(1) Einrichtungen der Sektoren nach Anlage 1 und 2 können unabhängig von ihrer Berichtspflicht gemäß § 34 freiwillig Cybersicherheitsvorfälle, Cyberbedrohungen und Beinahe-Cybersicherheitsvorfälle an das für sie zuständige sektorale CSIRT, in Ermangelung eines solchen an das nationale CSIRT, melden, das die Meldungen zusammenfasst und an die Cybersicherheitsbehörde weiterleitet.

(2) Einrichtungen, die nicht in den Anwendungsbereich dieses Bundesgesetzes fallen, können ebenfalls auf freiwilliger Basis Cybersicherheitsvorfälle, Cyberbedrohungen und Beinahe-Cybersicherheitsvorfälle an das nationale CSIRT melden, das die Meldungen zusammenfasst und an die Cybersicherheitsbehörde weiterleitet.

(3) Eine freiwillige Meldung muss weder die Identität der Einrichtung noch Informationen, die auf diese schließen lassen, beinhalten.