dem BSI und der ENISA zuleitet. Es folgen eine Meldung binnen 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem ein Update verfügbar ist. Außerdem muss das Unternehmen seine Kunden über die Schwachstelle und mögliche Schutzmaßnahmen informieren.
Eine eigene NIS-2-Meldung muss Jan dagegen nicht abgeben, da seine eigenen Systeme störungsfrei laufen. Auch die DSGVO bleibt außen vor, weil Steuerungsparameter keine personenbezogenen Daten sind. Der Kunde gehört als Lebensmittelhersteller allerdings selbst zu den NIS-2-Sektoren und muss den Vorfall ggf. an das BSI melden. Ein Angriff kann so in zwei Unternehmen zwei verschiedene Meldungen auslösen, die sinnvollerweise aufeinander abgestimmt werden.
Die Meldepflichten im Überblick
Die folgende Übersicht fasst die wichtigsten Eckdaten der vier Regelwerke zusammen.
| DSGVO | NIS-2 (BSIG) | CRA | DORA | |
|---|---|---|---|---|
| Wer? | jedes Unternehmen | wichtige und besonders wichtige Einrichtungen | Hersteller digitaler Produkte | Banken, Versicherer und andere Finanzunternehmen |
| Was? | Datenschutzverletzung mit Risiko | erheblicher Sicherheitsvorfall | aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall im Produkt | schwerwiegender IKT-Vorfall |
| Fristbeginn | Kenntnis | Kenntnis | Kenntnis | Einstufung als schwerwiegend |
| Erste Meldung | möglichst binnen 72 Stunden | Frühwarnung binnen 24 Stunden | Frühwarnung binnen 24 Stunden | binnen vier Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis |
| Weitere Meldungen | keine | nach 72 Stunden, Abschlussbericht nach einem Monat | nach 72 Stunden, Abschlussbericht 14 Tage nach Update bzw. nach einem Monat | nach 72 Stunden, Abschlussbericht nach einem Monat |
| An wen? | Datenschutzaufsicht | BSI | BSI und ENISA über zentrale Plattform | BaFin |
| Wer ist noch zu informieren? | Betroffene bei hohem Risiko | Empfänger der Dienste, soweit erforderlich | Nutzer des Produkts | Kunden, wenn ihre finanziellen Interessen betroffen sind |
Tabelle: Eigene Darstellung
Für Finanzunternehmen geht DORA als Spezialregelung den NIS-2-Meldepflichten vor. Ihre IT-Dienstleister spüren die kurzen DORA-Fristen mittelbar, denn wer binnen vier Stunden melden muss, verlangt von seinen Dienstleistern eine noch schnellere Information.
Eine Übersicht über die geltenden Pflichten kann in der Praxis schnell veraltet sein, denn die Zahl der Regelwerke wächst weiter. Wir arbeiten derzeit an einem Angebot, das Unternehmen dabei unterstützt, diesen Überblick dauerhaft aktuell zu halten. Mehr dazu in Kürze.
Muss die IT jetzt immer erreichbar sein?
Kurze Fristen werfen in der Praxis eine Frage auf, die in vielen gewachsenen Unternehmen für Unruhe sorgt. Muss die IT-Leitung – im Zweifel die einzige Person, die die Systeme wirklich kennt – nun am Wochenende und im Urlaub ständig erreichbar sein?
Rechtlich lautet die Antwort nein. Für NIS-2 hat das BSI klargestellt, dass die Frist zu dem Zeitpunkt beginnt, zu dem Mitarbeitende der Einrichtung innerhalb der Arbeitszeit von dem Vorfall Kenntnis erlangen. Eine Warnmeldung, die am Samstag ungelesen im Postfach liegt, setzt die Uhr also noch nicht in Gang. Aus dem Erholungsurlaub dürfen Beschäftigte nach ständiger Rechtsprechung des Bundesarbeitsgerichts (BAG) ohnehin nicht zurückgerufen werden, selbst wenn dies vertraglich vereinbart ist (BAG, Urteil vom 20.06.2000, Az.: 9 AZR 405/99; bestätigt durch BAG, Urteil vom 14.03.2006, Az.: 9 AZR 11/05).
Faktisch ist das Problem damit allerdings nicht gelöst. Wer Vorfälle bewusst erst am Montag zur Kenntnis nimmt, riskiert größere Schäden und den Vorwurf mangelhafter Organisation. Das BSI erwartet außerdem, dass Unternehmen geeignete Ansprechpersonen auch außerhalb der Geschäftszeiten alarmieren können. Und für DSGVO und CRA fehlt eine vergleichbare Klarstellung zum Fristbeginn.
Die Lösung liegt deshalb nicht in der Dauererreichbarkeit einer einzelnen Person, sondern in der Organisation. Bewährt hat sich eine geregelte Rufbereitschaft, die sich mehrere geschulte Personen teilen und die mit dem Betriebsrat (sofern vorhanden) abgestimmt ist. Dabei ist zu beachten, dass Rufbereitschaft nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) als Arbeitszeit gilt, wenn kurze Reaktionszeiten oder häufige Einsätze die Freizeit erheblich einschränken (EuGH, Urteile vom 09.03.2021, C-344/19 und C-580/19). Kleinere Unternehmen können stattdessen einen externen Dienstleister einbinden, der rund um die Uhr erreichbar ist. Wichtig ist zudem, dass die Befugnis zur Meldung nicht an einer einzigen Person hängt. Da die Frühwarnung nur eine erste Lageeinschätzung verlangt, kann sie auch eine geschulte Vertretung anhand einer Vorlage abgeben. So kann Jan beim nächsten Fußballspiel sein Telefon guten Gewissens in der Tasche lassen.
Gut vorbereitet ist halb gemeldet
Ein funktionierender Meldeprozess entsteht nicht erst im Ernstfall. Bewährt haben sich einige wenige Bausteine:
- eine Übersicht der geltenden Meldepflichten mit Fristen, Schwellen und Empfängern sowie eine Prüfroutine, die bei jedem Vorfall und bei neuen Erkenntnissen alle Pflichten parallel abfragt,
- Vorlagen mit einem gemeinsamen Faktenkern, damit alle Meldungen auf demselben Stand beruhen,
- Verträge, die Dienstleister zu einer umgehenden Information verpflichten,
- regelmäßige Übungen, in denen die 24-Stunden-Frist realistisch getestet wird.
Diese Vorbereitung zahlt sich mehrfach aus. Bei der Bemessung von Bußgeldern berücksichtigen Aufsichtsbehörden ausdrücklich, ob ein Unternehmen den Verstoß selbst mitgeteilt hat (Art. 83 Abs. 2 lit. h DSGVO). Eine pünktliche und stimmige Meldung zeigt Behörden wie Kunden, dass das Unternehmen die Lage im Griff hat. Und die Geschäftsleitung, die unter NIS-2 die Risikomanagementmaßnahmen billigen und überwachen muss (§ 38 BSIG), kann mit einem geübten Prozess belegen, dass sie diese Pflicht ernst nimmt. Mehr zur Rolle der Geschäftsleitung unter NIS-2 folgt in Kürze in einem eigenen Beitrag.
Brüssel räumt auf
Auch der europäische Gesetzgeber hat erkannt, dass mehrere Meldewege für denselben Vorfall niemandem helfen. Der CRA geht bereits mit gutem Beispiel voran, da eine einzige Meldung über die zentrale Plattform zugleich das BSI und die ENISA erreicht. Der von der Kommission vorgeschlagene Digital Omnibus will dieses Prinzip mit einer zentralen Meldestelle bei der ENISA auf DSGVO, NIS-2 und DORA ausweiten. Datenschutzverletzungen müssten danach zudem nur noch bei hohem Risiko und binnen 96 Stunden gemeldet werden. Rat und Parlament verhandeln darüber noch – die Richtung verspricht aber weniger Formulare bei gleichbleibendem Schutz.
Fazit
Die Meldepflichten aus DSGVO, NIS-2, CRA und DORA folgen unterschiedlichen Schutzzielen und deshalb unterschiedlichen Regeln. In der Summe bilden sie aber ein europäisches Frühwarnsystem, von dem jedes Unternehmen selbst profitiert, sei es durch Warnungen vor neuen Angriffswellen, durch die Unterstützung der Behörden oder durch das Vertrauen der eigenen Kunden. Wer die Unterschiede kennt und seinen Prozess in ruhigen Zeiten aufsetzt, behält auch dann den Überblick, wenn mehrere Fristen gleichzeitig laufen. Und IT-Verantwortliche können sich am Wochenende wieder Dingen widmen, bei denen die einzige Frist der Anpfiff ist.
Wenn Sie das Thema interessiert oder betrifft, laden wir Sie herzlich dazu ein, mit unserem Compliance-Team Kontakt aufzunehmen. Wir nehmen uns Zeit für die individuelle Situation Ihrer Organisation und entwickeln ein maßgeschneidertes Angebot für Sie:
dsn-group.de/compliance
Keine Kommentare