Digital Omnibus: Single Entry Point, DSGVO-Meldefrist und was sich bei Meldepflichten ändert

Wer bei einem Cyberangriff mit Datenabfluss melden muss, schreibt heute mehrere Meldungen an mehrere Stellen: ans BSI, an die Datenschutzaufsicht, je nach Produkt an die ENISA, im Finanzsektor an die Finanzaufsicht. Der Digital Omnibus der EU-Kommission verspricht eine zentrale Meldestelle und will die Frist für die DSGVO-Meldung von 72 auf 96 Stunden verlängern, doch Stand Oktober 2026 ist davon so gut wie nichts beschlossen. Dieser Artikel trennt Vorschlag und geltendes Recht und zeigt dir, wie du deinen Meldeprozess so baust, dass er zu beidem passt.

Was ist der Digital Omnibus und was davon ist schon beschlossen?

"Omnibus" heißt in der EU-Gesetzgebung ein Sammelvorschlag, der mehrere Rechtsakte auf einmal ändert. Die Kommission hat am 19. November 2025 zwei solche Vorschläge im Rahmen ihrer Vereinfachungsagenda vorgelegt: einen zur KI-Verordnung und einen zu Daten, Datenschutz und Cybersicherheit. In der Berichterstattung werden beide gern in einen Topf geworfen, und genau das führt zu Fehleinschätzungen. Die folgende Tabelle trennt sie.

Der KI-Teil berührt die Meldepflichten nicht. Er verschiebt unter anderem die Hochrisiko-Pflichten des AI Act, die Details dazu stehen im Artikel zum AI Act nach dem Digital Omnibus. Alles, was in diesem Artikel Single Entry Point und 96 Stunden heißt, gehört zum Daten-Omnibus und ist damit ein Vorschlag.

Wie lange das dauert, weiß niemand genau. Das Legislative Observatory des Parlaments führt das Verfahren (2025/0360(COD)) im Oktober 2026 noch im Stadium "Awaiting committee decision". Beobachter rechnen mit einem Abschluss nicht vor Ende 2026, eher 2027. Der Daten-Omnibus gilt als der umstrittenere Teil, weil er auch an der Definition personenbezogener Daten rührt. Der Meldeteil dagegen findet bei den Datenschutzbehörden Zustimmung, dazu gleich mehr.

Wie funktioniert der Single Entry Point für Meldepflichten?

Das Problem kennst du, wenn du schon einmal einen Vorfall mit Personenbezug begleitet hast. Dieselben Fakten (Was ist passiert, welche Systeme, welche Daten, welche Maßnahmen) wandern in unterschiedliche Formulare, an unterschiedliche Empfänger, mit unterschiedlichen Fristen. Das kostet Zeit in den Stunden, in denen du sie am wenigsten hast, und es erzeugt Widersprüche zwischen den Meldungen.

Der Vorschlag der Kommission setzt an genau diesem Punkt an:

• Eine zentrale Meldestelle. Die ENISA, die EU-Agentur für Cybersicherheit, entwickelt und betreibt den Single Entry Point. Der Vorschlag verankert ihn in einem neuen Artikel 23a der NIS2-Richtlinie.
• Fünf Rechtsakte. Über die zentrale Meldestelle sollen Meldungen nach NIS2, DSGVO, DORA, eIDAS und der CER-Richtlinie (kritische Einrichtungen) laufen. Das Prinzip lautet "einmal melden, mehrfach nutzen": Die Plattform leitet die Meldung an die jeweils zuständigen Stellen weiter.
• Aufbau auf der CRA-Plattform. Die ENISA betreibt seit dem 11. September 2026 die Single Reporting Platform für den Cyber Resilience Act. Der Single Entry Point soll darauf aufbauen. Die CRA-Meldungen selbst gehören nicht zu den fünf genannten Rechtsakten und laufen weiter über ihre eigene Plattform.
• Frühestens 18 Monate nach Inkrafttreten. Die Pflicht zur Nutzung soll 18 Monate nach Inkrafttreten gelten, verlängerbar auf 24 Monate, wenn die Kommission feststellt, dass die Plattform Integrität, Zuverlässigkeit und Vertraulichkeit noch nicht gewährleistet. Bis dahin gelten die bestehenden Meldewege.

Rechne ruhig mit: Selbst wenn der Daten-Omnibus 2027 beschlossen wird, wäre der Single Entry Point nach dieser Frist frühestens 2028 nutzbar. Das ist deine Planungsgrundlage, kein Grund zur Eile und auch kein Grund, heute auf ihn zu warten.

Zwei Dinge ändert der Single Entry Point nach dem Vorschlag nicht. Erstens bleiben die Schwellen und Fristen der einzelnen Regime bestehen, die NIS2-Meldefristen von 24 Stunden, 72 Stunden und einem Monat eingeschlossen. Zweitens musst du weiterhin für jede Pflicht einzeln prüfen, ob sie ausgelöst wurde. Die zentrale Meldestelle spart Formulare, keine Denkarbeit. Wer heute nicht sauber zwischen "DSGVO-Risiko" und "erheblicher NIS2-Vorfall" unterscheiden kann, kann es auch morgen nicht.

Gilt die DSGVO-Meldefrist bald 96 statt 72 Stunden?

Heute gilt Artikel 33 DSGVO: Du meldest eine Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Im Regelfall ist also zu melden, die Nichtmeldung ist die begründungspflichtige Ausnahme.

Der Vorschlag der Kommission ändert das in drei Punkten:

• Frist. 96 statt 72 Stunden. Wer später meldet, muss die Verzögerung begründen, wie bisher.
• Schwelle. Gemeldet wird nur noch, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt. Damit läge die Schwelle für die Behördenmeldung auf derselben Höhe wie heute die Schwelle für die Benachrichtigung der Betroffenen nach Artikel 34.
• Einheitliche Vorlage. Für die Meldung soll es eine EU-weit einheitliche Vorlage geben, dazu eine Liste typischer Fälle mit hohem Risiko. Wer sie erarbeitet, ist offen: Die Kommission schlägt sich selbst vor, der Entwurfsbericht des Parlaments vom Juni 2026 will den Europäischen Datenschutzausschuss (EDSA) damit betrauen.

Bleiben soll laut Vorschlag die Dokumentationspflicht nach Artikel 33 Absatz 5: Du dokumentierst jede Verletzung, auch die nicht gemeldeten. Und die Benachrichtigung der Betroffenen bei hohem Risiko bleibt ebenfalls bestehen.

Die Datenschutzaufsicht selbst begrüßt diesen Teil. EDSA und Europäischer Datenschutzbeauftragter unterstützen in ihrer gemeinsamen Stellungnahme vom Februar 2026 sowohl die höhere Schwelle als auch die längere Frist, weil sie den Aufwand für Unternehmen und Behörden senken, ohne den Schutz der Betroffenen zu schwächen. Der Entwurfsbericht des Parlaments behält die 96 Stunden bei. Das spricht dafür, dass dieser Teil weniger Streit auslöst als die umstrittenen Teile des Pakets. Gesetz ist er trotzdem nicht.

Was das in der Praxis heißt

Nimm einen Vorfall, von dem du am Freitag um 18:30 Uhr erfährst. Heute läuft die Frist bis Montag 18:30 Uhr, mit dem Vorschlag bis Dienstag 18:30 Uhr. Ein Tag mehr ist hilfreich, aber er ändert weniger, als es klingt:

Als NIS2-Einrichtung hast du die 24 Stunden trotzdem. Die Frühwarnung ans BSI ist zeitlich der Engpass, nicht die DSGVO-Meldung. Die längere DSGVO-Frist entspannt nur die zweite Meldung.

Die Risikobewertung bleibt Arbeit. Mit der höheren Schwelle entscheidest du in Grenzfällen häufiger "kein hohes Risiko, keine Meldung". Diese Entscheidung musst du begründen und dokumentieren, denn die Aufsicht prüft sie nachträglich. Mehr Ermessen verlangt mehr Dokumentation, nicht weniger.

Bis zum Beschluss gelten 72 Stunden und die niedrige Schwelle. Wer sich heute auf 96 Stunden verlässt, riskiert ein Bußgeld wegen verspäteter Meldung. Das ist keine Rechtsberatung, klär Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Was ändert der Digital Omnibus sonst an DSGVO, ePrivacy und Data Act?

Der Meldeteil ist der konkreteste und am wenigsten umstrittene Teil des Pakets. Daneben enthält der Daten-Omnibus Änderungen, die den Mittelstand weniger unmittelbar treffen, aber in deiner Datenschutzdokumentation auftauchen werden:

Definition personenbezogener Daten. Der Vorschlag will klarstellen, dass Daten für eine Stelle nicht personenbezogen sind, wenn sie die Person mit vernünftigerweise einsetzbaren Mitteln nicht identifizieren kann. EDSA und Datenschutzbeauftragter widersprechen deutlich: Das gehe weit über eine technische Klarstellung hinaus und verenge den Schutz.

KI-Training. Es sollen neue Regeln dafür entstehen, wann personenbezogene Daten zur Entwicklung von KI-Systemen verarbeitet werden dürfen. Die Datenschutzaufsicht fordert hier Präzisierungen.

Cookies und Endgeräte. Die Regeln zum Zugriff auf Endgeräte würden aus der ePrivacy-Richtlinie in die DSGVO wandern, mit maschinenlesbaren Einwilligungssignalen. Im Rat sind Teile davon umstritten und nach Berichten bereits gestrichen. Für deine Einwilligungsmechanismen ändert sich damit vorerst nichts.

Data Act. Der Data Governance Act und weitere Rechtsakte sollen im Data Act aufgehen. Das betrifft vor allem Anbieter von Datenvermittlungsdiensten und weniger deine tägliche Arbeit.

Für alle diese Punkte gilt: Beobachten, nicht umbauen. Dein Verarbeitungsverzeichnis und deine Einwilligungstexte brauchen erst Änderungen, wenn der Gesetzestext feststeht.

Welche Meldepflicht gilt heute, was soll sich ändern?

Die Tabelle fasst zusammen, wo du heute stehst und was der Vorschlag daran ändern würde. Die Spalte "Status" ist die wichtigste.

Zwei Zeilen verdienen eine Erklärung. Die NIS2-Fristen sind in der deutschen Umsetzung dieselben wie in der Richtlinie, die Details zu Inhalt und Vorlage stehen in der NIS2-Erstmeldung ans BSI. Und die CRA-Spalte zeigt, dass eine Meldepflicht den Zeitplan der Omnibus-Debatte schon überholt hat: Wenn du Produkte mit digitalen Elementen herstellst, musst du heute melden und nicht erst, wenn der Single Entry Point steht. Wie du das organisierst, beschreibt der Artikel zur CRA-Meldepflicht in der Praxis.

Für DORA gilt: Wenn du im Finanzsektor tätig bist, kennst du die Fristen aus DORA für den Finanzsektor. Die Meldung über die zentrale Meldestelle ändert daran nichts, solange der Vorschlag nicht Gesetz ist.

Musst du jetzt etwas umstellen?

Nein, jedenfalls nichts, was auf dem Vorschlag beruht. Drei Dinge solltest du trotzdem tun.

Erstens: Heute geltende Fristen einhalten. Deine Vorlagen, Zuständigkeiten und Erinnerungen laufen auf 72 Stunden für die DSGVO, auf 24 und 72 Stunden und einen Monat für NIS2. Ändere keine Frist in deinen Dokumenten auf 96 Stunden, bevor es Gesetz ist.

Zweitens: Den Meldeprozess vereinheitlichen. Das ist der Teil, der unabhängig vom Gesetzgebungsverfahren Nutzen bringt. Wer bei einem Vorfall dieselben Fakten für drei Empfänger zusammensucht, verliert Stunden und produziert Widersprüche. Der Single Entry Point löst dieses Problem für die Übermittlung. Das Problem dahinter, nämlich dass die Fakten verteilt liegen, löst er nicht. Der nächste Abschnitt zeigt, wie.

Drittens: Das Verfahren beobachten. Drei Marken genügen: der Beschluss der Ausschüsse im Parlament, die Einigung im Rat und der Trilog. Erst nach der Einigung lohnt sich ein Blick in den Text, denn bis dahin ändert sich vieles.

Ein Vorfall, ein Faktenstamm, mehrere Meldungen

Der Grundgedanke ist einfach: Du führst pro Vorfall genau einen Datensatz mit den Fakten, und jede Meldung ist eine Sicht auf diesen Datensatz zu einem bestimmten Zeitpunkt. Die Meldung ans BSI, die DSGVO-Meldung und die Information an einen Kunden entstehen aus derselben Quelle. Das ist im Kern das, was der Single Entry Point technisch für die Übermittlung vorhat, nur eine Ebene früher.

Der gemeinsame Vorfalls-Datensatz

Welche Felder gehören in den Faktenstamm? Alles, was mindestens eine der Meldungen braucht, einmal und mit Zeitstempel:

Dazu kommt pro Meldung ein eigener Eintrag: an wen, welche Pflicht, Frist, tatsächlicher Versandzeitpunkt, Kanal, Referenznummer der Behörde und der Nachweis. Dieses Trennen von "Fakt" und "Meldung" ist wichtiger, als es wirkt. Wenn nach 48 Stunden die Zahl der betroffenen Personen von 85 auf 120 steigt, änderst du sie an einer Stelle. Jede weitere Meldung zieht die neue Zahl automatisch. Und du kannst belegen, welchen Wissensstand welche Meldung hatte. Eine Korrektur erfasst du dabei als Korrektur und überschreibst nie den ursprünglichen Nachweis. In ISMS Lite ist diese Trennung im Vorfallsbereich angelegt: Meldetyp, Versandzeitpunkt, Kanal, Referenz und Nachweis stehen getrennt, und die Fristen für NIS2 und DSGVO werden aus dem Vorfall und der jeweiligen Pflicht berechnet.

Wie viele Details brauchst du in der ersten Stunde? Weniger, als du denkst. Der Faktenstamm wächst. Wichtig ist, dass jedes Feld ein Datum und einen Bearbeiter hat und dass "bestätigt" und "vermutet" unterscheidbar bleiben.

Entscheidungsbaum: Welche Meldung wann?

Der Baum ist bewusst kurz. Du gehst ihn in der ersten Stunde nach der Kenntnis durch, und du gehst ihn bei jeder neuen Erkenntnis noch einmal durch. Jede Frage kann eine Meldung auslösen, mehrere können gleichzeitig zutreffen.

1. Kenntnis festhalten. Trag den Zeitpunkt der Kenntnis in den Datensatz ein. Jede Pflicht definiert ihren Auslöser etwas anders, deshalb gilt im Zweifel der früheste Zeitpunkt.
2. Sind personenbezogene Daten betroffen? Gemeint sind Vertraulichkeit, Integrität und Verfügbarkeit, also auch Ransomware ohne nachgewiesenen Abfluss.
   • Nein: Weiter zu Frage 3.
   • Ja, aber voraussichtlich kein Risiko für die Betroffenen: Keine Meldung, aber dokumentieren und die Begründung festhalten.
   • Ja, Risiko: Meldung an die Datenschutzaufsicht, heute binnen 72 Stunden.
   • Ja, hohes Risiko: zusätzlich die Betroffenen unverzüglich benachrichtigen.
3. Bist du NIS2-Einrichtung, und ist der Vorfall erheblich? Erheblich heißt: schwerwiegende Betriebsstörung, finanzielle Verluste oder erhebliche Schäden bei Dritten. Dann Frühwarnung ans BSI binnen 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat.
4. Stellst du Produkte mit digitalen Elementen her, und betrifft der Vorfall die Sicherheit eines Produkts? Aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall mit Auswirkung auf das Produkt: Frühwarnung über die ENISA-Plattform binnen 24 Stunden.
5. Bist du ein Finanzunternehmen nach DORA, und ist der Vorfall schwerwiegend? Dann gelten die Fristen von 4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis.
6. Gibt es vertragliche Meldepflichten? Kunden, Versicherer und Auftraggeber haben oft eigene Fristen im Vertrag. Als Auftragsverarbeiter musst du deinen Auftraggeber unverzüglich informieren, damit dessen DSGVO-Frist überhaupt sinnvoll laufen kann.

Die Reihenfolge der Meldungen ergibt sich aus den Fristen und nicht aus der Wichtigkeit: Meist ist die NIS2-Frühwarnung zuerst fällig, dann folgen DSGVO-Meldung und NIS2-Meldung fast gleichzeitig. Wenn du für diese Fristen und ihre Einbettung in den Ablauf noch keinen schriftlichen Plan hast, ist der Incident Response Plan der richtige Ort, den Baum zu verankern.

Rollen: Wer macht was?

Ein Entscheidungsbaum ohne Namen ist Papier. Für ein Unternehmen mit rund 100 Mitarbeitenden reichen vier Rollen, die sich auf zwei bis drei Personen verteilen dürfen. Jede braucht eine benannte Vertretung.

• Incident Manager: Pflegt den Faktenstamm, startet die Fristen, koordiniert die Meldungen und hält die Zeitachse zusammen.
• Technischer Analyst: Liefert die belastbaren Fakten zu Systemen, Ursache und Ausmaß und markiert, was bestätigt und was vermutet ist.
• Datenschutzverantwortlicher: Bewertet das Risiko für die Betroffenen und bereitet die DSGVO-Meldung vor. Der Datenschutzbeauftragte berät dabei, entschieden wird in der Verantwortung des Unternehmens.
• Meldeverantwortlicher mit Freigabe: Sendet die Meldungen ab, hat die Zugänge zu allen Portalen und wird von der Geschäftsführung für die Freigabe ermächtigt, auch am Wochenende.

Wer Produkte herstellt, ergänzt eine fünfte Rolle für die Produktsicherheit, die CRA-Fälle bewertet. Außerdem gehören die Zugänge zu den Portalen (BSI, Datenschutzaufsicht, ENISA-Plattform) auf die Liste der Dinge, die du vor dem Vorfall einrichtest. Wer erst im Ernstfall ein Konto beantragt, verbringt die ersten Stunden mit Registrierung.

Beispiel: Ransomware bei 110 Mitarbeitenden

Die Weber Antriebstechnik GmbH hat 110 Mitarbeitende, fertigt Antriebe und liefert dazu eine eigene Steuerungssoftware. Sie fällt als wichtige Einrichtung unter NIS2. Am Freitag um 18:30 Uhr erfährt der Incident Manager, dass die Fileserver verschlüsselt sind.

Entscheidend ist die Spalte rechts. Die BSI-Meldung und die DSGVO-Meldung nennen dieselben 120 Betroffenen, weil beide aus Version 2 gezogen wurden. Hätte die Weber GmbH Excel-Listen für jede Behörde gepflegt, wäre eine der beiden Zahlen sehr wahrscheinlich noch bei 85 geblieben. Und die 96 Stunden aus dem Vorschlag hätten ihr nichts genützt: Der Engpass war die 24-Stunden-Frühwarnung, nicht die DSGVO-Meldung.

Checkliste: Meldeprozess vereinheitlichen

Grundlagen

• Alle Meldepflichten deines Unternehmens aufgelistet (DSGVO, NIS2, CRA, DORA, vertragliche), jeweils mit Empfänger, Frist und Auslöser
• Diese Liste mit Datum und Quelle versehen, damit du später erkennst, was Gesetz und was Vorschlag war
• Heute geltende Fristen in allen Vorlagen eingetragen, keine 96 Stunden vor dem Beschluss
• Entscheidungsbaum "Welche Meldung wann?" erstellt und im Incident-Response-Plan verankert

Datensatz und Vorlagen

• Gemeinsamer Vorfalls-Datensatz mit den Feldern aus dem Abschnitt oben angelegt
• "Bestätigt" und "vermutet" für jedes Feld unterscheidbar
• Pro Meldung ein eigener Eintrag mit Empfänger, Frist, Versandzeitpunkt, Kanal, Referenz und Nachweis
• Korrekturen werden als Korrektur erfasst, ursprüngliche Nachweise bleiben unverändert
• Meldevorlagen für BSI, Datenschutzaufsicht und gegebenenfalls CRA aus dem Datensatz befüllbar

Rollen und Zugänge

• Incident Manager, technischer Analyst, Datenschutzverantwortlicher und Meldeverantwortlicher benannt, jeweils mit Vertretung
• Erreichbarkeit am Wochenende geklärt, Freigabebefugnis durch die Geschäftsführung dokumentiert
• Zugänge zu BSI-Meldeportal, Aufsichtsbehörde und gegebenenfalls ENISA-Plattform vor dem Ernstfall eingerichtet und getestet
• Auftragsverarbeiter und Auftraggeber kennen die Informationswege und Fristen

Beobachten und üben

• Verantwortliche Person beobachtet das Verfahren 2025/0360(COD) und berichtet nach jeder Etappe kurz
• Mindestens einmal pro Jahr eine Übung mit zwei parallelen Meldungen und einer Änderung der Faktenlage nach 48 Stunden
• Nach der Übung die Zeit von der Kenntnis bis zur Versendung jeder Meldung gemessen und festgehalten

Häufige Fehler bei Meldepflichten und dem Digital Omnibus

Den Vorschlag für geltendes Recht halten. Ein Anbieter-Blog schreibt "96 Stunden", ein Kollege übernimmt es in die Vorlage, und im Ernstfall meldest du am vierten Tag. Prüfe bei jeder Frist, ob sie im Gesetz steht oder im Vorschlag. Die Statusspalte in deiner Meldepflicht-Liste hilft dabei.

Auf den Single Entry Point warten. Die zentrale Meldestelle kommt nach dem Vorschlag frühestens in einigen Jahren. Dein Problem mit verteilten Fakten und parallelen Meldungen besteht heute, und es verschwindet mit der Plattform nicht.

Für jede Behörde ein eigenes Dokument führen. Wer BSI-Meldung, DSGVO-Meldung und Kundeninformation in getrennten Dateien pflegt, produziert Widersprüche. Du brauchst genau einen Faktenstamm, aus dem alle Meldungen entstehen.

Die höhere Schwelle als Entlastung bei der Bewertung missverstehen. Auch nach dem Vorschlag musst du jede Verletzung bewerten und dokumentieren. Wer unter der neuen Schwelle bleibt, braucht eine nachvollziehbare Begründung, sonst gilt die Nichtmeldung bei der Prüfung als Verstoß.

Die CRA-Meldung vergessen. Hersteller denken bei einem Vorfall an BSI und Datenschutz und übersehen, dass seit September 2026 eine dritte, ebenfalls fristgebundene Pflicht besteht, sobald ein Produkt betroffen ist. Der Entscheidungsbaum muss diese Frage stellen.

Fazit: Nichts umstellen, aber den Faktenstamm jetzt bauen

Der Digital Omnibus ist beim Thema Meldepflichten eine gute Nachricht, aber keine für heute: Ein Single Entry Point, 96 Stunden und eine höhere Schwelle sind Vorschläge der Kommission, die frühestens 2027 beschlossen und danach noch umgesetzt werden müssen. Dein Meldeprozess profitiert trotzdem sofort, wenn du ihn so aufstellst, dass alle Meldungen aus einem Faktenstamm entstehen. Starte diese Woche damit, deine Meldepflichten in eine Liste mit Frist und Status zu bringen, und leg im selben Zug den gemeinsamen Vorfalls-Datensatz an.

Weiterführende Artikel

• DSGVO-Datenpanne melden: Wann, wie und an wen
• NIS2-Erstmeldung ans BSI: Inhalt, Fristen und Vorlage
• NIS2-Registrierung beim BSI verpasst: Was jetzt gilt und was du nachholen musst
• Cybersecurity Act 2: Hochrisiko-Lieferanten und die neue ICT-Lieferkettensicherheit
• Sicherheitsvorfall erkennen, bewerten und melden - der komplette Ablauf