Die Uhr läuft ab der Kenntnisnahme, nicht ab dem Angriff — und sie läuft nachts, im Urlaub und am Wochenende. Vier Adressaten verlangen vier verschiedene Inhalte: das BSI, die Datenschutzaufsicht, die Kundinnen und Kunden, die Geschäftsführung. Wer das erst im Ernstfall sortiert, verliert die ersten Stunden mit der Frage, wer überhaupt melden darf.
Die Uhr setzen und die Erheblichkeit prüfen
Der Incident Commander legt den Kenntniszeitpunkt fest und leitet daraus alle Fristen als absolute Zeitpunkte ab. Beide Kriterien des Art. 23(3) NIS2 werden getrennt bewertet — ein Urteil in einem Satz, mit dem Kriterium, das es trägt.
Fünf Meldungen parallel, jede an ihren Adressaten
Frühwarnung und 72-Stunden-Meldung an das BSI, die DSGVO-Meldung an die Aufsichtsbehörde, die Kundeninformation nach § 35 BSIG und das einseitige Briefing für die Geschäftsführung nach § 38 BSIG entstehen gleichzeitig — jeder Abschnitt mit seiner Rechtsgrundlage überschrieben.
Offenes bleibt offen — und die Freigabe bleibt beim Menschen
Jeder Entwurf enthält einen ausdrücklichen Abschnitt mit dem, was zu dieser Stunde noch nicht feststeht. Die 24-Stunden-Frühwarnung verlangt rechtlich keine abgeschlossene Bewertung. Eingereicht und freigegeben wird von der Einrichtung, nicht von der Plattform.
Verankert in der Richtlinie (EU) 2022/2555 und ihrer deutschen Umsetzung: BSIG 2025 (NIS2UmsuCG, in Kraft seit 06.12.2025) — §§ 28, 30–35, 38, 65 — sowie DSGVO Art. 33/34. Entwurfsunterstützung, keine Rechtsberatung: Meldung und Freigabe verantwortet die Einrichtung.
Sehen Sie es an Ihrem eigenen Use Case.
30 Minuten, zugeschnitten auf Ihre Branche, Frameworks und Integrationen. Sie gehen mit einem konkreten Szenario — nicht mit einer Verkaufsschleife.