EU-Kommission legt fest: Wann ein NIS2-Vorfall meldepflichtig ist

Am 10. Juli 2026 hat die Europäische Kommission den Delegierten Rechtsakt (EU) 2026/1421 veröffentlicht, der auf Grundlage von Artikel 23 Absatz 11 der NIS2-Richtlinie verbindlich festlegt, wann ein Sicherheitsvorfall als erheblich einzustufen ist und damit die Meldepflicht auslöst. Der Rechtsakt gilt unmittelbar in allen 27 EU-Mitgliedstaaten – ohne nationalen Umsetzungsbedarf.

Die drei Schwellenwertgruppen

Ein Vorfall gilt als erheblich, wenn mindestens eines der folgenden Kriterien erfüllt ist:

• Betroffene Nutzer: Mehr als 1.000 Nutzer wesentlicher Einrichtungen oder mehr als 5.000 Nutzer wichtiger Einrichtungen sind über mindestens 60 Minuten von einem Dienst ausgeschlossen oder erheblich beeinträchtigt.
• Finanzieller Schaden: Der direkte wirtschaftliche Schaden übersteigt 500.000 Euro oder 0,5 Prozent des weltweiten Jahresumsatzes der Einrichtung.
• Systemische Auswirkungen: Der Vorfall beeinträchtigt andere kritische Einrichtungen, tangiert staatliche Stellen oder erzeugt eine reale Gefahr für die öffentliche Sicherheit.

Was sich für die Meldepraxis ändert

Bislang mussten Einrichtungen die Erheblichkeit eines Vorfalls auf Basis der allgemeinen NIS2-Formulierungen selbst einschätzen – ein Graubereich, der zu Unter- wie Überreportierung führte. Der delegierte Rechtsakt schafft nun Klarheit in beide Richtungen: Einrichtungen, die aus Unsicherheit zu viel gemeldet haben, können ihren Prozess straffen; Einrichtungen, die zu wenig gemeldet haben, verlieren ihre Rechtfertigungsgrundlage.

Konsequenzen für das interne Incident-Management

1. Schwellenwerte im Playbook verankern: Die drei Kriterien müssen in das Incident-Response-Playbook aufgenommen und in die Triage-Checkliste integriert werden.
2. Monitoring-Alarme kalibrieren: SIEM- und Monitoring-Systeme sollten die Nutzerschwellenwerte als Alert-Trigger abbilden können.
3. Dokumentationspflicht schärfen: Für jeden Vorfall nahe den Schwellenwerten ist eine dokumentierte Einstufungsentscheidung erforderlich – auch wenn das Ergebnis nicht erheblich lautet.

Der Rechtsakt ist ein wichtiger Schritt zur EU-weiten Harmonisierung der NIS2-Meldepflichten. Zusammen mit den nationalen Umsetzungsgesetzen entsteht nun ein kohärenteres Melderegime, das für Einrichtungen in mehreren EU-Staaten einen einheitlicheren Compliance-Rahmen schafft.