NIS-2-Meldepflicht: Die ersten 24 und 72 Stunden

Rechtsgrundlage: §§ 34–35 und § 45 NISG 2026.

Diese gesetzlichen Meldepflichten treffen wesentliche und wichtige Einrichtungen bei einem erheblichen Cybersicherheitsvorfall, soweit § 34 NISG 2026 anwendbar ist. Insbesondere sind der Vorrang nach § 24 Abs. 7 und die sektorspezifischen Ausnahmen nach § 27 NISG 2026 zu prüfen. Andere Unternehmen können nach § 37 freiwillig melden.

Der Ernstfall ist ein Führungsmoment, kein IT-Ticket

Wenn es ernst wird, suchen Ihre Leute nicht die perfekte Anweisung, sondern Klarheit und Präsenz. Und die Uhr läuft ab dem Moment, in dem Sie von einem erheblichen Vorfall Kenntnis erlangen. Das neue Cybersicherheitsrecht schreibt eine gestaffelte Meldung vor, und die Fristen sind knapp. Wer sie erst im Ernstfall zum ersten Mal liest, verliert die entscheidenden ersten Stunden.

Wann ein Vorfall jedenfalls erheblich ist

Die Grunddefinition des § 35 NISG 2026 bleibt bestehen. Seit 2. Oktober 2026 nennt § 5 NISV 2026 zusätzlich Fälle, in denen ein Vorfall für die betreffende Einrichtung jedenfalls erheblich ist. Bereits das Erfüllen eines Kriteriums genügt:

• direkter finanzieller Verlust, den der Vorfall verursacht hat oder verursachen kann, von mehr als 500.000 Euro oder 5 % des Vorjahresgesamtumsatzes, wobei der niedrigere Wert zählt;
• eingetretener oder möglicher Abfluss von Geschäftsgeheimnissen oder nach § 6 IFG geheim zu haltenden Informationen;
• eingetretener oder möglicher Tod einer natürlichen Person;
• eingetretene oder mögliche schwere Gesundheitsschädigung einer natürlichen Person;
• erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht;
• ein Vorfall, der zu einem Ausfall oder einer eingeschränkten Verfügbarkeit für mehr als 100.000 Nutzer oder 10 % der Nutzer, wobei der niedrigere Wert zählt, für mehr als 24 Stunden geführt hat oder führen kann;
• ein Vorfall, der zu einem Ausfall oder einer eingeschränkten Verfügbarkeit im Gebiet zumindest eines Bundeslandes für mehr als 24 Stunden geführt hat oder führen kann;
• Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen;
• ein qualifizierter Wiederholungsfall nach § 7 NISV 2026.

Wiederholungen und planmäßige Wartung

Einzeln noch nicht erhebliche Vorfälle werden zusammengerechnet, wenn sie innerhalb von sechs Monaten mindestens zweimal auftreten, dieselbe offensichtliche Ursache und Auswirkung haben und gemeinsam die finanzielle Schwelle erfüllen. Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten, die von oder im Auftrag der betreffenden Einrichtung durchgeführt werden, gelten nach § 6 NISV 2026 nicht als erhebliche Cybersicherheitsvorfälle.

Nationale und zusätzliche EU-Kriterien getrennt prüfen

Die nationalen Kriterien der §§ 5 bis 7 NISV 2026 gelten für die betreffenden Einrichtungen. Für Einrichtungen im unmittelbaren Anwendungsbereich der Durchführungsverordnung (EU) 2024/2690 sind zusätzlich die horizontalen Kriterien der Art. 3 und 4 sowie die anbieter- beziehungsweise einrichtungsspezifischen Kriterien der Art. 5 bis 14 zu prüfen. § 2 NISV 2026 erstreckt Art. 2 samt Anhang, nicht aber Art. 3 bis 14, auf die übrigen Einrichtungsarten.

Die drei Fristen, die Sie auswendig kennen sollten

Ab Kenntnis des erheblichen Vorfalls gilt:

Unverzüglich, jedenfalls aber binnen 24 Stunden – die Frühwarnung. Eine erste, kurze Meldung an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT. Sie soll unter anderem sagen, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte. Zu übermitteln sind innerhalb der Frist die in § 34 Abs. 2 Z 1 verlangten, zu diesem Zeitpunkt verfügbaren Angaben; weitere Informationen folgen in den nächsten Meldestufen.

Unverzüglich, jedenfalls aber binnen 72 Stunden – die Meldung. Die zweite Meldestufe aktualisiert gegebenenfalls die Frühwarnung und enthält eine erste Bewertung des erheblichen Cybersicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen sowie gegebenenfalls die Kompromittierungsindikatoren. Für Vertrauensdiensteanbieter gilt bei erheblichen Vorfällen mit Auswirkungen auf die Erbringung ihrer Vertrauensdienste auch für diese zweite Meldestufe eine Höchstfrist von 24 Stunden.

Spätestens einen Monat nach Übermittlung der Meldung nach § 34 Abs. 2 Z 2 – der Abschlussbericht. Der Abschlussbericht enthält eine ausführliche Beschreibung des Cybersicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung und zu den zugrunde liegenden Ursachen, die wahrscheinlich den Cybersicherheitsvorfall ausgelöst haben, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen sowie gegebenenfalls zu den grenzüberschreitenden Auswirkungen.

Dauert der Vorfall zum Zeitpunkt des Abschlussberichts noch an, übermitteln Sie zunächst einen Fortschrittsbericht und den Abschlussbericht dann spätestens einen Monat nach Beendigung. Auf Ersuchen kann außerdem ein Zwischenbericht verlangt werden. Zur Einordnung: Wer die Meldung eines erheblichen Vorfalls und die damit verbundenen Berichtspflichten nicht erfüllt, begeht eine Verwaltungsübertretung.

Der Vorteil, den viele verschenken

Die Meldung ist keine Einbahnstraße. Das CSIRT antwortet der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung. Auf Ersuchen erteilt es Orientierungshilfen oder operative Beratung und leistet zusätzliche technische Unterstützung. Bei vermutetem strafrechtlich relevantem Hintergrund gibt das CSIRT Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden. Die Meldepflicht ist also auch ein Zugang zu Unterstützung – vorausgesetzt, Sie nutzen sie rechtzeitig.

Ihr Notfall-Ablauf auf einer Seite

Bereiten Sie das jetzt vor, nicht im Ernstfall:

Kenntnis festhalten. Notieren Sie Datum und Uhrzeit, ab wann Ihnen der Vorfall bekannt war. Ab hier laufen die Fristen – die Dokumentation dieses Zeitpunkts ist Ihr Anker.

Erheblichkeit bewerten. Grunddefinition des § 35 NISG 2026, nationale Jedenfalls-Kriterien, Wiederholungsaggregation und Wartungsausnahme prüfen. Bei unmittelbarem Anwendungsbereich der EU-DVO zusätzlich die horizontalen Kriterien der Art. 3 und 4 sowie die anbieter- beziehungsweise einrichtungsspezifischen Kriterien der Art. 5 bis 14 prüfen. Entscheidung und Kenntniszeitpunkt dokumentieren; bei Erheblichkeit geht die Frühwarnung raus.

Frühwarnung unverzüglich, jedenfalls aber binnen 24 Stunden. Kurz, ehrlich, mit dem Hinweis auf möglichen Zusammenhang mit rechtswidrigen und schuldhaften Handlungen oder mögliche grenzüberschreitende Auswirkungen. Frühwarnung fristgerecht mit den gesetzlich verlangten und verfügbaren Angaben absenden; Unsicherheiten kenntlich machen und in der zweiten Meldestufe aktualisieren.

Meldung unverzüglich, grundsätzlich jedenfalls aber binnen 72 Stunden. Die Frühwarnung gegebenenfalls aktualisieren und eine erste Bewertung einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren nachreichen. Bei betroffenen Vertrauensdiensteanbietern gilt auch hier die 24-Stunden-Höchstfrist.

Betroffene informieren. Beeinträchtigt der erhebliche Vorfall die Erbringung des jeweiligen Dienstes, unterrichtet die Einrichtung die Empfänger ihrer Dienste unverzüglich über den Vorfall und teilt ihnen, soweit möglich, die von ihnen ergreifbaren Maßnahmen oder Abhilfemaßnahmen mit.

Abschlussbericht grundsätzlich spätestens einen Monat nach Übermittlung der Meldung nach § 34 Abs. 2 Z 2. Ursache, Auswirkungen, Gegenmaßnahmen. Bei andauerndem Vorfall zuerst ein Fortschrittsbericht.

Der wichtigste Vorbereitungsschritt ist unspektakulär: Legen Sie heute fest, wer im Ernstfall die Frühwarnung auslöst, wer entscheidet und wo die Kontaktdaten liegen. Eine Meldekette, die erst im Vorfall erfunden wird, hält die 24-Stunden-Frist nicht.

Weiterlesen

Incident Handling als RisikomanagementmaßnahmeNIS-2 ist Chefsache: Wofür die Geschäftsführung geradestehtDer NISG-2026-Fahrplan: Was bis wann zu tun ist

Häufige Fragen

Welche Meldefristen gelten bei einem Cybervorfall?+

Ab Kenntnis eines erheblichen Vorfalls: Frühwarnung unverzüglich, jedenfalls aber binnen 24 Stunden; Meldung unverzüglich, grundsätzlich jedenfalls aber binnen 72 Stunden. Für Vertrauensdiensteanbieter gilt bei Vorfällen mit Auswirkungen auf die Erbringung ihrer Vertrauensdienste auch für die zweite Meldestufe eine Höchstfrist von 24 Stunden. Der Abschlussbericht folgt grundsätzlich spätestens einen Monat nach der zweiten Meldestufe. Dauert der Vorfall an, kommt zunächst ein Fortschrittsbericht, der Abschlussbericht dann spätestens einen Monat nach Beendigung.

Wann ist ein Cybervorfall meldepflichtig?+

Wenn die Grunddefinition des § 35 NISG 2026 oder eines der Jedenfalls-Kriterien der §§ 5 bis 7 NISV 2026 erfüllt ist. Dazu zählen unter anderem bestimmte finanzielle Verluste, Geheimnisabfluss, Tod oder schwere Gesundheitsschädigung, qualifizierter unbefugter Zugriff, mehr als 24 Stunden dauernde Nutzer- oder geografische Ausfälle, Krisenplan-Aktivierung und qualifizierte Wiederholungsfälle. Für Einrichtungen im unmittelbaren Anwendungsbereich der EU-DVO gelten zusätzlich deren horizontale Kriterien der Art. 3 und 4 sowie die anbieter- beziehungsweise einrichtungsspezifischen Kriterien der Art. 5 bis 14.

Was passiert, wenn ich einen Vorfall nicht melde?+

Die Nichtmeldung eines erheblichen Vorfalls und die Verletzung der damit verbundenen Berichtspflichten sind eine Verwaltungsübertretung und können mit Geldstrafe geahndet werden.

Bekomme ich nach einer Meldung Unterstützung?+

Ja. Das CSIRT antwortet der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung. Auf Ersuchen erteilt es Orientierungshilfen oder operative Beratung und leistet zusätzliche technische Unterstützung. Bei vermutetem strafrechtlich relevantem Hintergrund gibt es Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden.

Sonderfall Vertrauensdiensteanbieter: Für erhebliche Vorfälle, die sich auf die Erbringung von Vertrauensdiensten auswirken, gilt auch für die Meldung nach § 34 Abs. 2 Z 2 eine Frist von höchstens 24 Stunden ab Kenntnisnahme. Zusätzlich haben die betroffenen Einrichtungen alle Informationen zu übermitteln, die es dem CSIRT und der Cybersicherheitsbehörde ermöglichen zu ermitteln, ob der Cybersicherheitsvorfall grenzübergreifende Auswirkungen hat. Für diese Anbieter sind neben den nationalen Kriterien zusätzlich die horizontalen Kriterien der Art. 3 und 4 sowie die anbieter- beziehungsweise einrichtungsspezifischen Kriterien der Art. 5 bis 14 der Durchführungsverordnung (EU) 2024/2690 zu prüfen.