Meldepflichten

Datenpanne, Cyberangriff: wer was melden muss, Land für Land.

In der EU, also auch in Deutschland und Österreich, wird eine Verletzung des Schutzes personenbezogener Daten möglichst binnen 72 Stunden der Datenschutzbehörde gemeldet (DSGVO, Art. 33). In der Schweiz erfolgt die Meldung an den EDÖB «so rasch als möglich», ohne Stundenzahl. Die 24-Stunden-Meldungen von Cyberangriffen (NIS2 in der EU, BACS in der Schweiz) betreffen nur bestimmte Sektoren und Unternehmensgrößen. Die Tabelle nennt für jedes Regelwerk die Regel, die Frist und die Behörde.

Die Regelwerke in einer Tabelle

Jede Zeile verweist auf den offiziellen Text. Die Beträge sind die gesetzlichen Höchstwerte, keine üblichen Bußen.

Regelwerk	Wer betroffen ist	Frist	An wen melden	Im Text vorgesehene Sanktion
DSGVO (EU) Art. 3, 33, 34, 83	Jedes in der EU niedergelassene Unternehmen. Ein Unternehmen ohne Niederlassung in der EU unterliegt ihr ebenfalls, wenn es Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet (Art. 3 Abs. 2).	Unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko.	An die zuständige Aufsichtsbehörde: in Deutschland in der Regel die Datenschutzbehörde des Bundeslandes, in Österreich die Datenschutzbehörde, in Frankreich die CNIL, in Belgien die Datenschutzbehörde (GBA/APD). An die betroffenen Personen bei hohem Risiko. Ein Auftragsverarbeiter meldet an seinen Kunden.	Geldbuße bis zu 10 000 000 EUR oder, bei einem Unternehmen, bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4).
NIS2 (EU) Richtlinie (EU) 2022/2555	«Wesentliche» und «wichtige» Einrichtungen der Sektoren in den Anhängen I und II, ab der Größe eines mittleren Unternehmens, die in der Union tätig sind. Einige Tätigkeiten sind unabhängig von der Größe erfasst (Art. 2).	Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat danach (Art. 23).	An das CSIRT oder die zuständige Behörde des betreffenden Mitgliedstaats.	Höchstbetrag von mindestens 10 000 000 EUR oder 2 % des weltweiten Umsatzes (wesentliche Einrichtungen), von mindestens 7 000 000 EUR oder 1,4 % (wichtige Einrichtungen), Art. 34.
BSI-Gesetz (Deutschland) BSIG, § 28, 32, 65	«Besonders wichtige» und «wichtige» Einrichtungen. Als wichtige Einrichtung gilt unter anderem, wer einer Einrichtungsart der Anlagen 1 und 2 angehört und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist (§ 28).	Frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat danach (§ 32).	An die gemeinsame Meldestelle von BSI und BBK. Die Registrierung erfolgt im BSI-Portal.	Geldbuße bis zu zehn Millionen Euro (besonders wichtige Einrichtungen) oder bis zu sieben Millionen Euro (wichtige Einrichtungen); bei einem Gesamtumsatz von mehr als 500 Millionen Euro bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes (§ 65).
NISG 2026 (Österreich) § 34, 37, 45	«Wesentliche» und «wichtige» Einrichtungen. Ob Ihr Unternehmen dazugehört, hängt von Sektor und Größe ab: bitte bei der Behörde prüfen.	Frühwarnung längstens innerhalb von 24 Stunden, Meldung längstens innerhalb von 72 Stunden (24 Stunden für Anbieter von Vertrauensdiensten), Abschlussbericht spätestens einen Monat nach der Meldung.	An das zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT, über die Anwendung «NIS2-Services» im Unternehmensserviceportal.	Geldstrafe bis zu 10 000 000 EUR oder 2 % des weltweiten Umsatzes (wesentliche Einrichtungen), bis zu 7 000 000 EUR oder 1,4 % (wichtige Einrichtungen), je nachdem, welcher Betrag höher ist (§ 45, NISG 2026 im RIS).
DSG (Schweiz) Datenschutzgesetz, Art. 24	Jeder Verantwortliche, also jedes Unternehmen, das Personendaten bearbeitet, bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.	«So rasch als möglich». Keine Stundenzahl im Gesetz.	An den EDÖB, über das DataBreach-Formular. An die betroffenen Personen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Ein Auftragsbearbeiter meldet an seinen Kunden.	Busse bis zu 250'000 Franken für private Personen, die vorsätzlich die Mindestanforderungen an die Datensicherheit nicht einhalten (Art. 61, auf Antrag) oder einer Verfügung des EDÖB nicht Folge leisten (Art. 63).
Meldung an das BACS (Schweiz) ISG, Art. 74a bis 74h	Die Behörden und Organisationen nach Art. 74b: unter anderem Energie, Trinkwasser, Verkehr, Banken und Versicherungen, Spitäler, Labors, Telekommunikation, Cloud-Computing und Rechenzentren. Die Verordnung sieht Ausnahmen für kleine Unternehmen vor.	24 Stunden nach Entdeckung des Cyberangriffs. 14 Tage, um die Meldung zu ergänzen.	An das Bundesamt für Cybersicherheit (BACS), über den Cyber Security Hub oder das Meldeformular.	Busse bis zu 100'000 Franken für Personen, die vorsätzlich einer Verfügung des BACS nicht Folge leisten (Art. 74h).

Deutschland: was gilt für ein KMU?

Drei Ebenen sind zu unterscheiden.

Datenschutz. Die DSGVO gilt unmittelbar. Die Aufsicht ist föderal organisiert: Unternehmen werden grundsätzlich von den Landesdatenschutzbehörden betreut. Die Liste der Aufsichtsbehörden veröffentlicht die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).
NIS2. Die Richtlinie ist im BSI-Gesetz vom 2. Dezember 2025 umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Betroffene Einrichtungen müssen sich im BSI-Portal registrieren. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist, und bietet eine NIS-2-Betroffenheitsprüfung an.
Nicht regulierte Unternehmen. Wer nicht unter das BSI-Gesetz fällt, kann einen Vorfall freiwillig über das Melde- und Informationsportal des BSI melden, auf Wunsch anonym. Für die Strafanzeige sind die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizeien zuständig, siehe die erste Stunde.

Die Geschäftsleitung ist ausdrücklich in der Pflicht: Laut BSI müssen die Geschäftsführungen betroffener Einrichtungen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und sich schulen lassen.

Österreich: was gilt für ein KMU?

Datenschutz. Die Meldung nach Art. 33 DSGVO geht an die Datenschutzbehörde (DSB), die dafür ein Onlineformular und alternativ ein PDF-Formular bereitstellt.
NIS2. Zuständig ist das neue Bundesamt für Cybersicherheit, eine dem Innenministerium nachgeordnete Dienststelle nach dem NISG 2026. Das Gesetz ist am 1. Oktober 2026 in Kraft getreten. Wesentliche und wichtige Einrichtungen melden erhebliche Cybersicherheitsvorfälle unverzüglich an ihr zuständiges CSIRT.
Freiwillige Meldung. Einrichtungen, die weder wesentlich noch wichtig sind, haben keine Berichtspflicht nach § 34 NISG 2026. Das Bundesamt ersucht dennoch um freiwillige Meldungen (§ 37), auch anonym über das zuständige CSIRT.

Das Bundesamt hält fest, dass andere Pflichten unberührt bleiben, zum Beispiel die Meldung von Datenschutzverletzungen nach der DSGVO. Ein Vorfall kann also zwei Meldungen auslösen.

Schweiz: Habe ich 72 Stunden für die Meldung einer Datenpanne?

Nein. Die 72-Stunden-Frist stammt aus der DSGVO. Art. 24 des Schweizer Datenschutzgesetzes verlangt eine Meldung «so rasch als möglich», ohne Zahl. Die Meldung nennt mindestens die Art der Verletzung, ihre Folgen und die ergriffenen oder vorgesehenen Maßnahmen.

Nicht jede Verletzung ist zu melden. Der EDÖB hält fest, dass nur jene zu melden sind, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führen. Er veröffentlicht dazu einen Leitfaden.

Die 72 Stunden betreffen ein Schweizer Unternehmen nur, wenn die DSGVO auf seine Bearbeitung anwendbar ist: zum Beispiel beim Verkauf an Privatpersonen in Deutschland oder Österreich, oder als Auftragsverarbeiter eines Kunden in der EU, der selbst seine Behörde benachrichtigen muss.

Schweiz: Muss mein Unternehmen einen Cyberangriff innert 24 Stunden dem BACS melden?

Nur wenn es auf der Liste von Art. 74b des Informationssicherheitsgesetzes steht. Die Pflicht gilt seit dem 1. April 2025 und richtet sich an Betreiberinnen kritischer Infrastrukturen. Das BACS stellt klar: Für Unternehmen, die nicht zu den kritischen Infrastrukturen gehören, besteht derzeit keine gesetzliche Pflicht, Cybervorfälle zu melden. Die freiwillige Meldung bleibt empfohlen.

Ein einfacher Test in drei Fragen:

Steht Ihre Tätigkeit auf der Liste von Art. 74b (Energie, Wasser, Verkehr, Gesundheit, Finanzen, Telekommunikation, Cloud-Computing usw.)?
Wenn ja: Fallen Sie unter eine Ausnahme der Cybersicherheitsverordnung für kleine Unternehmen?
Im Zweifel fragen Sie das BACS: Das Gesetz verpflichtet es, Auskunft zu geben und auf Antrag eine Verfügung zu erlassen (Art. 74a).

Achtung beim IT-Dienstleister: Laut der FAQ des BACS wird eine Meldung erwartet, wenn Sie angegriffen werden und Ihre Kunden kritische Infrastrukturen sind.

Die beiden Schweizer Meldungen schützen nicht dasselbe. Die Meldung nach DSG schützt die Personen, deren Daten abgeflossen sind, und geht an den EDÖB. Die Meldung an das BACS dient dazu, Angriffsmuster früh zu erkennen und andere mögliche Opfer zu warnen. Keine der beiden ist eine Strafanzeige: Dafür ist die Kantonspolizei zuständig.

Unternehmen außerhalb der EU mit Kunden in der EU: DSGVO und NIS2

NIS2 ist eine Richtlinie: Jeder Mitgliedstaat setzt sie in sein Recht um und bestimmt seine Behörden. In der Regel gilt sie nicht unmittelbar für ein kleines Unternehmen mit Sitz in der Schweiz, das in der Union keine vom Text erfasste Tätigkeit ausübt. Sie erreicht Sie über Ihre Kunden. Art. 21 verpflichtet regulierte Einrichtungen, die Sicherheit der Lieferkette zu steuern, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. In der Praxis schickt Ihnen Ihr Kunde einen Sicherheitsfragebogen oder ergänzt Ihren Vertrag um Klauseln. Das gilt genauso für kleine Zulieferer in Deutschland und Österreich, die selbst nicht reguliert sind.

Bei der DSGVO gilt: Wer Daten für einen Kunden in der EU verarbeitet, muss ihm jede Verletzung «unverzüglich» melden (Art. 33 Abs. 2) und seine Sicherheitsmaßnahmen belegen können.

Und in Frankreich?

Die DSGVO gilt unmittelbar. Eine Datenpanne wird der CNIL unverzüglich und möglichst binnen 72 Stunden gemeldet, wenn sie ein Risiko für die betroffenen Personen darstellt. Für NIS2 begleitet die nationale Cybersicherheitsbehörde ANSSI die Umsetzung und veröffentlicht die geltenden Texte. Prüfen Sie den Stand auf ihrer Seite, bevor Sie sich vertraglich binden.

Und in Belgien?

Die DSGVO gilt unmittelbar. Eine Datenpanne wird der belgischen Datenschutzbehörde (GBA/APD) unverzüglich und möglichst binnen 72 Stunden gemeldet, nachdem sie bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko. Die Meldung erfolgt über das Portal der Behörde, in einer der drei Landessprachen. Per E-Mail übermittelte Meldungen werden nicht bearbeitet.

NIS2 ist durch das Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit umgesetzt, das sogenannte NIS2-Gesetz, in Kraft seit dem 18. Oktober 2024. «Wesentliche» und «wichtige» Einrichtungen der Sektoren in seinen Anhängen melden erhebliche Sicherheitsvorfälle dem nationalen CSIRT, dem Centre for Cybersecurity Belgium (CCB): Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden (24 Stunden für Vertrauensdiensteanbieter), Abschlussbericht spätestens einen Monat danach. Sie müssen sich außerdem beim CCB registrieren. Andere Unternehmen können sich per E-Mail an das CCB wenden, siehe die erste Stunde.

Was diese Regelwerke von Ihrer Sicherheit erwarten

Alle verlangen dasselbe mit anderen Worten: technische und organisatorische Maßnahmen, die dem Risiko angemessen sind (DSGVO Art. 32, NIS2 Art. 21, DSG Art. 8). Die DSGVO nennt sogar «ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit» dieser Maßnahmen.

Um zu wissen, wo Sie stehen: der Gratis-Scan von Ryze Cyber, ein Fragebogen mit 10 Fragen.
Um zu testen: Das Red Team versucht einzudringen, in einem unterzeichneten Rahmen, und liefert einen nach Schweregrad geordneten Bericht. Siehe wie ein Penetrationstest abläuft.
Um das Niveau zu halten: Das Blue Team härtet Zugänge und Backups und prüft jeden Monat. Siehe Red Team und Blue Team.

Diese Seite erklärt die allgemeine Regel und nennt die Texte. Sie ist keine Rechtsberatung. Für Ihren Fall wenden Sie sich an die Behörde Ihres Landes oder an eine Juristin oder einen Juristen.

Häufige Fragen

Gilt die 72-Stunden-Frist der DSGVO auch für kleine Unternehmen?

Ja. Art. 33 DSGVO unterscheidet nicht nach Größe: Der Verantwortliche meldet unverzüglich und möglichst binnen 72 Stunden. Die Meldung kann unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Ab welcher Größe fällt ein Unternehmen in Deutschland unter NIS2?

Nach § 28 BSIG gilt als wichtige Einrichtung unter anderem, wer einer Einrichtungsart der Anlagen 1 und 2 angehört und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Das BSI bietet eine Betroffenheitsprüfung an.

Wohin melde ich in Österreich einen Cybersicherheitsvorfall?

Wesentliche und wichtige Einrichtungen melden über die Anwendung NIS2-Services an ihr zuständiges CSIRT: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden. Eine Datenschutzverletzung geht zusätzlich an die Datenschutzbehörde.

Schreibt das Schweizer Datenschutzgesetz eine 72-Stunden-Frist vor?

Nein. Art. 24 DSG verlangt eine Meldung an den EDÖB «so rasch als möglich», ohne Stundenzahl. Die 72 Stunden stammen aus Art. 33 DSGVO und gelten nur, wenn diese Verordnung auf Sie anwendbar ist.

Muss ich auch die Personen informieren, deren Daten abgeflossen sind?

Nach der DSGVO ja, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Nach Schweizer Recht ja, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.

Sie wissen nicht, wo Sie stehen?

Der Gratis-Scan von Ryze Cyber ist ein Fragebogen mit 10 Fragen. Er dauert zwei Minuten, das Ergebnis erscheint sofort und an Ihren Systemen wird nichts getestet.

Gratis-Scan starten →

Weiterlesen

Unternehmen gehackt: die erste StundeWas in der ersten Stunde zu tun ist, die offiziellen Anlaufstellen nach Land und was die Behörden zum Lösegeld sagen.Cyberversicherung und KundenanforderungenWas ein Cyberversicherer vor dem Abschluss verlangt und wie Sie den Sicherheitsfragebogen eines Kunden beantworten.Cybersicherheit in der WestschweizWaadt, Genf, Freiburg, Neuenburg, Wallis, Jura: die öffentlichen Anlaufstellen, Kanton für Kanton, und die Rolle von Ryze Cyber.

Quellen

Zuletzt aktualisiert: 8. Oktober 2026