NIS2-Vorfallmeldung: Vorlage für Frühwarnung, Meldung und Abschlussbericht

Diese Vorlage ist ein internes Arbeitsblatt. Die Meldung selbst übermitteln Sie über die Anwendung NIS2-Services, die das Bundesamt für Cybersicherheit (BCS) über das Unternehmensserviceportal bereitstellt. Nur wenn das Meldeportal vorübergehend technisch nicht verfügbar ist, nennt das BCS als alternativen Meldeweg PDF-Formulare für jeden Meldetyp. Empfänger ist das für Sie zuständige CSIRT; es leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1 NISG 2026). Für Einrichtungen der öffentlichen Verwaltung arbeitet das BCS laut eigener Seite noch an einer Anbindung über den Portalverbund (Stand 5. Oktober 2026).

Aufbau und Arbeitsweise der Vorlage sind eine Empfehlung von TOMORIS: Teil A füllen Sie vorab aus, alles Weitere im Vorfall. Gesetzlich vorgegeben sind Fristen, Inhalte und Empfänger der Meldungen (§ 34 NISG 2026), die Erheblichkeit (§ 35 NISG 2026, §§ 5 bis 7 NISV 2026) und die Pflichten nach Art. 33 DSGVO. Die Feldnamen folgen den BCS-Formularen für den alternativen Meldeweg (Version 1.0, Stand 1. Oktober 2026); im Portal gelten die dort verlangten Angaben.

Zuständig sind laut BCS-Formularen das GovCERT für die öffentliche Verwaltung (§ 8 Abs. 4 NISG 2026), das Austrian HealthCERT für das Gesundheitswesen und das nationale CERT für alle weiteren Sektoren; Adressen für den alternativen Meldeweg: reports@govcert.gv.at, reports@a-healthcert.at und reports@cert.at. Berichtspflichten kann bei entsprechender Vertretungsbefugnis auch ein Dritter erfüllen, etwa Ihr IT-Dienstleister (Erläuterungen zu § 5 NISV 2026). Die Meldung eines Lieferanten entbindet Sie nicht: Ist der Vorfall für beide Einrichtungen erheblich, melden beide (BCS).

Frühwarnung und Meldung sind binnen 24 bzw. 72 Stunden nach Kenntnisnahme des erheblichen Vorfalls fällig (§ 34 Abs. 2 Z 1 und 2 NISG 2026). Die 24 Stunden laufen laut BCS auch am Wochenende, wenn Sie Ihre Dienste dann nicht anbieten. Was „Kenntnisnahme“ genau ist, definiert das Gesetz nicht. Die BCS-Formulare fragen nach Beginn und erstmaligem Erkennen bzw. Kenntnisnahme, jeweils mit Datum und Uhrzeit in mitteleuropäischer Zeit.

Empfehlung von TOMORIS: Rechnen Sie die Fristen im Zweifel ab dem frühesten dokumentierten Zeitpunkt und führen Sie ab der ersten Beobachtung ein Protokoll. Es liefert die Angaben für alle Berichte und dient, wenn personenbezogene Daten betroffen sind, der Dokumentation nach Art. 33 Abs. 5 DSGVO.

Melden müssen Sie jeden erheblichen Cybersicherheitsvorfall, also ein Ereignis, das Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt (§ 3 Z 30 NISG 2026) und erheblich ist. Die NISV 2026 (BGBl. II Nr. 290/2026, kundgemacht am 1. Oktober 2026) nennt in § 5 Fälle, die jedenfalls erheblich sind. „Kann verursachen“ in § 5 Abs. 1 Z 1 bis 3 heißt laut Erläuterungen: Die Auswirkung ist bei gewöhnlichem Verlauf der Dinge in naher Zukunft zu erwarten. Kreuzen Sie an, was eingetreten ist oder so bevorsteht.

• § 35 Abs. 1 NISG 2026: schwerwiegende Betriebsstörungen der Dienste oder schwerwiegende finanzielle Verluste der Einrichtung (Z 1) oder erhebliche materielle oder immaterielle Schäden bei anderen Personen (Z 2).
• § 5 Abs. 1 Z 1 NISV 2026: direkter finanzieller Verlust von mehr als 500 000 EUR oder 5 % des Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist.
• Z 2: Abfluss von Geschäftsgeheimnissen im Sinne von § 26b UWG oder von Informationen, die nach § 6 IFG der Geheimhaltung unterliegen.
• Z 3 und 4: Tod oder schwere Schädigung der Gesundheit einer natürlichen Person.
• Z 5: erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht.
• Z 6 mit § 7: mindestens zwei für sich nicht erhebliche Vorfälle in sechs Monaten mit derselben offensichtlichen Ursache und Auswirkung, die zusammen die Schwelle aus Z 1 überschreiten.
• Z 7 und 8: Ausfall oder eingeschränkte Verfügbarkeit der Dienste für mehr als 24 Stunden, für mehr als 100 000 Nutzer oder 10 % der Nutzer (der niedrigere Wert) oder im Gebiet mindestens eines Bundeslandes.
• Z 9: Der Vorfall hat das Krisenmanagement oder Notfallwiederherstellungspläne des Betriebskontinuitätsmanagements aktiviert.
• Ausschluss nach § 6 NISV 2026: nur eine planmäßige Betriebsunterbrechung oder geplante Folgen planmäßiger Wartungsarbeiten. Das ist kein erheblicher Vorfall.

Die allgemeinen Kriterien gelten neben § 5 NISV 2026 weiter. Nach § 35 Abs. 2 NISG 2026 zählen etwa die Abhängigkeit anderer Sektoren von Ihrem Dienst, Folgen für Umwelt, öffentliche Sicherheit oder Gesundheit, Ihr Marktanteil, das betroffene Gebiet samt grenzüberschreitender Auswirkungen, die betroffenen Systeme, Schwere der Bedrohung, ausgenutzte Schwachstellen und Erfahrungen mit ähnlichen Vorfällen.

Für Einrichtungen nach der DVO (EU) 2024/2690 (DNS, TLD-Namenregister, Cloud, Rechenzentren, Inhaltszustellnetze, verwaltete Dienste und Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste) gelten deren Art. 3, 4 und je Art Art. 5 bis 14; § 5 NISV 2026 regelt laut Erläuterungen die übrigen Einrichtungen. Verwaltete Dienste und Sicherheitsdienste zusätzlich nach Art. 10: mehr als 30 Minuten vollständig nicht verfügbar, mehr als eine Stunde eingeschränkt für mehr als 5 % oder 1 Mio. Nutzer in der Union (der niedrigere Wert) oder Daten durch mutmaßlich böswillige Handlung oder für diesen Nutzerkreis beeinträchtigt.

Anzugeben ist gegebenenfalls, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte (§ 34 Abs. 2 Z 1 NISG 2026). Laut BCS ist die Frühwarnung auf das Wesentliche zu reduzieren und nur einmal möglich; liegen die ausführlicheren Angaben schon vor, können Sie innerhalb der 24 Stunden gleich die Meldung abgeben. Einrichtung, Ansprechperson und Zeitpunkte übernehmen Sie aus Teil A und B.

Die Meldung ersetzt keine polizeiliche Anzeige (Hinweis im BCS-Formular); bei vermutetem strafrechtlichem Hintergrund gibt das CSIRT Orientierungshilfe für die Meldung an die Strafverfolgungsbehörden (§ 34 Abs. 4 NISG 2026). Eine Meldung in Österreich erfüllt nicht automatisch Meldepflichten in anderen Mitgliedstaaten (BCS).

Die Meldung aktualisiert gegebenenfalls die Frühwarnung und enthält eine erste Bewertung samt Schweregrad und Auswirkungen sowie gegebenenfalls die Kompromittierungsindikatoren (§ 34 Abs. 2 Z 2 NISG 2026). Angaben der Frühwarnung werden laut BCS übernommen und können aktualisiert werden; auch die Meldung ist nur einmal möglich.

Beeinträchtigt der erhebliche Vorfall die Erbringung Ihres Dienstes, unterrichten Sie die Empfänger Ihrer Dienste unverzüglich und teilen, soweit möglich, alle Maßnahmen oder Abhilfemaßnahmen mit, die diese als Reaktion ergreifen können (§ 34 Abs. 3 NISG 2026).

Mustertext, an Ihren Fall anzupassen: „Sehr geehrte Damen und Herren, am [Datum] haben wir einen Cybersicherheitsvorfall festgestellt, der [Dienst] beeinträchtigt. Betroffen ist [Umfang]. Wir haben [Maßnahmen] eingeleitet. Bitte [Maßnahme für Empfänger]. Ihre Ansprechperson: [Name, Funktion, Kontakt]. Wir informieren Sie erneut am [Datum].“

Sind personenbezogene Daten betroffen, meldet der Verantwortliche die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). In Österreich ist das die Datenschutzbehörde (§ 18 Abs. 1 DSG). Diese Pflicht bleibt laut BCS neben der NIS2-Meldung unberührt.

• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze erhoben, Risiko für die Rechte und Freiheiten bewertet (Art. 33 Abs. 1 und 3 DSGVO); die Verletzung ist mit Fakten, Auswirkungen und Abhilfemaßnahmen dokumentiert, auch ohne Meldepflicht (Art. 33 Abs. 5).
• Meldung an die Datenschutzbehörde: Art der Verletzung, Kontakt des Datenschutzbeauftragten oder einer Anlaufstelle, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen; nach 72 Stunden mit Begründung der Verzögerung; Fehlendes schrittweise nachreichen (Art. 33 Abs. 1, 3 und 4).
• Voraussichtlich hohes Risiko: betroffene Personen unverzüglich benachrichtigt, außer eine Ausnahme nach Art. 34 Abs. 3 greift (Art. 34 Abs. 1).
• Als Auftragsverarbeiter: Verantwortlichen unverzüglich informiert (Art. 33 Abs. 2).

Im Verfahren, nicht geltend: Die Europäische Kommission hat am 19. November 2025 eine Digital-Omnibus-Verordnung vorgeschlagen (COM(2025) 837). Danach wäre der Aufsichtsbehörde nur bei voraussichtlich hohem Risiko und nach Möglichkeit binnen 96 Stunden zu melden, über eine zentrale Anlaufstelle der ENISA. Mit Stand 25. Oktober 2026 ist der Vorschlag nicht beschlossen; Art. 33 DSGVO gilt unverändert.