Vorhaben besprechen

TOOLBOX · DOWNLOAD

NIS2-Meldepflichtenauf einenBlick.

Seit 1. Oktober 2026 gilt in Österreich das NISG 2026. Wesentliche und wichtige Einrichtungen müssen erhebliche Cybersicherheitsvorfälle in festen Stufen melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach. Dieses Dokument zeigt Fristen, Inhalte und Empfänger mit den Fundstellen im Gesetz und hilft, die Meldekette vorzubereiten, bevor der Ernstfall eintritt.

PDF herunterladen (4 Seiten)Was drinsteht

Kostenloses PDF

NIS2: Meldepflichten bei Sicherheitsvorfällen auf einen Blick

Format
PDF, A4
Umfang
4 Seiten
Größe
167 KB
Stand
22.10.2026
Quellen
6
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Fristen, Inhalte und Empfänger der Meldungen nach NISG 2026 und NIS-2-Richtlinie, mit Checkliste zur Vorbereitung.

  • Geschäftsführung und Leitungsorgane wesentlicher und wichtiger Einrichtungen in Österreich
  • IT-Leitung, Informationssicherheits- und Notfallverantwortliche
  • IT-Dienstleister, die ihre Kunden bei Sicherheitsvorfällen unterstützen

7 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Für wen die Meldepflicht gilt

    NISG 2026 seit 1. Oktober 2026: Meldepflicht für wesentliche und wichtige Einrichtungen, freiwillige Meldung für alle.

  • 02

    Wann ein Vorfall erheblich ist

    Die zwei Kriterien aus § 35 NISG 2026, die Beurteilungsmerkmale und die EU-Schwellen für digitale Anbieter.

  • 03

    Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

    Frühwarnung, Meldung, Zwischenbericht, Abschlussbericht und Fortschrittsbericht mit Frist, Inhalt und Fundstelle.

  • 04

    Wohin Sie melden

    An das zuständige CSIRT. Es leitet die Meldung an das Bundesamt für Cybersicherheit weiter.

  • 05

    Kunden und Datenschutz nicht vergessen

    Empfänger Ihrer Dienste unverzüglich informieren und parallel die 72-Stunden-Meldung nach DSGVO prüfen.

  • 06

    Checkliste: meldefähig vor dem Ernstfall

    Zehn Punkte, damit die 24-Stunden-Frist im Vorfall nicht zur Hürde wird.

  • 07

    Was bei Verstößen droht

    Verwaltungsstrafen nach § 45 NISG 2026 für verletzte Melde- und Informationspflichten.

AUSZUG

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Meldekette bei einem erheblichen Cybersicherheitsvorfall (§ 34 Abs. 2 NISG 2026, Art. 23 Abs. 4 NIS-2-Richtlinie)
StufeFristInhaltFundstelle
Frühwarnungunverzüglich, spätestens 24 Stunden nach Kenntnisnahmegegebenenfalls: Verdacht auf rechtswidrige und schuldhafte Handlungen, mögliche grenzüberschreitende Auswirkungen§ 34 Abs. 2 Z 1 NISG 2026, Art. 23 Abs. 4 lit. a
Meldungunverzüglich, spätestens 72 Stunden nach KenntnisnahmeAktualisierung der Frühwarnung, erste Bewertung samt Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren§ 34 Abs. 2 Z 2, Art. 23 Abs. 4 lit. b
Zwischenberichtauf Ersuchen des CSIRT oder der Cybersicherheitsbehörderelevante Statusaktualisierungen§ 34 Abs. 2 Z 3, Art. 23 Abs. 4 lit. c
Abschlussberichtspätestens einen Monat nach der Meldung, nicht nach dem Vorfallausführliche Beschreibung mit Schweregrad und Auswirkungen; Art der Bedrohung und wahrscheinliche Ursachen; getroffene und laufende Abhilfemaßnahmen; gegebenenfalls grenzüberschreitende Auswirkungen§ 34 Abs. 2 Z 4, Art. 23 Abs. 4 lit. d
Fortschrittsberichtwenn der Vorfall bei Fälligkeit des Abschlussberichts noch andauertStand der Bewältigung; der Abschlussbericht folgt spätestens einen Monat nach Ende der Vorfallsbehandlung§ 34 Abs. 2 Z 5, Art. 23 Abs. 4 lit. e
  • Die Fristen laufen ab Kenntnisnahme des erheblichen Vorfalls, nicht ab seinem Beginn.
  • Vertrauensdiensteanbieter melden Vorfälle, die ihre Vertrauensdienste betreffen, statt binnen 72 schon binnen 24 Stunden (§ 34 Abs. 2, Satz nach Z 5).
  • Mitzuliefern sind alle Informationen, mit denen CSIRT und Behörde grenzüberschreitende Auswirkungen beurteilen können (§ 34 Abs. 2).
  • Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung, auf Wunsch mit Orientierungshilfe für Abhilfemaßnahmen (§ 34 Abs. 4).
Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. NISG 2026, BGBl. I Nr. 94/2025, authentische Kundmachung im RIS (öffnet in neuem Tab)§§ 3 Z 30, 3a, 8, 24 bis 26, 34, 35, 37, 45, 51 sowie Art. 3 (§ 8a GTelG 2012), gelesen am 22.10.2026
  2. NISG 2026, geltende Fassung im RIS (öffnet in neuem Tab)
  3. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 23 Berichtspflichten (öffnet in neuem Tab)ABl. L 333 vom 27.12.2022
  4. Durchführungsverordnung (EU) 2024/2690, Art. 3 Erhebliche Sicherheitsvorfälle (öffnet in neuem Tab)ABl. L vom 18.10.2024
  5. Verordnung (EU) 2016/679 (DSGVO), Art. 33 Meldung an die Aufsichtsbehörde (öffnet in neuem Tab)
  6. Datenschutzgesetz (DSG), § 18 Datenschutzbehörde als Aufsichtsbehörde (öffnet in neuem Tab)

Dieses Dokument gibt einen Überblick und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung; Verordnungen der Cybersicherheitsbehörde, etwa nach § 35 Abs. 3, können Details ergänzen.

TOOLBOX

Passend
dazu.

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads