Ein Blattfür jedeMeldestufe.

Melden müssen Sie jeden erheblichen Cybersicherheitsvorfall, also ein Ereignis, das Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt (§ 3 Z 30 NISG 2026) und erheblich ist. Die NISV 2026 (BGBl. II Nr. 290/2026, kundgemacht am 1. Oktober 2026) nennt in § 5 Fälle, die jedenfalls erheblich sind. „Kann verursachen“ in § 5 Abs. 1 Z 1 bis 3 heißt laut Erläuterungen: Die Auswirkung ist bei gewöhnlichem Verlauf der Dinge in naher Zukunft zu erwarten. Kreuzen Sie an, was eingetreten ist oder so bevorsteht.

• § 35 Abs. 1 NISG 2026: schwerwiegende Betriebsstörungen der Dienste oder schwerwiegende finanzielle Verluste der Einrichtung (Z 1) oder erhebliche materielle oder immaterielle Schäden bei anderen Personen (Z 2).
• § 5 Abs. 1 Z 1 NISV 2026: direkter finanzieller Verlust von mehr als 500 000 EUR oder 5 % des Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist.
• Z 2: Abfluss von Geschäftsgeheimnissen im Sinne von § 26b UWG oder von Informationen, die nach § 6 IFG der Geheimhaltung unterliegen.
• Z 3 und 4: Tod oder schwere Schädigung der Gesundheit einer natürlichen Person.
• Z 5: erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht.
• Z 6 mit § 7: mindestens zwei für sich nicht erhebliche Vorfälle in sechs Monaten mit derselben offensichtlichen Ursache und Auswirkung, die zusammen die Schwelle aus Z 1 überschreiten.
• Z 7 und 8: Ausfall oder eingeschränkte Verfügbarkeit der Dienste für mehr als 24 Stunden, für mehr als 100 000 Nutzer oder 10 % der Nutzer (der niedrigere Wert) oder im Gebiet mindestens eines Bundeslandes.
• Z 9: Der Vorfall hat das Krisenmanagement oder Notfallwiederherstellungspläne des Betriebskontinuitätsmanagements aktiviert.
• Ausschluss nach § 6 NISV 2026: nur eine planmäßige Betriebsunterbrechung oder geplante Folgen planmäßiger Wartungsarbeiten. Das ist kein erheblicher Vorfall.

Die allgemeinen Kriterien gelten neben § 5 NISV 2026 weiter. Nach § 35 Abs. 2 NISG 2026 zählen etwa die Abhängigkeit anderer Sektoren von Ihrem Dienst, Folgen für Umwelt, öffentliche Sicherheit oder Gesundheit, Ihr Marktanteil, das betroffene Gebiet samt grenzüberschreitender Auswirkungen, die betroffenen Systeme, Schwere der Bedrohung, ausgenutzte Schwachstellen und Erfahrungen mit ähnlichen Vorfällen.

Für Einrichtungen nach der DVO (EU) 2024/2690 (DNS, TLD-Namenregister, Cloud, Rechenzentren, Inhaltszustellnetze, verwaltete Dienste und Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste) gelten deren Art. 3, 4 und je Art Art. 5 bis 14; § 5 NISV 2026 regelt laut Erläuterungen die übrigen Einrichtungen. Verwaltete Dienste und Sicherheitsdienste zusätzlich nach Art. 10: mehr als 30 Minuten vollständig nicht verfügbar, mehr als eine Stunde eingeschränkt für mehr als 5 % oder 1 Mio. Nutzer in der Union (der niedrigere Wert) oder Daten durch mutmaßlich böswillige Handlung oder für diesen Nutzerkreis beeinträchtigt.