Meldepflicht (Incident Reporting Obligation)

Die Meldepflicht verpflichtet Betreiber kritischer Infrastrukturen und bestimmter IT-Dienstleister, erhebliche Sicherheitsvorfälle innerhalb festgelegter Fristen an das BSI und ggf. die zuständige Aufsichtsbehörde zu melden. Nach §8b BSIG gilt dies für KRITIS-Betreiber; NIS2 und der IT-SiG 2.0 weiten diesen Kreis erheblich aus und verkürzen die Erstmeldefrist auf 24 Stunden. Auftraggeber sollten in IT-Verträgen sicherstellen, dass Auftragnehmer eigene Meldepflichten kennen und den Auftraggeber unverzüglich über vertragsrelevante Vorfälle informieren.