Cybersicherheitsvorfälle melden nach dem NISG 2026

Wann ein Vorfall meldepflichtig ist

Melden müssen wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall (§ 34 Abs. 1 NISG 2026). Erheblich ist ein Vorfall nach § 35 Abs. 1, wenn er schwerwiegende Betriebsstörungen der Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Für die Abwägung nennt § 35 Abs. 2 Kriterien wie die Abhängigkeit anderer Sektoren von Ihrem Dienst, mögliche Folgen für Gesundheit und öffentliche Sicherheit, Ihren Marktanteil, das betroffene Gebiet und die Art der Bedrohung.

Feste Schwellen aus § 5 NISV 2026

Damit nicht alles an der Einzelfallbewertung hängt, legt § 5 der NISV 2026 Fälle fest, in denen ein Vorfall jedenfalls erheblich ist. Es genügt, wenn eines der Kriterien erfüllt ist oder droht:

Besonders Z 9 unterschätzen viele Betriebe. Wer nach einem Ransomware-Angriff den Notfallplan aktiviert, hat damit in aller Regel einen meldepflichtigen Vorfall. Geplante Wartungsarbeiten gelten dagegen nicht als erheblicher Vorfall (§ 6 NISV 2026). Mehrere kleine Vorfälle mit derselben Ursache können nach § 7 NISV 2026 zusammen als ein erheblicher Vorfall zählen, wenn sie binnen sechs Monaten mindestens zweimal aufgetreten sind und weitere Bedingungen erfüllen.

Die Meldestufen und ihre Fristen

Die Fristen beginnen mit der Kenntnisnahme des erheblichen Vorfalls (§ 34 Abs. 2 NISG 2026). Laut Bundesamt für Cybersicherheit läuft die 24-Stunden-Frist auch dann am Wochenende, wenn Sie Ihre Dienste nur werktags anbieten.

Für Vertrauensdiensteanbieter gilt bei Vorfällen, die ihre Vertrauensdienste betreffen, statt der 72 Stunden eine Frist von 24 Stunden (§ 34 Abs. 2 NISG 2026, Schlussteil).

An wen und auf welchem Weg

Empfänger ist das für Sie zuständige sektorspezifische CSIRT, gibt es keines, das nationale CSIRT. Das CSIRT leitet die Meldung an das Bundesamt weiter (§ 34 Abs. 1). Für die öffentliche Verwaltung ist das GovCERT beim Bundesamt zuständig (§ 8 Abs. 4). Gemeldet wird über die Anwendung „Vorfall melden“ im USP. Für den Fall, dass das Portal nicht erreichbar ist, stellt das Bundesamt PDF-Formulare für jede Meldestufe bereit.

Das CSIRT antwortet binnen 24 Stunden nach Eingang der Frühwarnung und bietet auf Wunsch Orientierung oder technische Unterstützung an (§ 34 Abs. 4). Sind auch andere EU-Staaten betroffen, prüfen Sie selbst, ob dort eigene Meldepflichten bestehen. Eine Meldung in Österreich deckt diese laut Bundesamt nicht automatisch ab.

Die Empfänger Ihrer Dienste informieren

Beeinträchtigt ein erheblicher Vorfall Ihren Dienst, müssen Sie dessen Empfänger unverzüglich informieren und, soweit möglich, Maßnahmen nennen, die sie selbst ergreifen können (§ 34 Abs. 3 NISG 2026). Verstöße dagegen sind eigens strafbewehrt (§ 45 Abs. 1 Z 5). Bereiten Sie dafür Textbausteine und Verteiler vor. Ein Vorfall kann zusätzlich eine Meldung an die Datenschutzbehörde nach Art. 33 DSGVO nötig machen, mit eigener 72-Stunden-Frist.

Den Meldeweg vorbereiten

• Übernehmen Sie die Schwellen aus § 5 NISV 2026 in Ihr Vorfallhandbuch und ergänzen Sie eigene Kennzahlen.
• Benennen Sie, wer die Erheblichkeit beurteilt, wer meldet und wer vertritt, mit Erreichbarkeit rund um die Uhr.
• Klären Sie den USP-Zugang der meldenden Personen vorab und legen Sie die PDF-Ersatzformulare offline ab.
• Üben Sie die Frühwarnung einmal im Jahr in einem Planspiel.

Ob Ihr Meldeweg trägt, fragt das NIS2-Scoring im Bereich Registrierung und Meldungen ab.