Kunde möchte wissen, ob ich Vorfälle innerhalb von 24 Stunden melde

24 Stunden ist eine Warnung, keine vollständige Meldung

Nein, nicht im Sinne eines vollständigen Incident-Reports innerhalb von 24 Stunden — aber es gibt eine Verpflichtung, die diesem sehr nahekommt. Artikel 21 Absatz 2 der NIS2-Richtlinie verpflichtet "wichtige" und "wesentliche" Einrichtungen, erhebliche Vorfälle gestaffelt zu melden: eine Frühwarnung innerhalb von 24 Stunden, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden, und ein Abschlussbericht später. Diese Verpflichtung gilt unmittelbar für die Einrichtung, die unter NIS2 fällt — das ist normalerweise der Kunde, der den Fragebogen versendet, nicht automatisch der Lieferant, der ihn ausfüllt. Ob die 24-Stunden-Pflicht auch auf Ihr eigenes Unternehmen zutrifft, hängt davon ab, ob Sie selbst als Einrichtung unter die Richtlinie fallen; das wird beschrieben unter die Frage, ob das Unternehmen selbst unter NIS2 fällt.

Was ein Kunde mit dieser Frage normalerweise wissen möchte, ist nicht, ob Sie der zuständigen Behörde die gesetzliche Meldepflicht erfüllen, sondern ob Sie ihn schnell genug informieren, wenn bei Ihnen etwas schiefgeht, das seine Dienstleistung beeinträchtigt. Das ist eine vertragliche Vereinbarung, keine gesetzliche Frist aus der Richtlinie selbst — die 24 Stunden aus NIS2 ist eine Verpflichtung zwischen Einrichtung und Aufsichtsbehörde, nicht automatisch zwischen Lieferant und Kunde. Wenn Sie ein Incident-Management-Verfahren mit eigenen internen Meldungsfristen haben, ist dies normalerweise das Nachweisdokument, das hier passt; dieses Verfahren wird beschrieben unter die Frage nach einem Verfahren für Sicherheitsvorfälle. Wenn Sie keine festgelegte Frist haben, ist ein "Nein" mit einer kurzen Erläuterung ehrlicher als ein "Ja", das Sie nicht belegen können.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Die gestaffelte Meldepflicht — Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht — ist in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 festgelegt, als Teil der dort aufgelisteten zehn Maßnahmen. Diese Verpflichtung bezieht sich auf die Beziehung zwischen der Einrichtung und der zuständigen Aufsichtsbehörde oder dem CSIRT, nicht auf die Beziehung zwischen Lieferant und Abnehmer. Das niederländische Cybersicherheitsgesetz setzt diese Richtlinie in nationale Vorschriften um; wer genau unter die Meldepflicht fällt und ab welchem Zeitpunkt, ergibt sich aus diesem Gesetz, sobald es in Kraft tritt.