NIS2 und Ransomware: was Sie melden müssen, ob Sie zahlen dürfen und was Artikel 21 erwartet

Nach NIS2 ist Ransomware, die schwerwiegende Störungen oder finanzielle Verluste verursacht hat oder verursachen könnte, ein erheblicher Sicherheitsvorfall. Das bedeutet eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats danach. Für Lösegeldzahlungen enthält NIS2 keine Regel: Sie verbietet das Zahlen nicht und verlangt auch nicht, eine Zahlung zu melden.

Dieser Leitfaden behandelt, wann Ransomware ein erheblicher Sicherheitsvorfall ist, was Sie wann melden müssen, ob Sie zahlen dürfen, was der Vorschlag COM(2026) 13 ändern würde, die wichtigsten Maßnahmen nach Artikel 21, die DSGVO, eine Checkliste für die ersten 24 Stunden und was das Recht offenlässt.

Frage	Kurze Antwort	Quelle
Ist Ransomware ein erheblicher Sicherheitsvorfall?	Ja, wenn sie schwerwiegende Störungen oder finanzielle Verluste für Sie oder erhebliche Schäden für andere verursacht hat oder verursachen kann	NIS2 Art. 23 Abs. 3
Wann melden Sie?	Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung	Art. 23 Abs. 4
Müssen Sie angeben, dass es ein Angriff war?	Die Frühwarnung gibt gegebenenfalls an, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht	Art. 23 Abs. 4 Buchst. a
Dürfen Sie zahlen?	NIS2 schweigt. Sanktionsrecht und nationales Recht gelten weiterhin	VO (EU) 2019/796
Müssen Sie eine Zahlung melden?	Nach der geltenden NIS2 nicht. Ein Vorschlag von 2026 würde Behörden erlauben nachzufragen	COM(2026) 13, Vorschlag
Personenbezogene Daten betroffen?	DSGVO-Meldung möglichst binnen 72 Stunden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko	DSGVO Art. 33
Welche Maßnahmen zählen am meisten?	Backups und Wiederherstellung, Bewältigung von Sicherheitsvorfällen, Patchen, Zugriffskontrolle, MFA, Schulungen	Art. 21 Abs. 2

Ist ein Ransomware-Angriff ein erheblicher Sicherheitsvorfall nach NIS2?

Meistens ja. Nach Artikel 23 Absatz 3 ist ein Sicherheitsvorfall erheblich, wenn „er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“ oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Ransomware, die Produktivsysteme verschlüsselt, die Auftragsabwicklung stoppt oder einen Dienst lahmlegt, auf den Ihre Kunden angewiesen sind, erfüllt den ersten Teil ohne große Diskussion. Beachten Sie die Worte „verursachen kann“: Sie warten nicht ab, wie schlimm es wird. Ransomware, die auf einem einzelnen Laptop entdeckt und entfernt wurde, bevor sie sich ausbreiten konnte, ist womöglich nicht erheblich. Halten Sie in beiden Fällen fest, warum Sie so entschieden haben.

Für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten und die anderen digitalen Anbieter, die unter die Durchführungsverordnung (EU) 2024/2690 fallen, ist der Maßstab konkreter. Deren Artikel 3 Absatz 1 Buchstabe e stuft „einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme“ als erheblich ein, wenn er geeignet ist, schwerwiegende Betriebsstörungen zu verursachen. Die meisten Ransomware-Vorfälle beginnen genau damit. Ein direkter finanzieller Verlust von mehr als 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist, ist ein eigener Auslöser. Den vollständigen Maßstab erläutert der Beitrag was einen Sicherheitsvorfall nach NIS2 erheblich macht.

Was müssen Sie nach einem Ransomware-Angriff melden, und wann?

Die Frist beginnt, wenn Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangen, nicht wenn der Angreifer eingedrungen ist. Artikel 23 Absatz 4 legt dann die Reihenfolge fest:

1. Frühwarnung, innerhalb von 24 Stunden. Sie gibt gegebenenfalls an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, oder ob er grenzüberschreitende Auswirkungen haben könnte. Bei Ransomware lautet die Antwort auf die erste Frage fast immer ja.
2. Meldung über den Sicherheitsvorfall, innerhalb von 72 Stunden. Eine Aktualisierung der Frühwarnung, eine erste Bewertung von Schweregrad und Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren. Bei Ransomware sind das typischerweise Datei-Hashes, IP-Adressen und Domains des Angreifers, die Lösegeldnachricht und die Dateiendung, die an verschlüsselte Dateien angehängt wird.
3. Abschlussbericht, innerhalb eines Monats nach der Meldung. Eine ausführliche Beschreibung, die Art der Bedrohung oder die Grundursache, angewandte und laufende Abhilfemaßnahmen und gegebenenfalls die grenzüberschreitenden Auswirkungen. Bei Ransomware ist die Grundursache der Erstzugriff: ein per Phishing übernommenes Konto, eine ungepatchte VPN-Appliance, der Fernzugang eines Lieferanten.

Das CSIRT oder die Behörde kann Zwischenberichte anfordern, und bei einem Vorfall, der nach einem Monat noch andauert, ist zunächst ein Fortschrittsbericht fällig. Die Meldungen gehen an Ihr nationales CSIRT oder gegebenenfalls an die zuständige Behörde. Das CSIRT antwortet unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach der Frühwarnung. Besteht der Verdacht, dass der Vorfall krimineller Natur ist, gibt es außerdem Hinweise, wie der erhebliche Sicherheitsvorfall den Strafverfolgungsbehörden gemeldet wird (Art. 23 Abs. 5). Eine NIS2-Meldung ist keine Strafanzeige. Eine Anzeige zu erstatten ist ein eigener Schritt nach nationalem Recht.

Soweit angemessen, unterrichten Sie außerdem die Empfänger Ihrer Dienste unverzüglich über erhebliche Sicherheitsvorfälle, die die Erbringung dieser Dienste beeinträchtigen könnten (Art. 23 Abs. 1). Derselbe Absatz stellt klar, dass die bloße Meldung die meldende Einrichtung keiner erhöhten Haftung aussetzt. Einzelheiten finden Sie im Beitrag zu den NIS2-Meldefristen.

Ist die Zahlung eines Lösegelds nach NIS2 erlaubt?

NIS2 regelt Lösegeldzahlungen nicht. Kein Artikel verbietet die Zahlung, macht sie genehmigungspflichtig oder verpflichtet Sie zu melden, dass oder wie viel Sie gezahlt haben. Ransomware kommt in den Erwägungsgründen vor, die das Gesetz erläutern, aber keine Pflichten begründen.

• Erwägungsgrund 54 stellt einen „exponentiellen Anstieg von Ransomware-Angriffen“ fest und schließt mit dem Satz: „Die Mitgliedstaaten sollten eine Strategie zum Vorgehen gegen die zunehmende Häufigkeit von Ransomware-Angriffen als Teil ihrer nationalen Cybersicherheitsstrategie ergreifen.“
• Erwägungsgrund 56 hält fest, dass manche KMU einem erhöhten Maß an Bedrohungen ausgesetzt sind, „wie z. B. Ransomware, für die sie Anleitung und Unterstützung erhalten sollten“.

Keiner der beiden sagt, ob ein Lösegeld gezahlt werden darf. Artikel 7 Absatz 2, der die Konzepte aufzählt, die eine nationale Strategie enthalten muss, nennt Ransomware nicht.

Anderes Recht erfasst eine Zahlung sehr wohl:

• EU-Sanktionen. Nach der Verordnung (EU) 2019/796 des Rates über restriktive Maßnahmen gegen Cyberangriffe dürfen den in ihrem Anhang I aufgeführten Personen „weder unmittelbar noch mittelbar Gelder oder wirtschaftliche Ressourcen zur Verfügung gestellt werden“ (Art. 3 Abs. 2). Andere Sanktionsregelungen sagen dasselbe, etwa die Verordnung (EU) Nr. 269/2014 (Art. 2 Abs. 2). Das praktische Problem: Sie wissen selten, wer eine Wallet kontrolliert.
• Nationales Recht. Strafrecht, Sanktionsdurchsetzung und Versicherungsregeln unterscheiden sich zwischen den Mitgliedstaaten. Prüfen Sie Ihre vor einem Vorfall, nicht währenddessen.
• Öffentliche Stellen. Nach Angaben der Kommission hat die Union im Rahmen der International Counter Ransomware Initiative eine unverbindliche Erklärung mitgetragen, wonach relevante Institutionen unter der Hoheit der teilnehmenden nationalen Regierungen keine Lösegeldforderungen von Ransomware-Erpressern zahlen sollten (Erwägungsgrund 10 von COM(2026) 13). Das ist kein Recht.

Die Zahlung beendet keine Ihrer Pflichten. Die Meldungen nach 24 Stunden, 72 Stunden und einem Monat bleiben fällig, und abgezogene Daten bleiben eine Verletzung des Schutzes personenbezogener Daten. Behalten Sie die Entscheidung in der Praxis dem Leitungsorgan vor, holen Sie rechtlichen Rat ein und dokumentieren Sie die Entscheidung mit ihrer Begründung.

Was würde der Vorschlag COM(2026) 13 ändern?

Am 20. Januar 2026 hat die Kommission gezielte Änderungen an NIS2 vorgeschlagen (COM(2026) 13). Stand September 2026 ist das ein Vorschlag, kein geltendes Recht. Zwei Änderungen betreffen Ransomware:

• Neuer Artikel 23 Absatz 12. Erlässt die Kommission Durchführungsrechtsakte zur Art der Informationen, zum Format und zum Verfahren der Meldungen, müsste sie Angaben dazu verlangen, ob die Einrichtung einen Ransomware-Angriff festgestellt hat, welcher Angriffsvektor genutzt wurde und ob Abhilfemaßnahmen umgesetzt wurden.
• Neuer Artikel 23 Absatz 13. Bei einem erheblichen Sicherheitsvorfall, der durch Ransomware verursacht wurde, müssten Einrichtungen auf Ersuchen des CSIRT oder der zuständigen Behörde und über einen von dieser Stelle bereitgestellten Kanal Auskunft geben. Hat die Einrichtung eine Lösegeldforderung erhalten und, falls ja, von wem? Wurde ein Lösegeld gezahlt? Wenn ja, der Betrag, das Zahlungsmittel und der Empfänger, gegebenenfalls einschließlich des Kryptowerts und des Anbieters von Kryptowerte-Dienstleistungen.

Weil Zahlungsinformationen sensibel sind, würden sie nur auf Ersuchen übermittelt, und Einrichtungen werden ermutigt, für diesen Austausch eine Kontaktstelle zu benennen (Erwägungsgrund 10). Auch der Vorschlag würde die Zahlung nicht verbieten. Dokumentieren Sie in jedem Fall die Forderung, die Entscheidung und jede Zahlung: Abschlussbericht, Versicherer und Strafverfolgungsbehörden werden danach fragen.

Welche Maßnahmen nach Artikel 21 zählen gegen Ransomware am meisten?

Artikel 21 Absatz 2 erwähnt Ransomware nicht, aber sechs seiner zehn Mindestmaßnahmen entscheiden darüber, wie ein Ransomware-Angriff ausgeht. Erwägungsgrund 49 beschreibt eine Grundlage der Cyberhygiene, die sich wie eine Ransomware-Liste liest: Software- und Hardware-Updates, Passwortänderungen, „die Einschränkung von Zugriffskonten auf Administratorenebene und die Sicherung von Daten“.

Maßnahme nach Artikel 21 Absatz 2	Warum sie bei Ransomware zählt	Wie gute Praxis aussieht
(c) Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement	Entscheidet, ob Sie ohne Zahlung wiederherstellen können	Eine Kopie offline oder unveränderbar, getestete Wiederherstellungen, bekannte Wiederherstellungszeiten
(b) Bewältigung von Sicherheitsvorfällen	Entscheidet, wie schnell Sie erkennen und eindämmen	Alarme bei massenhaften Dateiänderungen und Missbrauch von Admin-Rechten, Befugnis zur Isolierung
(e) Behandlung von Schwachstellen	Ungepatchte, aus dem Internet erreichbare Systeme sind ein häufiger Einstiegspunkt	Exponierte Dienste inventarisiert und innerhalb einer festgelegten Frist gepatcht
(j) MFA, soweit angemessen	Gestohlene Passwörter sind ein häufiger Einstiegspunkt	MFA für Fernzugriff, E-Mail und jedes Administratorkonto
(i) Zugriffskontrolle und Management von Anlagen	Begrenzt, wie weit sich ein Angreifer ausbreitet	Wenige Domänenadministratoren, getrennte Admin-Konten, bekannte Assets
(g) Cyberhygiene und Schulungen	Viele Angriffe beginnen mit Phishing	Kurze, regelmäßige Schulungen und ein einfacher Weg, verdächtige E-Mails zu melden

Eine Beobachtung aus der Praxis: Ein Backup, das der Domänenadministrator der Produktion erreichen kann, wird meist im selben Angriff mitverschlüsselt. „Wir haben Backups“ und „wir können wiederherstellen“ sind unterschiedliche Aussagen.

Artikel 20 verpflichtet das Leitungsorgan, diese Maßnahmen zu billigen und ihre Umsetzung zu überwachen, und seine Mitglieder müssen an Schulungen teilnehmen. Eine Planspielübung mit einem Ransomware-Szenario, einschließlich der Zahlungsfrage, dient beidem. Siehe NIS2-Schulungen für Leitungsorgane und Beschäftigte und alle zehn Maßnahmen in NIS2 Artikel 21: die Maßnahmen erklärt.

Was gilt, wenn die Ransomware personenbezogene Daten erreicht hat?

Dann gilt parallel die DSGVO. Das Verschlüsseln personenbezogener Daten ist eine Verletzung der Verfügbarkeit, das Abziehen eine Verletzung der Vertraulichkeit. Nach Artikel 33 DSGVO meldet der Verantwortliche die Verletzung der Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden“, nachdem ihm die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. Führt sie voraussichtlich zu einem hohen Risiko, werden auch die betroffenen Personen benachrichtigt (Art. 34).

Die Leitlinien 01/2021 des EDSA spielen vier Ransomware-Fälle durch. Im ersten ermöglichte ein ordnungsgemäßes Backup eine schnelle Wiederherstellung, und es wurden keine Daten abgezogen, sodass keine Meldung erforderlich war. Dokumentiert werden muss jede Verletzung trotzdem, nach Artikel 33 Absatz 5. In den anderen drei Fällen war eine Meldung erforderlich: kein ordnungsgemäßes Backup, Datenabfluss oder ein Krankenhaus, in dem schon eine zweitägige Wiederherstellung die Behandlung verzögerte.

Die DSGVO-Frist beginnt, wenn Ihnen eine Verletzung des Schutzes personenbezogener Daten bekannt wird, was Stunden nach Beginn der NIS2-Frist sein kann. Zwei Behörden, zwei Fristen, ein Sachverhalt: Der Beitrag NIS2 und DSGVO enthält ein gemeinsames Playbook.

Ransomware und NIS2: die ersten 24 Stunden

Ein sinnvoller Ablauf für den ersten Tag, keine rechtliche Vorgabe. Passen Sie ihn an Ihr nationales Meldeportal und Ihren eigenen Plan an.

RANSOMWARE: DIE ERSTEN 24 STUNDEN (NIS2)

STUNDE 0  ERKENNEN UND FESTHALTEN
  [ ] Eine Vorfallsakte anlegen: ID, Zeit des ersten Alarms (UTC)
  [ ] Festhalten, wer wann wovon Kenntnis erlangt hat
  [ ] Lösegeldnachricht, verschlüsselte Beispieldateien, Logs sichern

STUNDE 0-2  EINDÄMMEN
  [ ] Betroffene Hosts und Segmente trennen; möglichst nicht ausschalten
  [ ] Kompromittierte Konten sperren; Admin-Zugangsdaten zurücksetzen
  [ ] Backups prüfen: für Angreifer erreichbar? letzte saubere Kopie?

STUNDE 1-4  ENTSCHEIDEN
  [ ] Erheblicher Sicherheitsvorfall? Schwere Störung, finanzieller
      Verlust, Schäden für andere (NIS2 Art. 23 Abs. 3).
      Entscheidung und Uhrzeit festhalten
  [ ] Personenbezogene Daten verschlüsselt oder kopiert?
      DSGVO-Prüfung starten
  [ ] Krisenstab einberufen; Leitungsorgan informieren

STUNDE 4-24  MELDEN
  [ ] Frühwarnung an CSIRT oder zuständige Behörde,
      Art. 23 Abs. 4 Buchst. a
      Verdacht auf rechtswidrige oder böswillige Handlung: ja
      mögliche grenzüberschreitende Auswirkungen: ja / nein / unklar
  [ ] Empfänger der Dienste informieren, soweit angemessen,
      Art. 23 Abs. 1
  [ ] Strafverfolgung: Hinweisen des CSIRT und nationalen Regeln folgen
  [ ] Lösegeldforderung: kein Kontakt ohne rechtlichen Rat;
      Sanktionsprüfung vor jeder Zahlungsentscheidung

NÄCHSTE FRISTEN
  [ ] NIS2-Meldung über den Sicherheitsvorfall mit IoCs:
      72 h ab Kenntniserlangung
  [ ] DSGVO-Meldung, falls erforderlich: 72 h ab Kenntnis der Verletzung
  [ ] NIS2-Abschlussbericht: 1 Monat nach der Meldung

Was NIS2 offenlässt und wie Sie die Lücke schließen

NIS2 spricht von „Backup-Management“. Sie sagt nicht, wie viele Kopien, ob eine davon offline sein muss oder wie oft eine Wiederherstellung getestet wird. Sie nennt Multi-Faktor-Authentifizierung, soweit angemessen, aber nicht, für welche Konten. Sie nennt die Bewältigung von Sicherheitsvorfällen, aber nicht, wer um drei Uhr morgens einen Standort vom Netz trennen darf. Diese Entscheidungen liegen bei Ihnen, und Ihre Risikoanalyse muss sie begründen.

Nach einem Vorfall drehen sich die Fragen der Behörde um Nachweise, die sie nach den Artikeln 32 und 33 anfordern kann. Wann war die letzte erfolgreiche Wiederherstellung? War das Konto, das der Angreifer genutzt hat, mit MFA geschützt? Wie lange war die ausgenutzte Schwachstelle offen? Eine Richtlinie, nach der Backups monatlich getestet werden, beantwortet das nicht. Das Wiederherstellungsprotokoll schon.

Diese Nachweise liegen in Ihrem Backup-System, Ihrem Identitätsanbieter, Ihren Endpoint-Tools und Ihrem Patch-Management. Von Hand vor einem Audit gesammelt, beschreiben sie einen vergangenen Zustand. Laufend erfasst, mit einem Menschen, der die Ausnahmen prüft, zeigen sie das Admin-Konto ohne MFA oder den Backup-Job, der vor drei Wochen stehen geblieben ist, bevor ein Angreifer sie findet. So arbeitet die CloudSoul Plattform: automatisierte Erfassung mit Human-in-the-Loop-Expertise. Ein Sicherheitsaudit anhand eines Ransomware-Szenarios zeigt, wo Sie stehen, und das Gesamtprogramm finden Sie auf der Seite zur NIS2-Compliance.

NIS2-Checkliste gegen Ransomware

• Legen Sie fest, was für Ihre Dienste als erheblicher Sicherheitsvorfall gilt, mit Beispielen, bevor Sie es brauchen.
• Halten Sie mindestens eine Backup-Kopie vor, die Admin-Konten der Produktion nicht erreichen, und testen Sie eine Wiederherstellung.
• Setzen Sie MFA für Fernzugriff, E-Mail und alle Administratorkonten durch und messen Sie die Abdeckung.
• Patchen Sie aus dem Internet erreichbare Systeme innerhalb einer Frist, die Sie festlegen und nachverfolgen.
• Üben Sie die 24-Stunden-Frühwarnung: wer entscheidet, wer sie abschickt, über welchen Kanal.
• Legen Sie im Voraus fest, wer eine Lösegeldzahlung genehmigen oder ablehnen darf, mit rechtlicher Beratung zu Sanktionen.
• Führen Sie mit dem Leitungsorgan eine Ransomware-Planspielübung durch, einschließlich der Entscheidungen nach NIS2 und DSGVO.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 7, 20, 21, 23, 32 und 33 und Erwägungsgründe 49, 54 und 56, EUR-Lex.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 3, EUR-Lex.
• Verordnung (EU) 2016/679 (DSGVO), Artikel 33 und 34, EUR-Lex.
• Leitlinien 01/2021 des EDSA mit Beispielen zur Meldung von Verletzungen des Schutzes personenbezogener Daten, EDSA.
• Verordnung (EU) 2019/796 des Rates über restriktive Maßnahmen gegen Cyberangriffe, die die Union oder ihre Mitgliedstaaten bedrohen, Artikel 3, EUR-Lex.
• Verordnung (EU) Nr. 269/2014 des Rates, Artikel 2, EUR-Lex.
• Vorschlag für eine Richtlinie zur Änderung der Richtlinie (EU) 2022/2555, COM(2026) 13, 20. Januar 2026, EUR-Lex.

Häufige Fragen