NIS2-Vorfallsmeldung in Österreich: Schritt-für-Schritt-Anleitung für den Ernstfall

Schritt 1: Wann die Meldepflicht ausgelöst wird

Die Meldepflicht in Österreich knüpft nicht an jeden IT-Zwischenfall an, sondern an den erheblichen Cybersicherheitsvorfall. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) definiert diesen in § 35.

Ein Cybersicherheitsvorfall gilt nach § 35 Abs. 1 als erheblich, wenn er

• schwerwiegende Betriebsstörungen der erbrachten Dienste der Einrichtung oder schwerwiegende finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder
• andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Wichtig für die Praxis: Schon die Möglichkeit dieser Auswirkungen genügt – Sie müssen nicht abwarten, bis der Schaden eingetreten ist.

Bei der Beurteilung sind laut § 35 Abs. 2 unter anderem zu berücksichtigen: die Abhängigkeit anderer Sektoren oder Teilsektoren nach den Anlagen 1 und 2 von Ihren Diensten, mögliche Auswirkungen auf Umwelt, öffentliche Ordnung und Sicherheit sowie öffentliche Gesundheit, Ihr Marktanteil bei den betroffenen Diensten, das geografisch betroffene Gebiet einschließlich allfälliger grenzüberschreitender Auswirkungen, die betroffenen Netz- und Informationssysteme samt Schwere und technischen Merkmalen der Cyberbedrohung sowie gegebenenfalls unternehmens- und sektorspezifische Faktoren.

Die Cybersicherheitsbehörde kann nach § 35 Abs. 3 mit Verordnung weitere Kriterien und nähere Regelungen festlegen; sektorspezifische Faktoren können dabei berücksichtigt werden.

Die Pflicht trifft wesentliche Einrichtungen (§ 24 Abs. 1) und wichtige Einrichtungen (§ 24 Abs. 2) gleichermaßen – die Einstufung wirkt sich aber auf die Strafdrohung aus.

Schritt 2: Wem Sie melden – CSIRT, nicht direkt der Behörde

Anders als viele erwarten, geht die Erstmeldung in Österreich nicht an die Aufsichtsbehörde, sondern an ein CSIRT. § 34 Abs. 1 NISG 2026 verlangt, dass wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall unverzüglich dem für sie zuständigen sektorspezifischen CSIRT melden – und, wenn es für den Sektor kein solches gibt, dem nationalen CSIRT.

Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Die Cybersicherheitsbehörde nimmt Meldungen entgegen, analysiert und leitet sie weiter (§ 4 Abs. 1 Z 14) und betreibt auch die zentrale Anlaufstelle (§ 5, § 4 Abs. 1 Z 9). Betrifft der Vorfall zwei oder mehr EU-Mitgliedstaaten, unterrichtet die Cybersicherheitsbehörde im Wege der zentralen Anlaufstelle unverzüglich die zentralen Anlaufstellen der anderen betroffenen Mitgliedstaaten und die ENISA (§ 34 Abs. 5). Diesen Schritt müssen Sie also nicht selbst setzen – Sie müssen aber alle Informationen übermitteln, die eine Beurteilung grenzübergreifender Auswirkungen ermöglichen (§ 34 Abs. 2 letzter Satz).

Zum konkreten Meldekanal: Der genaue elektronische Melde- bzw. Registrierungskanal des jeweils zuständigen sektorspezifischen CSIRT geht aus dem Gesetzestext nicht eindeutig hervor – auf diesen Punkt ist der nationale Auszug also stumm. Auch die Richtlinie (EU) 2022/2555 gibt in art 23 nur die Grundlinie vor, dass an das CSIRT oder gegebenenfalls die zuständige Behörde zu melden ist, ohne ein Portal oder Formular zu benennen. Welches Formular, welche Adresse und welche Kontaktkette für Ihren Sektor gilt: [Bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).].

Einen praktischen Vorteil bringt die Meldung übrigens sofort: Das CSIRT hat Ihnen spätestens 24 Stunden nach Eingang der Frühwarnung eine Antwort mit erster Rückmeldung zu übermitteln und auf Ersuchen Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen zu geben (§ 34 Abs. 4). Auf Ersuchen leistet das CSIRT zusätzliche technische Unterstützung; bei vermutetem strafrechtlich relevantem Hintergrund gibt es Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden.

Ein Hinweis zur Haftung: Dass die bloße Meldung die meldende Einrichtung keiner erhöhten Haftung unterwirft, steht so im nationalen Auszug nicht – dieser Grundsatz ergibt sich auf Richtlinienebene aus art 23(1) der Richtlinie (EU) 2022/2555.

Schritt 3: In welcher Form und in welchen Stufen gemeldet wird

§ 34 Abs. 2 NISG 2026 sieht ein mehrstufiges Verfahren vor. Behandeln Sie es als vier getrennte Lieferobjekte mit eigenen Inhalten:

Dauert der Vorfall zum Zeitpunkt der Fälligkeit des Abschlussberichts noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht zu übermitteln (§ 34 Abs. 2 Z 5).

Parallel dazu läuft eine zweite Pflicht, die im Krisenstress oft vergessen wird: Soweit der erhebliche Vorfall die Erbringung Ihres Dienstes beeinträchtigt, haben Sie die Empfänger Ihrer Dienste unverzüglich zu unterrichten und, soweit möglich, Maßnahmen oder Abhilfemaßnahmen mitzuteilen, die diese als Reaktion ergreifen können (§ 34 Abs. 3). Halten Sie dafür Textbausteine und Kommunikationswege vorbereitet.

Schritt 4: Die Fristen – jede einzeln gelesen

Die Fristen des § 34 Abs. 2 NISG 2026 laufen ab Kenntnisnahme des erheblichen Cybersicherheitsvorfalls. Jede Frist gilt zusätzlich zum vorgelagerten Gebot der Unverzüglichkeit:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme (§ 34 Abs. 2 Z 1).
• Meldung über den Cybersicherheitsvorfall: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme (§ 34 Abs. 2 Z 2).
• Zwischenbericht: keine feste Frist; zu übermitteln auf Ersuchen eines CSIRTs oder gegebenenfalls der Cybersicherheitsbehörde (§ 34 Abs. 2 Z 3).
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung über den Cybersicherheitsvorfall (§ 34 Abs. 2 Z 4).
• Andauernder Vorfall: Fortschrittsbericht zum Fälligkeitszeitpunkt des Abschlussberichts, Abschlussbericht dann bis spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5).
• Vertrauensdiensteanbieter: abweichend von Z 2 unterrichten sie das CSIRT bei erheblichen Vorfällen, die sich auf die Erbringung ihrer Vertrauensdienste auswirken, unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme (§ 34 Abs. 2 letzter Teil).

Stellen Sie also nicht auf eine pauschale Merkregel ab, sondern auf diese einzelnen Fristen und darauf, wann bei Ihnen intern die „Kenntnisnahme" dokumentiert wird. Genau dieser Zeitpunkt entscheidet später über Fristeinhaltung – halten Sie ihn im Ticket, im Protokoll und in der Alarmierungskette fest.

Was passiert bei Verstößen – und ab wann gilt das alles?

Wer seiner Verpflichtung zur Meldung eines erheblichen Cybersicherheitsvorfalls gemäß § 34 Abs. 1 und 2 sowie den damit zusammenhängenden Berichtspflichten nicht entspricht, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 4). Dasselbe gilt für die unterlassene unverzügliche Unterrichtung der Empfänger der Dienste nach § 34 Abs. 3 (§ 45 Abs. 1 Z 5).

Die Strafdrohung richtet sich nach der Einstufung:

• wesentliche Einrichtung (§ 24 Abs. 1): Geldstrafe bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2).
• wichtige Einrichtung (§ 24 Abs. 2): Geldstrafe bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist (§ 45 Abs. 3).

Zum Zeitplan: Nach § 51 treten die Verpflichtungen – darunter die §§ 2 bis 45 – „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft. Kundgemacht wurde das NISG 2026 am 23.12.2025 (BGBl. I Nr. 94/2025). Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Ihr nächster Schritt: Klären Sie jetzt drei Dinge – ob Sie überhaupt in den Anwendungsbereich fallen (Sektoren nach § 2 sowie Anlagen 1 und 2, Einstufung nach § 24), welches CSIRT für Ihren Sektor zuständig ist, und wer bei Ihnen die Frühwarnung innerhalb von 24 Stunden tatsächlich absetzen darf. Unser kostenloses Scoping- und Gap-Tool führt Sie in wenigen Minuten durch die Einstufung und zeigt, welche Melde- und Risikomanagementpflichten (§ 32) bei Ihnen offen sind.