Am 11. September 2026 wird die Meldepflicht nach Artikel 14 des Cyber Resilience Act anwendbar. Für viele Unternehmen bedeutet das eine dritte Meldekette neben NIS-2 und DORA. Alle drei folgen demselben dreistufigen Muster, weichen aber genau dort voneinander ab, wo es im Ernstfall zählt: beim Startpunkt der Frist, bei der ersten Frist selbst und beim Adressaten.
Wer die drei Regime als eine einzige Meldepflicht behandelt, meldet im Zweifel an die falsche Stelle oder zu spät. Wer sie vollständig getrennt behandelt, baut dieselbe Sachverhaltsaufnahme dreimal. Beides lässt sich vermeiden, wenn die Unterschiede vorab sauber abgebildet sind.
Executive Summary
1. Ausgangslage: ein Vorfall, drei Uhren
Ein Ransomware-Angriff auf ein produzierendes Unternehmen, das zugleich vernetzte Steuerungen ausliefert, kann drei Meldepflichten gleichzeitig auslösen. Der Betriebsausfall fällt unter NIS-2. Die ausgenutzte Schwachstelle im eigenen Produkt fällt unter den Cyber Resilience Act. Sind personenbezogene Daten abgeflossen, kommt Artikel 33 DSGVO hinzu. Für Finanzunternehmen tritt an die Stelle von NIS-2 die speziellere Regelung aus DORA.
Keine dieser Meldungen ersetzt eine andere. Sie laufen parallel, mit eigenen Inhalten, eigenen Kanälen und eigenen Fristen.
2. Wer ist betroffen?
- Besonders wichtige und wichtige Einrichtungen nach dem NIS2UmsuCG, das in Deutschland seit dem 6. Dezember 2025 gilt
- Finanzunternehmen im Anwendungsbereich von DORA, für die die Verordnung seit dem 17. Januar 2025 anzuwenden ist
- Hersteller von Produkten mit digitalen Elementen, für die Artikel 14 des Cyber Resilience Act ab dem 11. September 2026 gilt
- Verantwortliche nach der DSGVO, sobald personenbezogene Daten betroffen sind
Mehrfachbetroffenheit ist der Regelfall, nicht die Ausnahme. Ein Maschinenbauer im NIS-2-Anwendungsbereich, der Firmware ausliefert, unterliegt zwei Regimen gleichzeitig, und zwar in unterschiedlichen Rollen.
3. Wie hoch ist die Priorität?
Hoch. Die Versäumung der ersten Frist ist in mehreren Regimen ein eigenständiger Verstoß, unabhängig davon, wie gut der Vorfall selbst bewältigt wurde. Hinzu kommt die praktische Schwierigkeit, dass die kürzeste Frist genau in die Phase fällt, in der die Sachlage noch unklar ist.
4. Warum ist das wichtig? Die drei Unterschiede
Der Startpunkt
Unter NIS-2 läuft die 24-Stunden-Frist ab Kenntnis des erheblichen Sicherheitsvorfalls. Unter dem Cyber Resilience Act läuft sie ebenfalls ab Kenntnis. DORA weicht davon ab: Die Erstmeldung ist innerhalb von vier Stunden nach der Einstufung des Vorfalls als schwerwiegend fällig, spätestens jedoch 24 Stunden nach Kenntnis. Die Einstufung selbst wird damit zum kritischen Schritt. Wer früh klassifiziert, hat ab diesem Moment nur noch vier Stunden.
Der Adressat
NIS-2-Meldungen gehen in Deutschland an das BSI über dessen Melde- und Informationsportal. DORA-Meldungen gehen an die zuständige Aufsichtsbehörde, in Deutschland die BaFin über deren Meldeplattform. CRA-Meldungen gehen an das koordinierende CSIRT und parallel an die ENISA, technisch über die in Artikel 16 vorgesehene einheitliche Meldeplattform. DSGVO-Meldungen gehen an die zuständige Datenschutzaufsicht des jeweiligen Bundeslandes.
Die dritte Stufe
NIS-2 und DORA schließen mit einem Bericht nach etwa einem Monat ab. Der Cyber Resilience Act unterscheidet: Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme fällig, bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Der Auslöser für die letzte Frist ist damit nicht der Kalender, sondern der Patch.
5. Was muss konkret getan werden?
- ✓ Betroffenheitsmatrix erstellen, die je Geschäftsbereich festhält, welche Regime gleichzeitig greifen können
- ✓ Für jedes Regime benannte Meldeverantwortliche und Vertretung mit Erreichbarkeit außerhalb der Geschäftszeiten festlegen
- ✓ Zugänge zu allen Meldeportalen vorab einrichten und testen, nicht erst im Vorfall
- ✓ Einstufungskriterien vorab dokumentieren, insbesondere die DORA-Schwellenwerte, weil an der Einstufung die Vier-Stunden-Frist hängt
- ✓ Eine gemeinsame Sachverhaltsaufnahme definieren, aus der sich alle Meldungen speisen
- ✓ Meldeübung durchführen, in der ein Szenario bewusst mehrere Regime gleichzeitig auslöst
BAM Core
Meldepflichten als ein Datenmodell statt drei Insellösungen
Dieselbe Sachverhaltsaufnahme, drei Ausleitungen. Vertiefende Titel zu NIS-2, DORA und Auditvorbereitung finden Sie in der Brain-Media-Bibliothek.
6. Welche Dokumente werden benötigt?
- Meldematrix mit Regime, Auslöser, Frist, Startpunkt, Adressat und Verantwortlichem
- Dokumentierte Einstufungskriterien je Regime, für DORA auf Basis der Klassifizierungskriterien der Delegierten Verordnung (EU) 2024/1772
- Vorlagen für Erstmeldung, Folgemeldung und Abschlussbericht je Kanal
- Nachweis der Portalregistrierungen und hinterlegten Kontaktdaten
- Vorfalljournal mit Zeitstempeln für Kenntnis, Einstufung und Absendung jeder Meldung
- Eskalations- und Erreichbarkeitsplan mit Rufbereitschaft
Das Vorfalljournal ist der Nachweis, der im Nachgang zählt. Ohne belastbaren Zeitstempel für den Zeitpunkt der Kenntnis lässt sich die Einhaltung der ersten Frist nicht belegen.
7. BAM-Mapping
| Framework | Kapitel | Erste Frist | Adressat |
|---|---|---|---|
| NIS-2 | Art. 23, § 32 BSIG | 24 Stunden ab Kenntnis | BSI |
| DORA | Art. 19, Del. VO 2025/301 | 4 Stunden ab Einstufung, spätestens 24 Stunden ab Kenntnis | BaFin |
| CRA | Art. 14, Art. 16 | 24 Stunden ab Kenntnis | Koordinierendes CSIRT und ENISA |
| DSGVO | Art. 33 | 72 Stunden ab Kenntnis | Datenschutzaufsicht |
| ISO 27001 | A.5.24–A.5.26 | Ohne gesetzliche Frist | Intern |
8. Unsere Empfehlung
Unsere Empfehlung
- Die Betroffenheitsfrage vor dem Vorfall klären, nicht während der ersten 24 Stunden
- Die Einstufung als eigenen, dokumentierten Prozessschritt behandeln, weil unter DORA die kurze Frist daran hängt
- Portalzugänge und Kontaktdaten regelmäßig prüfen, damit sie im Ernstfall nutzbar sind
- Eine gemeinsame Sachverhaltsaufnahme führen und daraus regimespezifisch ausleiten, statt drei Erhebungen parallel zu betreiben
- Zeitpunkt der Kenntnis konsequent protokollieren, weil er die Grundlage jedes Fristnachweises ist
- Den Stichtag 11. September 2026 für Hersteller als Termin behandeln, nicht als Ausblick
Ergänzend bleibt zu beobachten, dass der Vorschlag der Kommission für den Digital Omnibus auch Änderungen an der NIS-2-Richtlinie vorsieht. Der Datenteil des Pakets ist bislang nicht verabschiedet. Wie unterschiedlich Fachliteratur und Praxis dieses Vorhaben einordnen, behandelt der Beitrag zur Bewertung des Digital Omnibus.
Häufige Fragen zu den Meldepflichten
Ersetzt eine NIS-2-Meldung die DSGVO-Meldung?
Nein. Beide Regime bestehen nebeneinander, mit unterschiedlichen Adressaten, Inhalten und Fristen. Sind bei einem erheblichen Sicherheitsvorfall personenbezogene Daten betroffen, sind beide Meldungen abzusetzen.
Ab wann läuft die Vier-Stunden-Frist unter DORA?
Ab der Einstufung des Vorfalls als schwerwiegend. Unabhängig davon gilt eine äußere Grenze von 24 Stunden ab Kenntnis des Vorfalls. Maßgeblich sind Artikel 19 DORA und Artikel 5 der Delegierten Verordnung (EU) 2025/301.
Wen trifft die Meldepflicht nach Artikel 14 CRA?
Den Hersteller des Produkts mit digitalen Elementen. Betreiber solcher Produkte sind von dieser Pflicht nicht erfasst, können aber über NIS-2 eigene Meldepflichten haben.
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2), Art. 23 Meldepflichten
- Verordnung (EU) 2022/2554 (DORA), Art. 19 Meldung schwerwiegender IKT-Vorfälle
- Delegierte Verordnung (EU) 2025/301, Art. 5 (Meldefristen), sowie Delegierte Verordnung (EU) 2024/1772 (Klassifizierung)
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14 und Art. 16
- BaFin, Überblick zu DORA
- NIS2UmsuCG, § 32 BSIG (Meldepflichten), in Kraft seit 6. Dezember 2025