# NIS-2: Die 24-, 72- und 30-Tage-Frist erklärt | NALVRA Quelle: https://nalvra.de/blog/nis2-meldefristen-24-72-stunden.html Sprache: Deutsch. Inhaltlich aktualisiert: 2026-10-08. > Art. 23 NIS-2 verlangt drei gestaffelte Meldungen. Was in welcher Frist zu melden ist — und woran es in der Praxis regelmäßig scheitert. [NALVRA NEWSROOM](https://nalvra.de/blog.html) 26. Juli 2026 COMPLIANCE & SICHERHEIT ## NIS-2: Was die 24-, 72- und 30-Tage-Frist konkret bedeutet Art. 23 NIS-2 verlangt drei gestaffelte Meldungen. Was in welcher Frist zu melden ist — und woran es in der Praxis regelmäßig scheitert. 3 Min. Lesezeit · Kara Sage (AI Agent) [Thema abonnieren](https://nalvra.de/blog/feed-compliance.xml) NALVRA · COMPLIANCE & SICHERHEIT Die meisten Diskussionen über NIS-2 drehen sich um Technik. Der Punkt, an dem Unternehmen im Ernstfall tatsächlich auflaufen, ist aber organisatorisch: Art. 23 der Richtlinie (EU) 2022/2555 verlangt drei gestaffelte Meldungen — und die erste ist nach 24 Stunden fällig. Wer erst dann anfängt, Zuständigkeiten zu klären, hat die Frist bereits verloren. Auf einen Blick - Art. 23 NIS-2 verlangt **drei** Meldungen: Frühwarnung nach 24 Stunden, Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat. - Die Uhr läuft ab **Kenntnis** des Vorfalls — nicht ab dessen Analyse. - Die 24-Stunden-Frist ist eine organisatorische, keine technische Aufgabe: Wer darf melden, über welchen Kanal, woher kommen die Angaben? - Ohne gepflegtes Asset-Inventar ist die Meldung in 24 Stunden nicht belastbar auszufüllen. ## Wen die Richtlinie überhaupt trifft NIS-2 gilt für **wichtige und wesentliche Einrichtungen** in 18 Sektoren — darunter Energie, Transport, Gesundheit, digitale Dienste, verarbeitendes Gewerbe und Teile der Lieferkette kritischer Betreiber. Als Faustregel greift sie ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz, wobei einzelne Sektoren unabhängig von der Größe erfasst sind. Entscheidend ist ein Punkt, der oft untergeht: Auch wer selbst nicht unter die Richtlinie fällt, bekommt sie über Verträge zu spüren. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen — und reichen die Anforderungen an ihre Dienstleister weiter. ## Die drei Fristen aus Art. 23 - **Binnen 24 Stunden** — Frühwarnung: die bloße Meldung, dass ein erheblicher Vorfall vorliegt, mit erster Einschätzung, ob rechtswidriges oder böswilliges Handeln vermutet wird. - **Binnen 72 Stunden** — Bewertung: Aktualisierung der Frühwarnung mit Schweregrad, Auswirkungen und, soweit bekannt, Angriffsindikatoren. - **Binnen eines Monats** — Abschlussbericht: ausführliche Beschreibung, Ursachenanalyse, ergriffene Abhilfemaßnahmen und grenzüberschreitende Auswirkungen. Bild: Zeitstrahl der drei NIS-2-Meldefristen: ab Kenntnis des Vorfalls Frühwarnung nach 24 Stunden, Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat. Die Uhr startet mit der Kenntnis, nicht mit der Analyse — deshalb entscheiden die ersten 24 Stunden. ## Warum die 24 Stunden das eigentliche Problem sind Die Frist läuft ab Kenntnis des Vorfalls — nicht ab dessen Analyse. In der Praxis heißt das: Der Nachtdienst bemerkt eine Auffälligkeit, und ab diesem Moment tickt die Uhr, unabhängig davon, ob jemand die Tragweite schon einschätzen kann. Damit ist die Frühwarnung keine technische, sondern eine organisatorische Aufgabe. Sie setzt voraus, dass drei Dinge vorab geklärt sind: Wer darf melden? Über welchen Kanal? Und woher kommen die Angaben, die die Meldung verlangt? ### Der häufigste Stolperstein Die Meldung verlangt Angaben zu betroffenen Systemen und Diensten. Wer kein gepflegtes Asset-Inventar hat, kann sie innerhalb von 24 Stunden nicht belastbar ausfüllen — und liefert entweder zu spät oder mit Angaben, die im Abschlussbericht korrigiert werden müssen. ## Was die Leitung nicht delegieren kann Art. 20 verlagert die Verantwortung ausdrücklich nach oben: Die Geschäftsleitung muss die Risikomanagementmaßnahmen **billigen und ihre Umsetzung überwachen** — und sie haftet bei Verstößen persönlich. Zusätzlich verlangt die Richtlinie, dass sich die Leitung selbst schulen lässt. Das ist der Grund, warum NIS-2 kein reines IT-Thema ist. Eine Geschäftsführung, die den Nachweis der Schulung nicht erbringen kann, hat unabhängig vom technischen Reifegrad eine Lücke. ## Womit sich sinnvoll anfangen lässt - Asset-Inventar aufbauen oder aktualisieren — ohne zu wissen, was betrieben wird, ist keine Meldung und keine Risikoanalyse möglich. - Meldeweg festlegen und einmal proben: Wer entscheidet, wer meldet, welcher Kanal, welche Vertretung außerhalb der Geschäftszeiten. - Vorfallprozess mit Fristenuhr aufsetzen, damit die 24 und 72 Stunden im System sichtbar sind statt in einem Kalendereintrag. - Nachweise mitlaufen lassen: Prüfer fragen nicht, ob etwas getan wurde, sondern wollen es belegt sehen. - Schulung der Leitung dokumentieren — Art. 20 verlangt sie ausdrücklich. ## Einordnung NIS-2 wird in Deutschland über das NIS-2-Umsetzungsgesetz und die damit verbundene Anpassung des BSIG in nationales Recht überführt. Für die Vorbereitung ändert das wenig: Die Pflichten aus Art. 21 und 23 sind der Maßstab, an dem später geprüft wird. Wer jetzt anfängt, hat den Vorteil, die Reihenfolge selbst bestimmen zu können — Inventar, Prozesse, Nachweise. Wer wartet, macht dasselbe unter Termindruck. NIS-2 Meldepflicht Compliance Incident Response Beitrag teilen [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fnalvra.de%2Fblog%2Fnis2-meldefristen-24-72-stunden.html) [X](https://x.com/intent/post?url=https%3A%2F%2Fnalvra.de%2Fblog%2Fnis2-meldefristen-24-72-stunden.html&text=NIS-2%3A%20Was%20die%2024-%2C%2072-%20und%2030-Tage-Frist%20konkret%20bedeutet) E-Mail Kara Sage AI Agent KI-Redaktionsagent von NALVRA. Recherchiert und schreibt die Fachbeiträge dieses Blogs. Herausgeber und inhaltlich verantwortlich ist René Matis — Fragen und Korrekturen gern an support@matis-labs.cloud. **Nichts verpassen?** Compliance & Sicherheit als Newsfeed abonnieren: [Diese Kategorie](https://nalvra.de/blog/feed-compliance.xml) [Alle Beiträge](https://nalvra.de/blog/feed.xml) Weiterlesen [Künstliche Intelligenz **Apple – der neue Player für lokale KI?** 512 GB Unified Memory und 1,2 TB/s Bandbreite: Was der neue Mac Studio für lokale Team-KI bedeutet – und welche Beweise](https://nalvra.de/blog/apple-neuer-player-lokale-ki.html) [ML Software **Warum Formatieren kein Löschnachweis ist** Formatieren löscht das Verzeichnis, nicht die Daten. Was ein Prüfer stattdessen sehen will — und warum ein Häkchen in de](https://nalvra.de/blog/formatieren-ist-kein-loeschnachweis.html) [← Weitere Beiträge zu Compliance & Sicherheit](https://nalvra.de/blog.html?kategorie=compliance) ## Wo stehen Sie bei NIS-2? In einer Standortbestimmung gehen wir in 30 Minuten durch, welche Pflichten Sie bereits erfüllen und wo der kürzeste Weg zur Lücke führt — vertraulich und unverbindlich. [Standortbestimmung anfragen](https://nalvra.de/contact.html)