Wenn Ihr Unternehmen nächstes Jahr gehackt wird, haben Sie womöglich genau 72 Stunden Zeit, um die Bundesregierung darüber zu informieren — ob Sie darauf vorbereitet sind oder nicht.
Das ist der Kern einer neuen Bundesregelung, die sich derzeit durch Washington arbeitet: der Cyber Incident Reporting for Critical Infrastructure Act, kurz CIRCIA. Das klingt, als würde es nur Kraftwerke und Pipelines betreffen. Tut es aber nicht. Die CISA schätzt, dass die Regelung letztlich mehr als 300.000 Organisationen erfassen wird, und ein erheblicher Teil davon sind kleine und mittlere Unternehmen, die noch nie in ihrem Leben einen Vorfallbericht bei irgendjemandem einreichen mussten.
Die Regelung ist noch nicht endgültig — ihr Veröffentlichungstermin hat sich schon mehrfach verschoben und wird nun für den Herbst 2026 erwartet. Aber die beiden zentralen Fristen — ein 72-Stunden-Fenster zur Meldung eines schwerwiegenden Cyber-Vorfalls und ein 24-Stunden-Fenster zur Meldung einer Lösegeldzahlung — stehen direkt im vom Kongress verabschiedeten Gesetz. Keine weitere Verzögerung im Verordnungsverfahren kann diese Fristen abmildern, sobald die Regelung in Kraft tritt. Wenn Sie ein Unternehmen führen, das plausibel darunterfallen könnte, ist dies das Jahr, um dem zuvorzukommen, statt es auf die harte Tour herauszufinden.
Was CIRCIA tatsächlich verlangt
Entfernt man das Abkürzungswirrwarr, läuft CIRCIA auf zwei Pflichten für eine "erfasste Einrichtung" hinaus:
- Meldung eines wesentlichen Cyber-Vorfalls an die CISA innerhalb von 72 Stunden, nachdem man vernünftigerweise davon ausgehen kann, dass ein solcher eingetreten ist.
- Meldung einer Ransomware-Zahlung innerhalb von 24 Stunden nach deren Ausführung, selbst wenn der Vorfall selbst nicht die Schwelle der "Wesentlichkeit" erreicht hat.
Das sind keine internen Benachrichtigungen an einen Vorgesetzten oder eine vage Einreichung irgendwann "zeitnah". Es ist eine harte Uhr, die in dem Moment zu laufen beginnt, in dem eine vernünftige Annahme besteht, dass ein Vorfall eingetreten ist — nicht erst, wenn die Untersuchung abgeschlossen, der volle Umfang bestätigt oder ein Anwalt hinzugezogen wurde. Diese Unterscheidung ist für ein kleines Unternehmen enorm wichtig, denn 72 Stunden sind nicht viel Zeit, um gleichzeitig eine Sicherheitsverletzung einzudämmen, herauszufinden, was passiert ist, und einen Bericht zu erstellen, der präzise genug ist, um ihn bei einer Bundesbehörde einzureichen.
Wer tatsächlich als "erfasst" gilt
Hier reicht CIRCIA weiter, als die meisten Inhaber kleiner Unternehmen annehmen. Die Erfassung erfolgt über zwei getrennte Wege, und es genügt, in einen von beiden zu fallen.
Größenbasierte Erfassung. Wenn Ihr Unternehmen in einem der 16 bundesweit ausgewiesenen Sektoren kritischer Infrastruktur tätig ist und die Größenschwellen der Small Business Administration überschreitet (im Allgemeinen irgendwo zwischen 100 und 1.500 Mitarbeitern oder etwa 2,25 Millionen bis 47 Millionen US-Dollar Jahresumsatz, je nach spezifischem Branchencode), sind Sie wahrscheinlich erfasst, ganz gleich, wie unspektakulär sich Ihr Unternehmen anfühlt.
Sektorbasierte Erfassung. Bestimmte Arten von Einrichtungen sind grundsätzlich erfasst, ganz ohne Größentest — darunter Krankenhäuser, Banken und Kreditgenossenschaften, Telekommunikationsanbieter, Versorgungsunternehmen und Bundesauftragnehmer.
Die 16 Sektoren sind breiter gefasst, als "kritische Infrastruktur" im Alltagsgespräch klingt:
- Chemie
- Gewerbliche Einrichtungen
- Kommunikation
- Kritische Fertigung
- Staudämme
- Verteidigungsindustrielle Basis
- Notfalldienste
- Energie
- Finanzdienstleistungen
- Lebensmittel und Landwirtschaft
- Behördendienste und -einrichtungen
- Gesundheitswesen und öffentliche Gesundheit
- Informationstechnologie
- Kernreaktoren, -materialien und -abfälle
- Transportsysteme
- Wasser und Abwasser
Ein regionaler IT-Dienstleister, eine mittelgroße gewerbliche Bäckerei, die Lebensmittelketten beliefert, ein spezialisiertes Finanzunternehmen, ein Abrechnungsdienstleister im Gesundheitswesen, ein Logistikunternehmen, das regulierte Fracht transportiert — all diese können plausibel in einen dieser Sektoren fallen, lange bevor sie sich selbst als "kritische Infrastruktur" bezeichnen würden. Wenn Ihr Unternehmen mit Finanzdienstleistungen, IT, Gesundheitswesen, Lebensmittel-Lieferketten oder Regierungsaufträgen zu tun hat und über eine Minimalbesetzung hinausgewachsen ist, lohnt es sich, die tatsächliche SBA-Größenschwellenrechnung für Ihren Fall durchzuführen, statt anzunehmen, die Regelung betreffe jemand anderen.
Was als meldepflichtiger Vorfall gilt
Der Auslöser von CIRCIA ist ein "wesentlicher Cyber-Vorfall", der weit mehr umfasst als einen ausgewachsenen Ransomware-Stillstand. Dazu zählen:
- Ein erheblicher Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationssystems oder von Daten
- Eine ernsthafte Beeinträchtigung der Sicherheit und Widerstandsfähigkeit betrieblicher Systeme
- Eine Unterbrechung Ihrer Fähigkeit, Waren oder Dienstleistungen zu liefern
- Unbefugter Zugriff infolge einer Kompromittierung der Lieferkette — einschließlich einer Sicherheitsverletzung bei einem Anbieter, einem Managed-Service-Provider oder einer Cloud-Plattform, auf die Sie sich verlassen
Diese letzte Kategorie ist diejenige, die viele überrascht. Nach CIRCIA muss ein Vorfall nicht im eigenen Netzwerk seinen Ursprung haben, um die Meldepflicht auszulösen. Wenn Ihr Cloud-Anbieter oder ein Softwareanbieter, von dem Sie abhängig sind, kompromittiert wird und dies Ihre Systeme oder Daten wesentlich beeinträchtigt, kann das Ihr zu meldender Vorfall sein — nicht nur der des Anbieters.
Warum sich die Regelung immer wieder verschiebt — und warum das nicht hilft
Der Kongress hatte ursprünglich Oktober 2025 als Frist für die CISA gesetzt, die endgültige CIRCIA-Regelung zu veröffentlichen. Die CISA verpasste sie, verschob das Ziel auf Mai 2026, verpasste auch das, und strebt nun einen Termin im Herbst 2026 an, wobei sie wiederholte Finanzierungslücken anführt, die die Verordnungsarbeit ins Stocken gebracht haben. Die CISA hat über den Sommer hinweg zudem eine Reihe von Bürgerversammlungen abgehalten, um Rückmeldungen von Interessenvertretern kritischer Infrastruktur einzuholen, bevor die Regelung endgültig festgelegt wird.
Es ist verlockend, eine sich verschiebende Frist als Grund zu sehen, dem Thema weniger Priorität einzuräumen. Das wäre ein Fehler. Die Verzögerungen betreffen das Verordnungsverfahren — den Teil, der genaue Einreichungsformate, präzise Schwellenwerte und Verfahrensdetails festlegt. Die 72-Stunden- und 24-Stunden-Fristen selbst sind gesetzlich festgelegt, vom Kongress im zugrunde liegenden Gesetz bestimmt, nicht von den Verordnungen der CISA. Wenn die endgültige Regelung in Kraft tritt, beginnen diese Fristen sofort zu laufen; es gibt keine Übergangsphase, in der die Fristen theoretisch 72 Stunden betragen, in der Praxis aber lockerer gehandhabt werden. Ein sich verschiebender Veröffentlichungstermin bedeutet lediglich, dass Sie mehr Vorlaufzeit zur Vorbereitung haben, nicht weniger Verpflichtung, sobald die Regelung greift.
Die Uhr für Lösegeldzahlungen läuft separat — und kürzer
Es lohnt sich, die Meldepflicht für Ransomware-Zahlungen gesondert hervorzuheben, denn es ist leicht, sie zu übersehen, während man sich auf die 72-Stunden-Frist für Vorfälle konzentriert. Wenn Ihr Unternehmen ein Lösegeld zahlt, müssen Sie diese Zahlung innerhalb von 24 Stunden melden — volle 48 Stunden knapper als die Frist für die Vorfallmeldung — und das gilt selbst dann, wenn der zugrunde liegende Vorfall die Schwelle der "Wesentlichkeit" für sich genommen nicht erreicht hat. Viele kleine Unternehmen, die von Ransomware getroffen werden, verhandeln noch mit Versicherern, wägen ab, ob überhaupt gezahlt werden soll, oder arbeiten mit externen Rechtsberatern zusammen, während die Zahlung bereits erfolgt. Wer auch immer in Ihrem Unternehmen eine Lösegeldzahlung autorisieren würde, muss im Voraus wissen, dass die Meldefrist für diese Entscheidung noch weniger Spielraum lässt als die für den Vorfall selbst.
Es geht nicht nur um Strafen
Der Durchsetzungsweg der CISA eskaliert von einer Informationsanfrage zu einer Vorladung für Einrichtungen, die nicht kooperieren, und die Nichtbeantwortung einer Vorladung kann eine Weiterleitung an das Justizministerium auslösen. Über die direkten Strafen hinaus tragen Bundesauftragnehmer bei Nichteinhaltung ein Ausschlussrisiko — für viele kleine Unternehmen eine weitaus größere Bedrohung als eine Geldstrafe, da dies eine staatliche Einnahmequelle vollständig beenden kann.
Doch das größere finanzielle Risiko für die meisten kleinen Unternehmen ist nicht die regulatorische Strafe. Es ist der Vorfall selbst. Aktuelle Branchendaten beziffern die durchschnittlichen Kosten für Reaktion und Wiederherstellung nach einem Angriff auf ein kleines Unternehmen allein für Untersuchung und Wiederherstellung auf Zehntausende von US-Dollar, wobei die Gesamtkosten für die Bewältigung einer schwerwiegenden Sicherheitsverletzung oft in den sechsstelligen Bereich reichen. Lösegeldforderungen gegen kleine und mittlere Unternehmen liegen inzwischen im Schnitt bei Zehntausenden von US-Dollar — noch bevor Wiederherstellungskosten hinzukommen. Und einer viel zitierten Schätzung zufolge überlebt die Mehrheit der kleinen Unternehmen, die einen schwerwiegenden Angriff erleiden, diesen nicht länger als sechs Monate. Die Meldefrist ist ein Compliance-Problem. Die Sicherheitsverletzung selbst ist ein Überlebensproblem — und beide landen gleichzeitig auf Ihrem Schreibtisch.
Wie Sie sich vorbereiten, bevor die Regelung endgültig ist
Die Regelung ist noch nicht in Kraft, aber die Unternehmen, die gut damit zurechtkommen werden, sind diejenigen, die die Verzögerung als Vorbereitungsfenster behandeln, nicht als Grund zum Abwarten.
1. Klären Sie, ob Sie tatsächlich betroffen sind. Verlassen Sie sich nicht auf ein Bauchgefühl. Prüfen Sie, ob Ihr Unternehmen in einen der 16 Sektoren fällt, und führen Sie dann den tatsächlichen SBA-Größenschwellentest für Ihren spezifischen NAICS-Code durch. Viele Unternehmen, die sich nicht wie "kritische Infrastruktur" anfühlen, sind es dennoch.
2. Schreiben Sie jetzt einen Reaktionsplan für Vorfälle, solange noch keine Uhr läuft. Ein erprobter Reaktionsplan für Vorfälle ist durchweg einer der größten Kostensenker, wenn eine Sicherheitsverletzung eintritt, denn die Entscheidungen, die unter Druck die meiste Zeit fressen — wen man anruft, was gesichert werden muss, wer die Befugnis zur Entscheidung hat — sind bereits im Voraus getroffen, statt live in der ersten Stunde einer Krise diskutiert zu werden.
3. Wissen Sie, was "vernünftige Annahme" für Ihr Unternehmen bedeuten wird. Sie können nicht auf ein vollständiges forensisches Ergebnis warten, bevor die Uhr zu laufen beginnt. Legen Sie im Voraus fest, wer in Ihrem Unternehmen befugt ist, die Entscheidung zu treffen, dass ein meldepflichtiger Vorfall eingetreten ist, damit dieses Urteil nicht zum ersten Mal mitten in einem tatsächlichen Ereignis gefällt wird.
4. Erfassen Sie Ihre Abhängigkeiten von Anbietern und der Cloud. Da eine Kompromittierung bei einem Anbieter oder Cloud-Provider Ihr meldepflichtiger Vorfall sein kann, wissen Sie, welche Ihrer kritischen Systeme auf der Infrastruktur eines anderen laufen, und bestätigen Sie, dass diese Anbieter Ihnen gegenüber eigene Verpflichtungen zur Meldung von Sicherheitsverletzungen haben, die schnell genug sind, um Ihre 72-Stunden-Uhr zu speisen.
5. Halten Sie Ihre Aufzeichnungen so sauber, dass Sie unter Druck schnell handeln können. Wenn ein Vorfall eintritt, wollen Ermittler und Versicherer ein klares Bild davon haben, welche Systeme mit welchen Daten in Berührung kommen, wie eine normale Transaktion aussieht und was sich geändert hat. Ein Unternehmen, dessen Finanz- und Betriebsunterlagen bereits gut organisiert sind, kann diese Fragen in Stunden beantworten. Ein Unternehmen, das gleichzeitig unordentliche, informelle Buchführung entwirrt und eine Sicherheitsverletzung bekämpft, verliert wertvolle Stunden seines 72-Stunden-Fensters allein damit, zu rekonstruieren, wie "normal" aussah.
Dieser letzte Punkt verdient besondere Aufmerksamkeit, denn es ist leicht, eine solche Compliance-Frist rein als juristisches oder IT-Problem zu betrachten. In der Praxis stützt sich eine Untersuchung einer Sicherheitsverletzung auf dieselben Aufzeichnungen wie Ihr Buchhalter: wer Zugriff auf was hat, wann Transaktionen stattgefunden haben, wie Ihr normales Betriebsmuster aussieht, damit Ermittler erkennen können, was ungewöhnlich ist. Unternehmen, die bereits transparente, gut organisierte Finanzunterlagen führen, sind nicht nur leichter zu prüfen — sie lassen sich auch schneller untersuchen, wenn etwas schiefgeht, was enorm wichtig ist, wenn die Uhr in Stunden gemessen wird, nicht in Wochen.
Halten Sie Ihre Finanzunterlagen bereit für alles, was als Nächstes kommt
Eine Untersuchung eines Cyber-Vorfalls verläuft schnell, und die Unternehmen, die gut damit umgehen, sind meist diejenigen, deren Unterlagen bereits geordnet waren, bevor etwas passiert ist. Beancount.io bietet Klartext-Buchhaltung, die Ihnen eine transparente, versionskontrollierte und prüfbare Historie Ihrer Finanzen liefert — keine Blackbox, keine Anbieterbindung und nichts, was unter Druck entwirrt werden müsste. Jetzt kostenlos starten und halten Sie Ihre Bücher so bereit für eine Prüfung, wie es der Rest Ihres Unternehmens sein muss.