Montagmorgen, 6:40 Uhr: Die Server sind verschlüsselt, ein Erpresserschreiben liegt im Posteingang der Geschäftsleitung. Ab diesem Moment laufen mehrere gesetzliche Fristen gleichzeitig – und Fehler in den ersten Stunden entscheiden über Bußgeldhöhe, Versicherungsschutz und persönliche Haftung der Geschäftsführung.
Seit Dezember 2025 verschärft das NIS2-Umsetzungsgesetz die Meldepflichten für rund 29.500 Unternehmen in Deutschland erheblich. Parallel gilt für praktisch jedes Unternehmen mit personenbezogenen Daten die 72-Stunden-Meldefrist der DSGVO. Wer beide Regime nicht kennt, riskiert Bußgelder, Reputationsschäden und Regressansprüche gegen IT-Dienstleister, die im Ernstfall verjähren oder verwirken.
Dieser Beitrag ordnet die rechtlichen Sofortmaßnahmen nach einem Cyber-Angriff ein: Wer muss was, in welcher Frist, an wen melden – und wie sichern Sie Beweise und Regressansprüche gegenüber IT-Dienstleistern von Anfang an ab.
Welche Meldepflichten gelten nach einem IT-Sicherheitsvorfall?
Nach einem Cyber-Angriff greifen je nach Unternehmensgröße und Datenlage zwei getrennte, teils parallel laufende Meldepflichten: die BSI-Meldung nach dem neuen BSI-Gesetz und die DSGVO-Meldung bei Betroffenheit personenbezogener Daten. Beide Fristen laufen unabhängig voneinander und schließen sich nicht gegenseitig aus.
Für die rund 29.500 Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, gilt seit dessen Inkrafttreten am 6. Dezember 2025 eine gestufte Meldepflicht. Betroffene Einrichtungen müssen einen Vorfall innerhalb von 24 Stunden als Frühwarnung an das BSI melden, innerhalb von 72 Stunden folgt eine erste Bewertung mit Details zu Art und Schwere des Vorfalls. Spätestens einen Monat nach dem Vorfall ist ein Abschlussbericht fällig.
Wer nicht zu den NIS2-pflichtigen Sektoren gehört, ist damit nicht automatisch aus der Pflicht: Sobald personenbezogene Daten von Kunden, Beschäftigten oder Geschäftspartnern betroffen sein könnten, greift zusätzlich Art. 33 DSGVO. Danach muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, es sei denn, ein Risiko für Betroffene ist ausgeschlossen. Erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen.
Praxisrelevant: Die NIS2-Betroffenheitsprüfung sollte jedes mittelständische Unternehmen mit mehr als 50 Beschäftigten oder 10 Millionen Euro Umsatz in den erfassten 18 Sektoren durchführen. Die Registrierungsfrist beim BSI-Meldeportal endete bereits am 6. März 2026 – wer noch nicht registriert ist, sollte dies unabhängig vom aktuellen Vorfall nachholen.
Haftet die Geschäftsführung persönlich für den Cyber-Angriff?
Ja, eine persönliche Haftung der Geschäftsleitung ist unter NIS2 gesetzlich verankert, wenn Risikomanagement-Pflichten nach § 30 BSIG-neu missachtet wurden. Das betrifft insbesondere fehlende technische und organisatorische Maßnahmen wie Backup-Strategien, Multi-Faktor-Authentifizierung oder ein dokumentiertes Notfallmanagement.
Unabhängig von NIS2 greift die allgemeine Organhaftung nach § 43 GmbHG beziehungsweise § 93 AktG: Geschäftsführer und Vorstände müssen die Sorgfalt eines ordentlichen Kaufmanns walten lassen. Wurde IT-Sicherheit über Jahre vernachlässigt – veraltete Systeme, fehlende Patches, kein Notfallplan –, kann dies als Pflichtverletzung gewertet werden, die im Innenverhältnis zu Regressansprüchen der Gesellschaft führt.
Die zivilrechtliche Bewertung von Organhaftung in Krisensituationen ist in der Rechtsprechung des BGH grundsätzlich streng: Wer als Geschäftsführer erkennbare Risiken nicht adressiert, haftet auch dann, wenn er das operative Tagesgeschäft delegiert hat. Delegation entbindet nicht von der Überwachungspflicht.
Für die D&O-Versicherung ist der Zeitpunkt der Erstinformation entscheidend. Meldet die Geschäftsführung den Vorfall verspätet oder unvollständig an die Versicherung, kann dies die Leistungspflicht gefährden. Eine lückenlose, zeitnahe Dokumentation aller Schritte – wer wurde wann informiert, welche Maßnahmen wurden ergriffen – ist deshalb auch aus versicherungsrechtlicher Sicht Pflichtprogramm der ersten 48 Stunden.
Praxis-Tipp
Betroffene Einrichtungen müssen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden als Frühwarnung an das BSI melden, sonst drohen Bußgelder bis zu 10 Millionen Euro.
Wann haftet der IT-Dienstleister für die Datenschutzverletzung?
Der IT-Dienstleister haftet, wenn er als Auftragsverarbeiter im Sinne des Art. 28 DSGVO vertraglich vereinbarte Sicherheitsmaßnahmen nicht umgesetzt hat und dadurch der Sicherheitsvorfall erst möglich wurde. Wichtig für Unternehmen: Die datenschutzrechtliche Verantwortung gegenüber der Aufsichtsbehörde verbleibt grundsätzlich beim Verantwortlichen, also beim Kunden – nicht beim Dienstleister.
Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich. Diese interne Meldepflicht aus Art. 33 Abs. 2 DSGVO ist der Hebel für den Regress: Verzögert der Dienstleister diese Meldung, verkürzt er faktisch die 72-Stunden-Frist des Unternehmens gegenüber der Aufsichtsbehörde und haftet für daraus entstehende Bußgelder und Folgeschäden.
Ein mittelständischer Maschinenbauer aus dem Rheinland hatte seinen externen IT-Dienstleister erst vier Tage nach dessen Kenntnis vom Ransomware-Befall informiert. Die verspätete DSGVO-Meldung des Unternehmens gegenüber der Aufsichtsbehörde ließ sich in diesem Fall über den Auftragsverarbeitungsvertrag (AVV) auf den Dienstleister zurückführen, weil dessen Meldepflicht nach Art. 28 DSGVO vertraglich dokumentiert war.
Voraussetzung für einen belastbaren Regressanspruch ist ein sauberer AVV nach Art. 28 DSGVO mit klaren Meldefristen, Eskalationswegen und Haftungsobergrenzen. Fehlt eine solche Klausel oder ist sie zu vage formuliert, wird der Nachweis eines Pflichtenverstoßes des Dienstleisters vor Gericht deutlich schwerer. Unternehmen sollten bestehende AVV-Verträge nach einem Vorfall zwingend juristisch auf Lücken prüfen lassen, bevor Fristen für zivilrechtliche Ansprüche verstreichen.
Wichtig zu wissen
Bei einer Datenschutzverletzung nach Art. 33 DSGVO gilt unabhängig von der NIS2-Betroffenheit eine Meldefrist von grundsätzlich 72 Stunden gegenüber der zuständigen Aufsichtsbehörde.
