NIS2-Meldefristen bei Sicherheitsvorfällen nach EU-Ländern
Die Frühwarnung bei einem erheblichen Sicherheitsvorfall ist innerhalb von 24 Stunden zu übermitteln. (NISG 2026, § 34)
Die Tabelle zeigt für jedes abgedeckte Land die Fristen für die Meldung eines erheblichen Sicherheitsvorfalls nach Artikel 23 der NIS2-Richtlinie — Frühwarnung, vollständige Meldung und Abschlussbericht — sowie die zuständige Behörde. Wo der Basiswert der EU-Richtlinie angezeigt wird, ist er in der Tabelle deutlich gekennzeichnet.
| Frühwarnung | Meldung des Vorfalls | Abschlussbericht | Zuständige Behörde | Meldeweg | |
|---|---|---|---|---|---|
| Belgien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Bevoegde autoriteit en meldingsplicht (nationale cyberbeveiligingsautoriteit, nationale CSIRT — NIS2-wet art. 16, art. 35) [↗] | – |
| Bulgarien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Компетентен орган и задължение за уведомяване (национален компетентен орган, СЕРИКС/CSIRT — ЗКС чл. 16, чл. 23) [↗] | СЕРИКС (nationales Recht) [↗] |
| Dänemark | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Kompetent myndighed og underretningspligt (kompetent myndighed, CSIRT — NIS2-loven § 12, § 13) [↗] | – |
| Deutschland | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Competent supervisory authority in Germany: Federal Office for Information Security (BSI) [↗] | gemeinsame Meldestelle des BSI und BBK (nationales Recht) [↗] |
| Estland | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Estonian supervisory and competent authority: Estonian Information System Authority (RIA) [↗] | Riigi Infosüsteemi Amet (nationales Recht) [↗] |
| Finnland | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Keskitetty yhteyspiste Suomessa: Liikenne- ja viestintäviraston Kyberturvallisuuskeskus (18 §) [↗] | – |
| Griechenland | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Αρμόδια αρχή και υποχρέωση αναφοράς (Εθνική Αρχή Κυβερνοασφάλειας, CSIRT — Νόμος 5160/2024 άρθρο 8, 16) [↗] | CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας (nationales Recht) [↗] |
| Italien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Autorità nazionale competente NIS e Punto di contatto unico in Italia: ACN (art 10) [↗] | CSIRT Italia (nationales Recht) [↗] |
| Kroatien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 30d (nationales Recht) [↗] | Nadležno tijelo i obveza obavještavanja (nadležni CSIRT / CARNET — Zakon o kibernetičkoj sigurnosti čl. 4, čl. 37) [↗] | nadležni CSIRT (Sigurnosno-obavještajna agencija või CARNET) (nationales Recht) [↗] |
| Lettland | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Kompetentā iestāde un ziņošanas pienākums (Nacionālais kiberdrošības centrs — NKDL 4. pants, 34. pants) [↗] | – |
| Litauen | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Kompetentinga institucija ir registravimasis (Nacionalinis kibernetinio saugumo centras — KSĮ 7 str., 11 str.) [↗] | Nacionalinis kibernetinio saugumo centras (nationales Recht) [↗] |
| Luxemburg | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Autorité compétente et obligation d'enregistrement (Institut luxembourgeois de régulation — loi du 5 mai 2026, art. 3, art. 11, art. 14) [↗] | Institut luxembourgeois de régulation (ILR); pangandus- ja finantsturu-infrastruktuuris CSSF (nationales Recht) [↗] |
| Malta | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Supervisory authority and notification duty (CIP Department, national CSIRT — S.L. 460.41 article 7, article 20) [↗] | national CSIRT (Malta Information Technology Agency) (nationales Recht) [↗] |
| Niederlande | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Bevoegde autoriteit, CSIRT en meldpunt (Minister van Justitie en Veiligheid als CSIRT — Cbw art. 15, 26–27, 43–44; Cbb art. 2, 25, 27) [↗] | – |
| Österreich | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Zuständige Behörde und Meldepflicht (Cybersicherheitsbehörde, sektorspezifische CSIRTs — NISG § 4, § 34) [↗] | – |
| Polen | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Właściwy CSIRT sektorowy i obowiązek zgłaszania incydentów (CSIRT sektorowy — uKSC art. 11) [↗] | – |
| Portugal | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 30wd (nationales Recht) [↗] | Autoridade competente e registo (CNCS — Decreto-Lei n.º 125/2025 artigo 19.º, artigo 8.º) [↗] | CNCS (Centro Nacional de Cibersegurança) / CERT.PT (nationales Recht) [↗] |
| Rumänien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Autoritate competentă și obligația de raportare (DNSC, CSIRT național — OUG 155/2024 art. 24, art. 15) [↗] | PNRISC (nationales Recht) [↗] |
| Schweden | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Gemensam kontaktpunkt (SPOC) i Sverige: Försvarets radioanstalt (1 kap. 17 §; förordning 2025:1507 § 23) [↗] | – |
| Slowakei | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Príslušný orgán a registračná povinnosť (Národný bezpečnostný úrad — zákon č. 69/2018 Z. z. § 4, § 17) [↗] | jednotný informačný systém kybernetickej bezpečnosti (nationales Recht) [↗] |
| Slowenien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Pristojni organ in obveznost priglasitve (Urad Vlade RS za informacijsko varnost, CSIRT — ZInfV-1 10. člen, 30. člen) [↗] | – |
| Tschechien | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 30d (nationales Recht) [↗] | Příslušný úřad a ohlašovací povinnost (Úřad, Národní CERT — zákon 264/2025 Sb. § 42, § 43, § 16) [↗] | Úřad (vyšší kohustusetase) / Národní CERT (madalam tase) (nationales Recht) [↗] |
| Ungarn | 24h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Kiberbiztonsági hatóság és bejelentési kötelezettség (nemzeti kiberbiztonsági hatóság — 2024. évi LXIX. törvény § 23, § 8) [↗] | Nemzetbiztonsági Szakszolgálat (Központ) (nationales Recht) [↗] |
| Zypern | 6h (nationales Recht) [↗] | 72h (nationales Recht) [↗] | 1mo (nationales Recht) [↗] | Αρμόδια αρχή και υποχρέωση κοινοποίησης (Αρχή Ψηφιακής Ασφάλειας — Ν. 60(Ι)/2025 άρθρο 30, 35Β) [↗] | Αρχή Ψηφιακής Ασφάλειας (nationales Recht) [↗] |
Fristen nach nationalem Recht: Österreich
Die folgenden Zitate stammen wortwörtlich aus dem Rechtsakt des Landes, der diese Fristen festlegt. Jedes Zitat trägt einen Verweis auf die amtliche Quelle.
Frühwarnung
innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls, eine Frühwarnung, in der gegebenenfalls angegeben wird, ob der Verdacht besteht, dass der erhebliche Cybersicherheitsvorfall auf rechtswidrige und schuldhafte Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen habenFundstelle: NISG 2026, § 34 — Amtliche Quelle ansehen
Meldung des Vorfalls — Meldung
innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls, eine Meldung über den Cybersicherheitsvorfall, in der gegebenenfalls die unter Z 1 genannten Informationen aktualisiert werden und eine erste Bewertung des erheblichen Cybersicherheitsvorfalls, einschließlich seines Schweregrads undFundstelle: NISG 2026, § 34 — Amtliche Quelle ansehen
Abschlussbericht
spätestens einen Monat nach Übermittlung der Meldung des Cybersicherheitsvorfalls gemäß Z 2 einen Abschlussbericht, der Folgendes enthält: a) eine ausführliche Beschreibung des Cybersicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen; b) Angaben zur Art der Bedrohung und zu denFundstelle: NISG 2026, § 34 — Amtliche Quelle ansehen
Häufige Fragen
Welche NIS2-Meldefristen gelten im Land Österreich?
NIS2-Meldefristen im Land Österreich: Frühwarnung 24h; Meldung des Vorfalls 72h; Abschlussbericht 1mo. Grundlage: NISG 2026 § 34; die Tabelle verlinkt die amtliche Quelle.