In Luxemburg melden wesentliche und wichtige Einrichtungen erhebliche Sicherheitsvorfälle über das Online-Formular SERIMA an das ILR, und zwar nach drei Fristen: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste oder erhebliche Schäden für andere verursacht oder verursachen kann.
Dieser Leitfaden behandelt, wann ein Sicherheitsvorfall erheblich ist, wo Sie melden, was jeder Bericht enthält, wen Sie außerdem informieren müssen, was das ILR mit Ihrer Meldung macht, Verletzungen des Schutzes personenbezogener Daten, freiwillige Meldungen und eine Vorlage, die Sie vorab vorbereiten können.
| Schritt | Frist | Pflichtinhalt (Artikel 14(4)) |
|---|---|---|
| Frühwarnung | Unverzüglich, innerhalb von 24 Stunden nach Kenntniserlangung | Gegebenenfalls, ob der Verdacht besteht, dass der Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, und ob er grenzüberschreitende Auswirkungen haben könnte |
| Meldung über den Sicherheitsvorfall | Innerhalb von 72 Stunden nach Kenntniserlangung | Eine Aktualisierung der Frühwarnung, eine erste Bewertung von Schweregrad und Auswirkungen sowie, soweit verfügbar, Kompromittierungsindikatoren |
| Zwischenbericht | Auf Ersuchen des CSIRT oder der Behörde | Relevante Statusaktualisierungen |
| Abschlussbericht | Spätestens einen Monat nach der Meldung über den Sicherheitsvorfall | Ausführliche Beschreibung, Schweregrad und Auswirkungen; Art der Bedrohung oder Grundursache; angewandte und laufende Abhilfemaßnahmen; gegebenenfalls grenzüberschreitende Auswirkungen |
| Fortschrittsbericht | Wenn der Sicherheitsvorfall zum Termin des Abschlussberichts noch andauert | Zu diesem Zeitpunkt ein Fortschrittsbericht und der Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls |
Welche Sicherheitsvorfälle müssen Sie melden?
Erhebliche Sicherheitsvorfälle. Artikel 14(3) des Gesetzes vom 5. Mai 2026 definiert einen Sicherheitsvorfall als erheblich, wenn
- er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann; oder
- er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Ein Sicherheitsvorfall ist nach Artikel 2 des Gesetzes jedes Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste beeinträchtigt, die die Netz- und Informationssysteme der Einrichtung anbieten. Die zuständige Behörde kann per Verordnung oder Rundschreiben weitere Parameter festlegen.
Für Anbieter im digitalen Sektor gelten genauere Schwellenwerte. DNS-Diensteanbieter, Namenregister der Domäne oberster Stufe, Anbieter von Cloud-Computing-Diensten, Rechenzentren und Content-Delivery-Netzwerken, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter fallen unter die Durchführungsverordnung (EU) 2024/2690 der Kommission. Nach deren Artikel 3 ist ein Sicherheitsvorfall erheblich, wenn eines oder mehrere der folgenden Kriterien erfüllt sind:
- er verursacht direkte finanzielle Verluste von mehr als 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist, oder kann solche verursachen;
- er führt zur Exfiltration von Geschäftsgeheimnissen oder kann dazu führen;
- er führt zum Tod einer Person oder zu erheblichen Gesundheitsschäden einer Person oder kann dazu führen;
- es gab einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme, der schwerwiegende Betriebsstörungen verursachen kann;
- es handelt sich um einen wiederkehrenden Sicherheitsvorfall nach Artikel 4: mindestens zweimal in sechs Monaten, mit derselben offensichtlichen Grundursache und zusammen oberhalb der Schwelle für finanzielle Verluste.
Die Verordnung ergänzt dienstspezifische Kriterien für jede Art von Anbieter. Die Abwägung in den ersten Stunden behandelt wann ein Sicherheitsvorfall erheblich ist.
Wo melden Sie einen Sicherheitsvorfall?
- Vom ILR beaufsichtigte Einrichtungen nutzen das SERIMA-Meldeformular unter serima.lu/notification. Das Formular ist öffentlich und ohne Konto zugänglich. SERIMA ist die Plattform, die das ILR gemeinsam mit dem belgischen IBPT und dem luxemburgischen NC3 entwickelt hat.
- Von der CSSF beaufsichtigte Einrichtungen (Bankwesen, Finanzmarktinfrastrukturen sowie von der CSSF beaufsichtigte Tätigkeiten in den Bereichen digitale Infrastruktur und Verwaltung von IKT-Diensten) melden an die CSSF als ihre zuständige Behörde.
- Fragen an das ILR: [email protected] oder (+352) 28 228 228.
Die zuständige Behörde leitet jede Meldung an das betreffende CSIRT (CIRCL für die meisten privaten Einrichtungen, GOVCERT.LU für staatliche Stellen und kritische Einrichtungen) und an die zentrale Anlaufstelle weiter.
Was enthält jeder Bericht?
Frühwarnung, innerhalb von 24 Stunden. Es geht um eine Alarmierung, nicht um eine Analyse. Die Seite des ILR nennt, was es erwartet: die Art der Einrichtung, eine Beschreibung des Sicherheitsvorfalls, welche Erheblichkeitskriterien erfüllt sind, ob grenzüberschreitende Auswirkungen bestehen und ob eine böswillige Handlung vermutet wird. Senden Sie sie auf Grundlage dessen, was Sie wissen, und geben Sie an, was Sie noch nicht wissen.
Meldung über den Sicherheitsvorfall, innerhalb von 72 Stunden. Aktualisieren Sie die Frühwarnung und geben Sie eine erste Bewertung ab: wie schwerwiegend der Vorfall ist, welche Auswirkungen er auf die Dienste und auf die Empfänger Ihrer Dienste hat, sowie Kompromittierungsindikatoren, sofern Sie welche haben.
Zwischenbericht, auf Ersuchen. Das CSIRT oder die Behörde kann jederzeit Statusaktualisierungen anfordern.
Abschlussbericht, innerhalb eines Monats nach der Meldung über den Sicherheitsvorfall. Eine ausführliche Beschreibung einschließlich Schweregrad und Auswirkungen, die Art der Bedrohung oder die Grundursache, die den Sicherheitsvorfall wahrscheinlich ausgelöst hat, die angewandten und laufenden Abhilfemaßnahmen sowie gegebenenfalls grenzüberschreitende Auswirkungen. Wird der Sicherheitsvorfall noch bearbeitet, übermitteln Sie stattdessen einen Fortschrittsbericht und den Abschlussbericht innerhalb eines Monats nach Behandlung des Sicherheitsvorfalls.
Vertrauensdiensteanbieter melden erhebliche Sicherheitsvorfälle, die sich auf ihre Vertrauensdienste auswirken, innerhalb von 24 Stunden statt nach der 72-Stunden-Frist.
Wie die drei Fristen in der Praxis ablaufen, erklärt der NIS2-Zeitplan für die Meldung von Sicherheitsvorfällen.
Müssen Sie Ihre Kunden informieren?
Manchmal. Artikel 14 fügt zwei Pflichten gegenüber den Empfängern Ihrer Dienste hinzu:
- Erhebliche Sicherheitsvorfälle: Unterrichten Sie die Empfänger gegebenenfalls unverzüglich über erhebliche Sicherheitsvorfälle, die die Erbringung Ihrer Dienste beeinträchtigen könnten.
- Erhebliche Cyberbedrohungen: Teilen Sie potenziell betroffenen Empfängern gegebenenfalls mit, welche Maßnahmen oder Abhilfemaßnahmen sie ergreifen können, und informieren Sie sie, soweit angemessen, auch über die Bedrohung selbst.
Unabhängig davon kann die Behörde, wenn eine Sensibilisierung der Öffentlichkeit erforderlich ist, nach Anhörung Ihres Unternehmens die Öffentlichkeit über einen erheblichen Sicherheitsvorfall informieren oder von Ihnen verlangen, dies zu tun (Artikel 14(7)).
Was macht das ILR mit Ihrer Meldung?
Nach Artikel 14(5) antwortet die zuständige Behörde unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach der Frühwarnung mit einer ersten Rückmeldung. Auf Ersuchen gibt sie in Zusammenarbeit mit dem CSIRT Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen, und das CSIRT kann zusätzliche technische Unterstützung leisten. Wird ein krimineller Hintergrund vermutet, erhalten Sie außerdem Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden.
Die Meldung erhöht Ihre Haftung nicht: Artikel 14(1) sagt das ausdrücklich. Betrifft ein Sicherheitsvorfall zwei oder mehr Mitgliedstaaten, unterrichtet die zentrale Anlaufstelle diese und die ENISA und wahrt dabei Ihre Sicherheit, Ihre wirtschaftlichen Interessen und die Vertraulichkeit der übermittelten Informationen.
Was gilt, wenn personenbezogene Daten betroffen sind?
Eine NIS2-Meldung ersetzt keine Meldung nach der DSGVO. Ist der Sicherheitsvorfall zugleich eine Verletzung des Schutzes personenbezogener Daten, verlangt die DSGVO eine Meldung an die CNPD, die luxemburgische Datenschutzbehörde, möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde. Führen Sie beide Meldungen auf Basis derselben Vorfallsakte, damit die Fakten übereinstimmen. Die Überschneidung behandelt NIS2 und DSGVO.
Können Sie freiwillig melden?
Ja. Artikel 20 sieht zwei Arten der freiwilligen Meldung vor:
- wesentliche und wichtige Einrichtungen können Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle melden, die die Erheblichkeitsschwelle nicht erreichen;
- jede andere Einrichtung, ob im Anwendungsbereich oder nicht, kann dem ILR erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle melden.
Die Behörde bearbeitet sie nach demselben Verfahren, kann Pflichtmeldungen aber vorrangig behandeln. Eine freiwillige Meldung führt nicht dazu, dass der meldenden Einrichtung zusätzliche Pflichten auferlegt werden. SERIMA nimmt auch freiwillige Meldungen entgegen.
Vorlage für die NIS2-Meldung von Sicherheitsvorfällen
Bereiten Sie diese Angaben vorab vor, damit Sie bei der Frühwarnung innerhalb von 24 Stunden nur noch Fakten eintragen müssen. Die Felder folgen den Anforderungen des Gesetzes und des ILR; das SERIMA-Formular bleibt der offizielle Meldeweg.
FRÜHWARNUNG (innerhalb von 24 Stunden nach Kenntniserlangung)
- Name der Einrichtung, Art der Einrichtung, Sektor
- Ansprechpartner für diesen Vorfall (Name, Funktion, Telefon, E-Mail)
- Zuständige Behörde: ILR / CSSF
- Datum und Uhrzeit der Kenntniserlangung durch die Einrichtung
- Kurzbeschreibung: was ist passiert, welche Dienste und Systeme
- Erfülltes Erheblichkeitskriterium:
[ ] schwerwiegende Betriebsstörung oder finanzieller Verlust für die Einrichtung
[ ] erhebliche materielle oder immaterielle Schäden für andere
[ ] Kriterium der Durchführungsverordnung 2024/2690 (Anbieter im digitalen Sektor): ______
- Verdacht auf rechtswidrige oder böswillige Handlung: ja / nein / unbekannt
- Mögliche grenzüberschreitende Auswirkungen: ja / nein / unbekannt
- Empfänger informiert: ja / nein / noch nicht
MELDUNG ÜBER DEN SICHERHEITSVORFALL (innerhalb von 72 Stunden nach Kenntniserlangung)
- Aktualisierungen der Frühwarnung
- Erste Bewertung des Schweregrads
- Auswirkungen: betroffene Dienste, betroffene Empfänger, bisherige Dauer, geschätzter finanzieller Verlust
- Kompromittierungsindikatoren, soweit verfügbar
- Bisher ergriffene Eindämmungs- und Abhilfemaßnahmen
ZWISCHENBERICHT (auf Ersuchen)
- Relevante Statusaktualisierungen seit dem letzten Bericht
ABSCHLUSSBERICHT (innerhalb eines Monats nach der Meldung über den Sicherheitsvorfall)
- Ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich Schweregrad und Auswirkungen
- Art der Bedrohung oder Grundursache, die ihn wahrscheinlich ausgelöst hat
- Angewandte und laufende Abhilfemaßnahmen
- Grenzüberschreitende Auswirkungen, falls vorhanden
- Falls noch andauernd: jetzt Fortschrittsbericht, Abschlussbericht innerhalb eines Monats nach BehandlungCheckliste für die Meldung von Sicherheitsvorfällen
- Legen Sie schriftlich fest, wer entscheidet, ob ein Sicherheitsvorfall erheblich ist, und wer die Meldung übermittelt.
- Speichern Sie das SERIMA-Formular als Lesezeichen und nehmen Sie die Kontaktdaten des ILR in Ihren Incident-Response-Plan auf.
- Füllen Sie die Angaben zur Einrichtung und die Kontakte in der Vorlage vorab aus.
- Definieren Sie die beiden Erheblichkeitskriterien bezogen auf Ihre eigenen Dienste, dazu die Schwellenwerte der Verordnung 2024/2690, wenn Sie Anbieter im digitalen Sektor sind.
- Legen Sie fest, wie Sie Kunden informieren, wenn ein Sicherheitsvorfall sie voraussichtlich betrifft.
- Verknüpfen Sie Ihre Meldeschritte nach NIS2 und DSGVO, sodass beide auf derselben Vorfallsakte beruhen.
- Üben Sie die 24-Stunden-Frist mindestens einmal im Jahr.
Die Bewältigung von Sicherheitsvorfällen ist eine der zehn Maßnahmen nach Artikel 21. Den luxemburgischen Rahmen insgesamt beschreibt NIS2 in Luxemburg, und wie CloudSoul das Programm umsetzt, erfahren Sie auf der NIS2-Seite.
Quellen
- Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau (amtlicher Titel: loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité), Artikel 2, 14 und 20, Legilux.
- ILR, Meldung von Sicherheitsvorfällen, aktualisiert am 6. Juli 2026, und SERIMA.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 3 und 4, EUR-Lex.
Häufige Fragen
Wie melden Sie einen NIS2-Sicherheitsvorfall in Luxemburg?
Vom ILR beaufsichtigte Einrichtungen übermitteln ihre Meldungen über das Online-Formular SERIMA unter serima.lu/notification. Das ILR leitet jede Meldung an das zuständige CSIRT und an die zentrale Anlaufstelle weiter. Von der CSSF beaufsichtigte Einrichtungen melden an die CSSF.
Welche Fristen gelten für NIS2-Meldungen in Luxemburg?
Eine Frühwarnung unverzüglich und innerhalb von 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung über den Sicherheitsvorfall. Vertrauensdiensteanbieter melden innerhalb von 24 Stunden.
Was ist ein erheblicher Sicherheitsvorfall nach dem luxemburgischen NIS2-Gesetz?
Ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Anbieter im digitalen Sektor, die unter die Durchführungsverordnung (EU) 2024/2690 fallen, wenden zusätzlich deren spezifische Schwellenwerte an.
Erhöht die Meldung eines Sicherheitsvorfalls Ihre Haftung?
Nein. Artikel 14(1) des Gesetzes stellt klar, dass allein durch die Meldung eines Sicherheitsvorfalls keine höhere Haftung der meldenden Einrichtung begründet wird.
Kann ein Unternehmen außerhalb von NIS2 dem ILR einen Sicherheitsvorfall melden?
Ja. Nach Artikel 20 kann jede Einrichtung, ob sie in den Anwendungsbereich fällt oder nicht, dem ILR erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle freiwillig melden. Eine freiwillige Meldung führt nicht dazu, dass der meldenden Einrichtung zusätzliche Pflichten auferlegt werden.
