NIS2: Meldepflichten bei Sicherheitsvorfällen auf einen Blick

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) setzt die NIS-2-Richtlinie in Österreich um. Kundgemacht am 23. Dezember 2025, gelten seine Pflichten seit 1. Oktober 2026 (§ 51 Abs. 2: neun Monate nach der Kundmachung, mit dem folgenden Monatsersten).

Die Meldepflicht nach § 34 trifft wesentliche und wichtige Einrichtungen. Wer dazu zählt, regeln § 24 (Einstufung), § 25 (Unternehmensgröße) und § 26 (größenunabhängige Einstufung) samt den Sektoren der Anlagen 1 und 2.

Auch wer nicht unter das Gesetz fällt, kann Cybersicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle freiwillig an das nationale CSIRT melden (§ 37 Abs. 2), auf Wunsch ohne Angaben zur eigenen Identität (§ 37 Abs. 3).

Melden müssen Sie jeden erheblichen Cybersicherheitsvorfall. Ein Cybersicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt (§ 3 Z 30). Erheblich ist er nach § 35 Abs. 1, wenn er

• schwerwiegende Betriebsstörungen der Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Bei der Beurteilung zählen unter anderem die Abhängigkeit anderer Sektoren von Ihrem Dienst, mögliche Folgen für Umwelt, öffentliche Sicherheit und Gesundheit, Ihr Marktanteil, das betroffene geografische Gebiet und die betroffenen Systeme (§ 35 Abs. 2). Nähere Kriterien kann die Cybersicherheitsbehörde per Verordnung festlegen (§ 35 Abs. 3).

Für DNS-Diensteanbieter, TLD-Namenregister, Cloud- und Rechenzentrumsanbieter, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 konkrete Schwellen fest, etwa einen direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist (Art. 3 Abs. 1 lit. a). Geplante Wartungsarbeiten gelten nicht als erheblicher Vorfall (Art. 3 Abs. 2).

• Die Fristen laufen ab Kenntnisnahme des erheblichen Vorfalls, nicht ab seinem Beginn.
• Vertrauensdiensteanbieter melden Vorfälle, die ihre Vertrauensdienste betreffen, statt binnen 72 schon binnen 24 Stunden (§ 34 Abs. 2, Satz nach Z 5).
• Mitzuliefern sind alle Informationen, mit denen CSIRT und Behörde grenzüberschreitende Auswirkungen beurteilen können (§ 34 Abs. 2).
• Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung, auf Wunsch mit Orientierungshilfe für Abhilfemaßnahmen (§ 34 Abs. 4).

Gemeldet wird an das für Sie zuständige sektorspezifische CSIRT, gibt es keines, an das nationale CSIRT. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Zuständige Behörde ist das Bundesamt für Cybersicherheit (§ 3a Abs. 1).

• Öffentliche Verwaltung: das GovCERT als sektorspezifisches CSIRT (§ 8 Abs. 4).
• Gesundheitswesen: das Austrian HealthCERT (§ 8a Abs. 3 Gesundheitstelematikgesetz 2012, neu gefasst mit BGBl. I Nr. 94/2025).
• Andere Sektoren: das sektorspezifische CSIRT; solange keines besteht, das nationale CSIRT (§ 8 Abs. 3). Bis ein nationales CSIRT nach neuem Recht ermächtigt ist, längstens zwei Jahre, nimmt das bisher ermächtigte nationale CSIRT diese Aufgaben wahr (§ 51 Abs. 6).

Welche CSIRTs ermächtigt sind, macht die Cybersicherheitsbehörde öffentlich bekannt (§ 8 Abs. 5). Halten Sie Meldeadresse und Meldeweg fest, bevor Sie sie im Vorfall suchen müssen.

Beeinträchtigt der Vorfall Ihre Dienste, informieren Sie die Empfänger Ihrer Dienste unverzüglich und nennen, soweit möglich, Maßnahmen, die diese selbst ergreifen können (§ 34 Abs. 3).

Sind personenbezogene Daten betroffen, gilt daneben die Datenschutz-Grundverordnung: Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). In Österreich ist das die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Zwei Meldungen, zwei Empfänger: Die NIS2-Meldung geht an das CSIRT, die Datenschutzmeldung an die Datenschutzbehörde. Prüfen Sie beide im selben Vorfall.

• Zuständiges CSIRT und Meldeweg sind festgelegt und dokumentiert (§ 34 Abs. 1).
• Verantwortliche für die Meldung samt Vertretung sind benannt und auch außerhalb der Bürozeiten erreichbar.
• Die Kriterien aus § 35 sind auf Ihre Dienste übertragen: Welche Ausfälle, Schäden oder Datenabflüsse lösen eine Meldung aus?
• Der Zeitpunkt der Kenntnisnahme wird im Vorfall sofort festgehalten, denn ab ihm laufen 24 und 72 Stunden.
• Vorlagen für Frühwarnung, Meldung und Abschlussbericht enthalten die Inhalte aus § 34 Abs. 2.
• Ein Vorfallsprotokoll ist vorgesehen: Zeitleiste, Entscheidungen, betroffene Systeme, Kompromittierungsindikatoren.
• Die Information der Empfänger Ihrer Dienste nach § 34 Abs. 3 ist vorbereitet: wer, an wen, über welchen Kanal.
• Der Datenschutz ist eingebunden; die Prüfung nach Art. 33 DSGVO läuft parallel.
• IT-Dienstleister und Lieferanten geben Vorfälle, die Sie betreffen, unverzüglich an Sie weiter; das ist vertraglich geregelt.
• Die Meldekette wird regelmäßig geübt, zum Beispiel als Planspiel mit Geschäftsführung, IT und Kommunikation.

Die Checkliste ist eine Empfehlung von TOMORIS zur Vorbereitung. Gesetzlich vorgegeben sind Fristen, Inhalte und Empfänger der Meldungen (§ 34 NISG 2026).

Wer die Meldepflicht samt Berichtspflichten (§ 34 Abs. 1 und 2) oder die Information der Empfänger der Dienste (§ 34 Abs. 3) verletzt, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 4 und 5).

• 10 Mio. €Wesentliche Einrichtung

  oder 2 % des gesamten weltweiten Vorjahresumsatzes des Unternehmens, es gilt der höhere Betrag (§ 45 Abs. 2).

• 7 Mio. €Wichtige Einrichtung

  oder 1,4 % des gesamten weltweiten Vorjahresumsatzes des Unternehmens, es gilt der höhere Betrag (§ 45 Abs. 3).