Erheblich oder nicht: Die Entscheidung, die in einer Stunde fallen muss
Nicht jeder Vorfall ist meldepflichtig, sondern nur ein erheblicher. Das Gesetz nennt zwei Kriterien, aber keine Zahlen. Wer die Übersetzung auf das eigene Unternehmen erst im Ernstfall vornimmt, verbraucht die 24-Stunden-Frist mit der Diskussion. Diese Seite liefert Kriterien, Beispiele, einen Entscheidungsbaum und die Schwellenwerte, die Sie vorab festlegen sollten.
- 2 Kriterien im Gesetz, beide auch für drohende Folgen
- 24 Stunden Frist ab Kenntnis, nicht ab Angriff
- 1 h Zielzeit für die Bewertung
- vorab Schwellenwerte festlegen, nicht im Vorfall
Was das Gesetz unter 'erheblich' versteht
Ein Sicherheitsvorfall ist erheblich, wenn eines von zwei Kriterien erfüllt ist. Beide erfassen nicht nur eingetretene, sondern auch mögliche Folgen.
- Kriterium 1
Schwerwiegende Betriebsstörung oder finanzieller Verlust
Der Vorfall hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht oder kann sie verursachen. Maßstab ist Ihre eigene Einrichtung: Welche Dienste stehen, wie lange, mit welchem Verlust.
- Kriterium 2
Erheblicher Schaden für andere
Der Vorfall hat andere natürliche oder juristische Personen erheblich materiell oder immateriell beeinträchtigt oder kann das. Maßstab sind Kunden, Empfänger Ihrer Dienste, Partner, Betroffene. Ein Datenabfluss erfüllt dieses Kriterium oft, auch wenn Ihr eigener Betrieb weiterläuft.
Das Wort 'kann' entscheidet: Sie müssen nicht warten, bis der Schaden eingetreten ist. Ein Angreifer mit Administratorrechten kann eine schwerwiegende Betriebsstörung verursachen, auch wenn er noch nichts verschlüsselt hat. Die Bewertung fragt nach dem realistischen Potenzial, nicht nach dem bisherigen Verlauf.
Typische Vorfälle und ihre Einordnung
Die Einordnung hängt immer vom Einzelfall und von Ihren Schwellenwerten ab. Die Tabelle zeigt, in welche Richtung die Bewertung in der Praxis meist geht.
| Szenario | Einordnung | Begründung |
|---|---|---|
| Ransomware verschlüsselt ERP und Produktionssteuerung, Fertigung steht | Erheblich | Schwerwiegende Betriebsstörung und finanzieller Verlust (Kriterium 1). Meist zusätzlich Lieferunfähigkeit gegenüber Kunden (Kriterium 2). |
| Abfluss von Kundendaten über eine kompromittierte Schnittstelle | Erheblich | Erhebliche Beeinträchtigung Dritter (Kriterium 2), auch wenn der eigene Betrieb weiterläuft. Parallel DSGVO-Meldung prüfen. |
| Administratorkonto kompromittiert, Ausmaß noch unklar | Im Zweifel erheblich | Das Potenzial für eine schwerwiegende Betriebsstörung besteht. Erstmeldung mit 'Verdacht' absetzen und in der 72-Stunden-Meldung präzisieren. |
| DDoS-Angriff, Kundenportal mehrere Stunden nicht erreichbar | Abhängig vom Schwellenwert | Entscheidend ist, ob das Portal ein Dienst ist, dessen Ausfall Ihre Kunden erheblich trifft, und ob die Dauer Ihre vorab definierte Schwelle überschreitet. |
| Vorfall beim IT-Dienstleister, Ihre Systeme sind betroffen | Erheblich, wenn Ihre Dienste gestört sind | Die Meldepflicht liegt bei Ihrer Einrichtung. Der Dienstleister muss Sie so früh informieren, dass Sie selbst bewerten und melden können. |
| Phishing-Welle an die Belegschaft, niemand hat geklickt | Nicht erheblich | Kein Zugriff, keine Störung, kein Schaden. Trotzdem dokumentieren: Häufen sich gezielte Versuche, kann das die Risikobewertung ändern. |
| Verlust eines verschlüsselten Notebooks | In der Regel nicht erheblich | Bei wirksamer Verschlüsselung weder Betriebsstörung noch Schaden für Dritte. Datenschutzrechtliche Bewertung gesondert vornehmen. |
Fünf Fragen bis zur Entscheidung
Ein Ablauf, der auf eine Seite passt und auch nachts funktioniert. Jede Frage hat drei mögliche Antworten: ja, nein, unklar. 'Unklar' führt nie zum Abbruch, sondern zur nächsten Frage.
-
Liegt ein Sicherheitsvorfall vor?
Ein Ereignis, das die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit Ihrer Systeme, Daten oder Dienste beeinträchtigt. Ein reiner Hardwaredefekt mit funktionierendem Ersatz ist keiner, ein unerklärlicher Ausfall mit Anzeichen für Fremdzugriff schon.
- Nein: kein Meldefall, Ereignis im Betriebslog vermerken
- Ja oder unklar: weiter zu Frage 2
-
Ist ein Dienst Ihrer Einrichtung betroffen oder bedroht?
Welche Prozesse, Standorte, Kunden hängen an den betroffenen Systemen? Hier hilft die Liste kritischer Prozesse aus Ihrer Notfallplanung: Steht dort, was ein Ausfall des Systems bedeutet, ist die Frage in Minuten beantwortet.
- Nein, nur ein isoliertes Einzelsystem ohne Dienstbezug: Frage 4 prüfen
- Ja oder unklar: weiter zu Frage 3
-
Kriterium 1: Betriebsstörung oder Verlust über der Schwelle?
Vergleich mit den vorab festgelegten Schwellenwerten: Ausfalldauer kritischer Prozesse, Zahl betroffener Standorte oder Systeme, geschätzter Verlust. Auch drohende Folgen zählen, wenn sie realistisch sind.
- Ja: erheblich, Erstmeldung vorbereiten
- Nein oder unklar: weiter zu Frage 4
-
Kriterium 2: Dritte erheblich beeinträchtigt?
Kunden, Empfänger Ihrer Dienste, Partner, betroffene Personen. Datenabfluss, Lieferunfähigkeit, kompromittierte Zugänge zu fremden Systemen. Sind personenbezogene Daten betroffen, parallel die DSGVO-Meldung prüfen.
- Ja: erheblich, Erstmeldung vorbereiten
- Nein: nicht erheblich, Bewertung protokollieren
- Unklar: weiter zu Frage 5
-
Bei 'unklar': Kann sich das Bild in den nächsten Stunden klären?
Wenn ja, Wiedervorlage nach spätestens vier Stunden mit festem Verantwortlichen. Wenn nein, Erstmeldung mit 'Verdacht' absetzen. Die 72-Stunden-Meldung ist für die Korrektur da; eine verpasste Frist lässt sich nicht korrigieren.
- Jede Entscheidung mit Uhrzeit, Person und Begründung protokollieren
Was Sie vorab festlegen sollten
Das Gesetz nennt keine Zahlen, Ihr Unternehmen muss sie nennen. Die Werte kommen nicht aus dem Bauch, sondern aus Notfallplanung, Vertragspflichten und Risikoanalyse.
| Dimension | Beispiel für eine Schwelle | Woher der Wert kommt |
|---|---|---|
| Ausfalldauer kritischer Prozesse | Ausfall länger als die im Notfallplan festgelegte maximal tolerierbare Ausfallzeit des Prozesses | Business-Impact-Analyse, Notfallplanung |
| Reichweite | Mehr als ein Standort, mehr als ein Kernsystem oder ein zentraler Dienst für alle Kunden betroffen | Systemlandschaft, Abhängigkeitsanalyse |
| Betroffene Empfänger | Dienste für Kunden nicht erbringbar, vertragliche Verfügbarkeiten oder Lieferzusagen verletzt | Kundenverträge, Service Level, Lieferverpflichtungen |
| Finanzieller Verlust | Geschätzter Schaden über einem Betrag, den die Geschäftsleitung als wesentlich festlegt | Risikoanalyse, Risikoakzeptanz der Geschäftsleitung |
| Datenabfluss | Abfluss oder unbefugter Zugriff auf personenbezogene, vertrauliche oder kundenbezogene Daten | Datenklassifizierung, Datenschutz |
| Kontrollverlust | Kompromittierte Administratorrechte, Zugriff auf zentrale Identitäts- oder Backup-Systeme | Berechtigungskonzept, Kronjuwelen-Analyse |
Beschlusssache: Die Schwellenwerte gehören von der Geschäftsleitung gebilligt, denn sie entscheiden über Meldung oder Nichtmeldung. Einmal jährlich und nach jedem erheblichen Vorfall überprüfen.
Jede Bewertung wird protokolliert
Die Entscheidung 'nicht erheblich' ist so wichtig wie die Meldung selbst. Ohne Protokoll ist sie im Nachhinein nicht zu verteidigen.
-
Bewertungsprotokoll
Uhrzeit der Kenntnis, Sachverhalt, Antworten auf die fünf Fragen, herangezogene Schwellenwerte, Ergebnis, bewertende und bestätigende Person. Eine Seite, in der Vorfallsakte abgelegt.
-
Wiedervorlage bei 'nicht erheblich'
Vorfälle entwickeln sich. Was um 9 Uhr ein Einzelsystem war, ist um 14 Uhr ein Netzwerk. Jede Nichtmeldung bekommt einen festen Termin zur Neubewertung und eine verantwortliche Person.
-
Kontinuität zur Erstmeldung
Wird der Vorfall als erheblich bewertet, ist das Protokoll die Grundlage der Erstmeldung. Sachverhalt, Verdacht und grenzüberschreitende Auswirkungen stehen dort schon. Was in die Erstmeldung gehört, erklärt die nächste Seite.
Zur Erheblichkeit
Gilt die Meldepflicht nur für Vorfälle, die schon Schaden verursacht haben?
Nein. Beide Kriterien erfassen ausdrücklich auch Vorfälle, die eine schwerwiegende Betriebsstörung, einen finanziellen Verlust oder einen erheblichen Schaden für andere verursachen können. Ein kompromittiertes Administratorkonto ist deshalb schon dann ein Kandidat, wenn noch nichts ausgefallen ist, aber das Potenzial dafür besteht.
Ist ein abgewehrter Angriff ein erheblicher Sicherheitsvorfall?
In der Regel nicht. Wer einen Angriffsversuch erkennt und abwehrt, bevor Dienste beeinträchtigt oder Daten kompromittiert wurden, hat meist keinen erheblichen Vorfall. Dokumentieren Sie die Bewertung trotzdem und prüfen Sie, ob wirklich alles abgewehrt wurde. Erweist sich später, dass der Angreifer doch im Netz war, beginnt die Frist mit dieser Erkenntnis.
Wer trifft die Entscheidung, ob ein Vorfall erheblich ist?
Das legen Sie vorab fest. Bewährt hat sich: Der Meldeverantwortliche bewertet anhand der Kriterien und Schwellenwerte, ein Mitglied der Geschäftsleitung bestätigt. Beide müssen mit Vertretung erreichbar sein. Was nicht funktioniert, ist eine Bewertung im Konsens einer zehnköpfigen Runde am nächsten Werktag.
Unser Dienstleister hatte den Vorfall. Ist das unser erheblicher Sicherheitsvorfall?
Wenn der Vorfall beim Dienstleister Ihre Dienste schwerwiegend stört oder Ihre Kunden erheblich beeinträchtigen kann, ja. Die Meldepflicht bleibt bei Ihrer Einrichtung. Deshalb muss der Dienstleister vertraglich verpflichtet sein, Sie binnen weniger Stunden so zu informieren, dass Sie selbst bewerten und melden können.
Wir haben einen Vorfall als nicht erheblich eingestuft. Was, wenn das BSI das anders sieht?
Dann zählt Ihre Dokumentation: Wer hat wann anhand welcher Kriterien wie entschieden? Eine nachvollziehbare, vorab festgelegte Bewertungslogik ist die beste Verteidigung gegen den Vorwurf einer unterlassenen Meldung. Eine Einstufung ohne Protokoll ist im Nachhinein kaum zu verteidigen.
Vertiefung zur Meldepflicht
-
Inhalte der Erstmeldung
Die drei Angaben, die binnen 24 Stunden an das BSI gehen, was Sie weglassen dürfen und eine Checkliste vor dem Absenden.
-
DSGVO und NIS2 parallel
Art. 33 und 34 DSGVO neben § 32 BSIG: zwei Behörden, unterschiedliche Fristen, ein gemeinsamer Prozess.
-
Meldepflicht im Überblick
Die drei Stufen, die Meldewege und unser Angebot für einen Meldeprozess in vier Wochen auf der Startseite.
Marcel Rieger
Schwellenwerte für Ihr Unternehmen festlegen
Im kostenlosen Erstgespräch übersetzen wir die zwei Kriterien auf Ihre kritischen Prozesse und klären, welche Werte Ihre Geschäftsleitung beschließen sollte.
- Entscheidungsbaum auf einer Seite
- Schwellenwerte aus Notfallplanung und Verträgen
- Bewertungsprotokoll als Vorlage
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen