Meldepflicht kritischer Einrichtungen

§ 17.

(1) Kritische Einrichtungen haben nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung Sicherheitsvorfälle unverzüglich, längstens jedoch binnen 24 Stunden nach Kenntnis dem Bundesminister für Inneres strukturiert zu melden, soweit dies aus operativer Sicht möglich ist. Ergänzende Informationen sowie Informationen über später bekannt gewordene Umstände zum Sicherheitsvorfall sind dem Bundesminister für Inneres längstens binnen eines Monats nach der Erstmeldung in einer Folgemeldung mitzuteilen.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, wann ein Sicherheitsvorfall vorliegt. Dabei sind insbesondere folgende Parameter zu berücksichtigen:

1. 1. die Zahl oder der Anteil der vom Sicherheitsvorfall betroffenen Nutzer, die den von der jeweiligen Einrichtung erbrachten wesentlichen Dienst in Anspruch nehmen;
2. 2. die Dauer der Störung;
3. 3. das vom Sicherheitsvorfall betroffene geografische Gebiet.

(3) In den Meldungen gemäß Abs. 1 müssen sämtliche relevanten Informationen zum Sicherheitsvorfall, die zum Zeitpunkt der Erst- und Folgemeldung bekannt sind, insbesondere die Art, die vermutete oder tatsächliche Ursache und die Folgen des Sicherheitsvorfalls, bereits zur Abwehr des Sicherheitsvorfalls ergriffene Maßnahmen sowie Angaben zur betroffenen kritischen Infrastruktur, enthalten sein. Informationen, die erforderlich sind, um grenzüberschreitende Auswirkungen des Sicherheitsvorfalls zu eruieren, sind ebenfalls zu übermitteln. Die Meldung ist in einem standardisierten elektronischen Format zu übermitteln.

(4) Auf Ersuchen des Bundesministers für Inneres haben kritische Einrichtungen innerhalb einer angemessenen Frist weitere erforderliche Informationen zum Sicherheitsvorfall zu übermitteln. Kritische Einrichtungen sind verpflichtet, den Bundesminister für Inneres unverzüglich über die Beendigung eines Sicherheitsvorfalls zu informieren.

(5) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der Meldungen gemäß den Abs. 1 und 4 den vom Sicherheitsvorfall betroffenen kritischen Einrichtungen sachdienliche Informationen, insbesondere über die wirksame Abwehr und Bewältigung des betreffenden Sicherheitsvorfalls, unverzüglich zur Verfügung zu stellen.

(6) Bedrohungen und Beinahe-Sicherheitsvorfälle können von kritischen Einrichtungen an den Bundesminister für Inneres gemeldet werden.

(7) Langen beim Bundesminister für Inneres Meldungen über erhebliche Sicherheitsvorfälle gemäß Art. 23 NIS‑2-RL ein, hat er die jeweiligen Einrichtungen unverzüglich an die für die Entgegennahme dieser Meldungen zuständigen Stellen zu verweisen.

(8) Der Bundesminister für Inneres hat in seiner Funktion als zentrale Anlaufstelle die zentralen Anlaufstellen anderer Mitgliedstaaten zu informieren, sofern auf Grundlage der Meldungen gemäß Abs. 1 ein Sicherheitsvorfall erhebliche Auswirkungen auf kritische Einrichtungen und die Erbringung wesentlicher Dienste für diese oder in diesen Mitgliedstaaten hat oder haben könnte. Der Bundesminister für Inneres hat die Europäische Kommission zudem über das Vorliegen eines Sicherheitsvorfalls zu informieren, sofern dieser erhebliche Auswirkungen auf die Erbringung eines wesentlichen Dienstes für oder in mindestens sechs Mitgliedstaaten hat oder haben könnte.

Schlagworte

Erstmeldung

Zuletzt aktualisiert am

16.10.2025

Gesetzesnummer

20012981

Dokumentnummer

NOR40272135