NIS2-Meldepflicht in Österreich: Fristen und zuständige Stellen nach dem NISG 2026

Wer muss melden – und was gilt als erheblicher Vorfall?

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die europäischen NIS2-Vorgaben in Österreich um. Es verpflichtet wesentliche Einrichtungen und wichtige Einrichtungen dazu, erhebliche Cybersicherheitsvorfälle zu melden.

Die Meldepflicht greift bei jedem erheblichen Cybersicherheitsvorfall im Sinne von § 35 NISG 2026. Ein Vorfall gilt demnach als erheblich, wenn er

• schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Bei der Beurteilung sind laut § 35 Abs. 2 unter anderem die Abhängigkeit anderer Sektoren, mögliche Auswirkungen auf öffentliche Ordnung und Gesundheit, der Marktanteil, das betroffene geografische Gebiet sowie die Schwere der Cyberbedrohung zu berücksichtigen. Die Cybersicherheitsbehörde kann mit Verordnung weitere Kriterien festlegen (§ 35 Abs. 3).

Betroffen sind Einrichtungen aus den 18 Sektoren nach § 2 NISG 2026 – von Energie, Verkehr und Gesundheitswesen über digitale Infrastruktur bis hin zu Produktion, Lebensmittelvertrieb und Forschung.

An wen wird gemeldet? CSIRT und Cybersicherheitsbehörde

Nach § 34 Abs. 1 NISG 2026 melden wesentliche und wichtige Einrichtungen einen erheblichen Vorfall unverzüglich dem für sie zuständigen sektorspezifischen CSIRT – oder, falls kein solches besteht, dem nationalen CSIRT.

Das CSIRT leitet die Meldung anschließend unverzüglich an die Cybersicherheitsbehörde weiter. Die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) ist gemäß § 4 NISG 2026 die zuständige nationale Behörde und nimmt Meldungen entgegen, analysiert und leitet sie weiter (§ 4 Abs. 1 Z 14).

Meldeweg im Überblick:

Das CSIRT muss der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung eine erste Rückmeldung übermitteln und auf Ersuchen Orientierungshilfen oder operative Beratung leisten (§ 34 Abs. 4).

*Hinweis:* Der genaue elektronische Melde- bzw. Registrierungskanal des zuständigen sektorspezifischen CSIRT geht aus dem Gesetzestext nicht eindeutig hervor – dies ist im Einzelfall zu klären. [TÄPSUSTAB PARTNER-JURIST]

Die drei Meldefristen im Detail (§ 34 Abs. 2)

Das NISG 2026 sieht in § 34 Abs. 2 ein gestuftes Meldeverfahren mit klaren Fristen vor:

1. Frühwarnung – innerhalb von 24 Stunden

Unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls, ist eine Frühwarnung zu übermitteln. Darin ist gegebenenfalls anzugeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte (§ 34 Abs. 2 Z 1).

2. Meldung über den Vorfall – innerhalb von 72 Stunden

Unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme, folgt eine Meldung mit einer ersten Bewertung des Vorfalls, einschließlich Schweregrad, Auswirkungen und – soweit verfügbar – der Kompromittierungsindikatoren (§ 34 Abs. 2 Z 2).

3. Abschlussbericht – spätestens einen Monat später

Spätestens einen Monat nach Übermittlung der Meldung ist ein Abschlussbericht zu übermitteln (§ 34 Abs. 2 Z 4). Dieser enthält:

• eine ausführliche Beschreibung des Vorfalls samt Schweregrad und Auswirkungen,
• Angaben zur Art der Bedrohung und zu den zugrundeliegenden Ursachen,
• Angaben zu getroffenen und laufenden Abhilfemaßnahmen,
• gegebenenfalls die grenzüberschreitenden Auswirkungen.

Dauert der Vorfall zum Fälligkeitszeitpunkt noch an, ist ein Fortschrittsbericht vorzulegen; der Abschlussbericht ist dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung zu übermitteln (§ 34 Abs. 2 Z 5). Auf Ersuchen des CSIRT oder der Cybersicherheitsbehörde ist zudem ein Zwischenbericht zu liefern (§ 34 Abs. 2 Z 3).

Sonderfall Vertrauensdiensteanbieter: Bei Vorfällen, die die Erbringung ihrer Vertrauensdienste betreffen, unterrichten sie das CSIRT innerhalb von 24 Stunden nach Kenntnisnahme (§ 34 Abs. 2).

Information der Dienstenutzer: Soweit ein erheblicher Vorfall die Diensterbringung beeinträchtigt, hat die Einrichtung die Empfänger ihrer Dienste unverzüglich zu unterrichten und mögliche Abhilfemaßnahmen mitzuteilen (§ 34 Abs. 3).

Sanktionen bei Verletzung der Meldepflicht

Wer der Meldepflicht nach § 34 Abs. 1 und 2 sowie den damit zusammenhängenden Berichtspflichten nicht entspricht, begeht eine Verwaltungsübertretung nach § 45 NISG 2026.

Die Höhe der Geldstrafe richtet sich nach der Einstufung der Einrichtung:

Auch die unterlassene Unterrichtung der Dienstenutzer nach § 34 Abs. 3 kann sanktioniert werden (§ 45 Abs. 1 Z 5).

Ab wann gelten die Pflichten – und wie bereiten Sie sich vor?

Die Verpflichtungen des NISG 2026 treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Die Kundmachung erfolgte am 23.12.2025 (BGBl. I Nr. 94/2025). Bis dahin gilt das bisherige NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Um im Ernstfall die 24-Stunden-, 72-Stunden- und Ein-Monats-Fristen einzuhalten, empfiehlt sich rechtzeitig:

• Klären, ob Ihre Organisation als wesentliche oder wichtige Einrichtung eingestuft ist (§ 24).
• Ein internes Meldeverfahren aufsetzen, das die drei Fristen abbildet.
• Verantwortlichkeiten und Kontaktdaten des zuständigen CSIRT festlegen.
• Risikomanagementmaßnahmen nach § 32 dokumentieren.

Nutzen Sie unser kostenloses Scoping- und Gap-Tool, um herauszufinden, ob Sie in den Anwendungsbereich des NISG 2026 fallen und wo bei Ihren Melde- und Sicherheitsprozessen noch Lücken bestehen.