MELDEFRISTENBERECHNEN.

Ab der Kenntnisnahme des erheblichen Cybersicherheitsvorfalls, nicht ab seinem Beginn: Frühwarnung spätestens 24 Stunden danach, Meldung spätestens 72 Stunden danach (§ 34 Abs. 2 Z 1 und 2 NISG 2026, Art. 23 Abs. 4 lit. a und b NIS-2-Richtlinie). Halten Sie den Zeitpunkt der Kenntnisnahme deshalb sofort fest.

Spätestens einen Monat nach Übermittlung der Meldung, nicht nach dem Vorfall (§ 34 Abs. 2 Z 4 NISG 2026). Ohne eingetragenen Zeitpunkt der Meldung rechnet der Rechner mit dem spätesten zulässigen Zeitpunkt. Dauert der Vorfall dann noch an, ist bis dahin ein Fortschrittsbericht fällig und der Abschlussbericht einen Monat nach Ende der Vorfallsbehandlung (§ 34 Abs. 2 Z 5).

Alle Zeiten gelten in österreichischer Zeit, auch wenn Ihr Gerät anders eingestellt ist. 24 und 72 Stunden laufen in echter Zeit; liegt eine Zeitumstellung dazwischen, zeigt die Uhr am Ende eine Stunde mehr oder weniger. Ein Monat endet am gleichen Kalendertag zur gleichen Uhrzeit, fehlt der Tag im Folgemonat, am Monatsletzten. Das ist eine vorsichtige Rechenhilfe; wie eine Frist im Einzelfall zu berechnen ist, klärt Ihre Rechtsberatung.

Die Meldepflicht nach § 34 NISG 2026 trifft wesentliche und wichtige Einrichtungen. Ob Sie dazu zählen, zeigt der NIS2-Betroffenheitscheck. Wer nicht unter das Gesetz fällt, kann Vorfälle freiwillig an das nationale CSIRT melden (§ 37 Abs. 2).

An das für Sie zuständige sektorspezifische CSIRT, gibt es keines, an das nationale CSIRT. Das CSIRT leitet sie an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1 NISG 2026). Sind personenbezogene Daten betroffen, geht eine eigene Meldung an die Datenschutzbehörde (Art. 33 DSGVO, § 18 Abs. 1 DSG).

Nein. Er rechnet Fristen nach den genannten Bestimmungen aus. Ob ein erheblicher Cybersicherheitsvorfall vorliegt, richtet sich nach § 35 NISG 2026 und gegebenenfalls nach der Durchführungsverordnung (EU) 2024/2690; das beurteilt der Rechner nicht.