Meldepflicht bei IT-Sicherheitsvorfällen (§ 32 BSIG)

Was die Meldepflicht bedeutet

Die Meldepflicht nach Paragraf 32 BSIG verpflichtet Einrichtungen, die als wesentliche oder wichtige Einrichtung im Sinne des NIS2-Umsetzungsgesetzes gelten, einen erheblichen Sicherheitsvorfall unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik zu melden. Zweck der Regelung ist es, dem BSI ein aktuelles Lagebild zu verschaffen und der betroffenen Einrichtung im Ernstfall gezielte Unterstützung zu ermöglichen.

Als erheblich gilt ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen, finanzielle Verluste oder Schäden bei Dritten verursacht hat oder verursachen kann. Die genaue Einstufung erfolgt im Einzelfall und hängt unter anderem von Ausmaß, Dauer und der Betroffenheit kritischer Funktionen ab, eine Erheblichkeitsschwelle in absoluten Zahlen kennt das Gesetz nicht.

Die drei Meldestufen im Detail

Die frühe Erstmeldung ist spätestens 24 Stunden nach Kenntniserlangung fällig. Sie gibt an, ob der Verdacht besteht, dass der Vorfall auf eine rechtswidrige oder böswillige Handlung zurückgeht, und ob grenzüberschreitende Auswirkungen möglich sind. Eine vollständige Analyse wird zu diesem Zeitpunkt ausdrücklich nicht erwartet.

Innerhalb von 72 Stunden folgt die Folgemeldung mit einer ersten Bewertung des Schweregrads und der Auswirkungen sowie, soweit bereits vorhanden, mit Kompromittierungsindikatoren. Auf Anfrage des BSI kann zusätzlich eine Zwischenmeldung erforderlich werden, solange der Vorfall noch nicht abgeschlossen ist.

Spätestens einen Monat nach der Folgemeldung ist ein Abschlussbericht fällig, mit einer ausführlichen Beschreibung des Vorfalls, seiner Ursache und der ergriffenen Maßnahmen. Dauert der Vorfall zu diesem Zeitpunkt noch an, tritt zunächst ein Fortschrittsbericht an die Stelle des Abschlussberichts.

Wer melden muss

Meldepflichtig sind alle Einrichtungen, die nach Paragraf 28 BSIG als wesentliche oder wichtige Einrichtung gelten, also insbesondere Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem der 18 von NIS2 erfassten Sektoren. Betreiber kritischer Anlagen, etwa große Krankenhäuser, gelten unabhängig von diesen Schwellenwerten automatisch als meldepflichtig.

Verantwortlich für die Meldung ist die Einrichtung selbst, operativ häufig über eine IT-Sicherheitsbeauftragte oder einen Chief Information Security Officer umgesetzt. Die Verantwortung für einen funktionierenden Meldeprozess lässt sich davon aber nicht vollständig trennen: Die Geschäftsleitung muss die zugrunde liegenden Risikomanagementmaßnahmen nach Paragraf 30 BSIG billigen und ihre Umsetzung überwachen.

Verhältnis zur Meldepflicht nach der DSGVO

Die Meldepflicht nach Paragraf 32 BSIG und die Meldepflicht nach Artikel 33 DSGVO bestehen unabhängig nebeneinander und verfolgen unterschiedliche Schutzzwecke. Paragraf 32 BSIG betrifft die Verfügbarkeit, Integrität und Vertraulichkeit von Netz- und Informationssystemen und geht binnen 24 Stunden ans BSI. Artikel 33 DSGVO betrifft ausschließlich personenbezogene Daten und geht binnen 72 Stunden an die zuständige Landesdatenschutzbehörde.

Sind bei einem Sicherheitsvorfall zugleich Patientendaten betroffen, müssen beide Meldewege parallel bedient werden. Ein vorbereiteter Incident-Response-Plan sollte deshalb von Anfang an beide Fristenregime gemeinsam abbilden, statt sie erst im Ernstfall unter Zeitdruck zu koordinieren.

Folgen einer versäumten oder verspäteten Meldung

Verstöße gegen die Meldepflicht selbst können nach Paragraf 65 BSIG mit Bußgeldern geahndet werden, unabhängig von einer etwaigen Sanktionierung wegen unzureichender Risikomanagementmaßnahmen. Eine versäumte oder unvollständige Meldung ist damit ein eigenständiges Risiko, nicht nur eine Formalie neben dem eigentlichen Sicherheitsvorfall.

Hinzu kommen mittelbare Folgen: Vertragspartner mit eigenen Lieferketten-Meldepflichten, Cyberversicherer mit vertraglichen Meldefristen und, bei Patientendaten, die zuständige Datenschutzbehörde erwarten regelmäßig eine zeitnahe und konsistente Information. Wer die BSIG-Frist versäumt, gerät hier leicht in Erklärungsnot gegenüber mehreren Adressaten gleichzeitig.

Praktische Vorbereitung: Was Einrichtungen jetzt tun sollten

Ein belastbarer Meldeprozess steht idealerweise, bevor er gebraucht wird: mit einer benannten verantwortlichen Person, einem dokumentierten Zugang zum BSI-Meldeportal und einer Eskalationskette, die auch außerhalb der Bürozeiten funktioniert. Ebenso wichtig ist eine vorab geklärte Schnittstelle zur Datenschutzorganisation, damit die parallele DSGVO-Meldung nicht erst im Ernstfall improvisiert werden muss.

Abgrenzung zu anderen Meldepflichten im Gesundheitswesen

Kliniken und Praxen kennen bereits andere, länger etablierte Meldepflichten, etwa nach dem Infektionsschutzgesetz oder dem Transfusionsgesetz. Die Meldepflicht nach Paragraf 32 BSIG steht eigenständig daneben und betrifft ausschließlich IT-Sicherheitsvorfälle, nicht medizinische Sachverhalte. Beide Meldesysteme sollten organisatorisch getrennt, aber in einem gemeinsamen Krisenmanagement mitgedacht werden.

Rechtliche Begleitung bei einem Sicherheitsvorfall

Für Kliniken, MVZ und Praxen lohnt sich eine frühzeitige Klärung, wer im Ernstfall welche Meldung an wen absetzt und wie beide Fristenregime organisatorisch zusammenspielen. juravendis begleitet Einrichtungen im Gesundheitswesen bei der Einordnung von Sicherheitsvorfällen, beim Fristenmanagement und bei der Kommunikation mit BSI und Datenschutzbehörden. Sprechen Sie uns dazu in einem Erstgespräch an.