NIS2-Meldung in Österreich: Was verlangt das NISG 2026?

Stand: 14.10.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer meldet an wen?

Die Meldepflicht trifft wesentliche und wichtige Einrichtungen. Sie melden nach § 34 Abs. 1 NISG 2026 jeden erheblichen Cybersicherheitsvorfall unverzüglich an das für sie zuständige sektorspezifische Computer-Notfallteam (CSIRT). Fehlt ein solches, geht die Meldung an das nationale CSIRT. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter; das ist nach § 3a NISG 2026 das Bundesamt für Cybersicherheit.

Anders als in Deutschland gibt es also keine einzige zentrale Meldestelle für alle. Der Meldeweg hängt am Sektor. Klären Sie deshalb vor dem ersten Vorfall, welches CSIRT für Ihre Einrichtung zuständig ist, und legen Sie Kontaktdaten und Zugang im Incident-Response-Plan ab.

Die fünf Meldestufen nach § 34 Abs. 2

Eine Feinheit im Wortlaut: Die Richtlinie spricht bei der Frühwarnung von rechtswidrigen oder böswilligen Handlungen, das NISG 2026 von rechtswidrigen und schuldhaften Handlungen. Für die Praxis heißt das: In der Frühwarnung geben Sie an, ob Sie eine Straftat vermuten, ohne dass die Ermittlung abgeschlossen sein muss.

Wann ist ein Vorfall erheblich?

Die Grundregel steht in § 35 Abs. 1 NISG 2026. Erheblich ist ein Cybersicherheitsvorfall, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. § 35 Abs. 2 nennt Kriterien für die Beurteilung, Abs. 3 ermächtigt zu einer Verordnung mit weiteren Kriterien.

Diese Verordnung ist die NISV 2026. Ihr § 5 Abs. 1 zählt neun Fälle auf, in denen ein Vorfall jedenfalls als erheblich gilt, wenn einer oder mehrere erfüllt sind:

1. direkter finanzieller Verlust über 500.000 € oder 5 % des Vorjahresumsatzes, der niedrigere Wert zählt
2. Abfluss von Geschäftsgeheimnissen nach § 26b UWG oder von nach § 6 IFG geheimen Informationen
3. Tod eines Menschen
4. schwere Schädigung der Gesundheit eines Menschen
5. erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff, der wahrscheinlich zu schwerwiegenden Betriebsstörungen führt
6. wiederholte Vorfälle nach § 7
7. mehr als 100.000 Nutzer oder 10 % der Nutzer, der niedrigere Wert, länger als 24 Stunden betroffen
8. Auswirkungen auf mindestens ein Bundesland länger als 24 Stunden
9. Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen

Planmäßige Betriebsunterbrechungen und geplante Wartung gelten nach § 6 NISV 2026 nicht als erheblich. Wiederholte Vorfälle zählt § 7 nur zusammen, wenn sie dieselbe offensichtliche Ursache und Auswirkung haben. Den genauen Wortlaut der Ziffern 7 und 8 lesen Sie vor einer Grenzfall-Entscheidung im Bundesgesetzblatt nach.

Besonders folgenreich ist Ziffer 9. Wer Notfallpläne aktiviert, hat damit nach der Verordnung bereits einen erheblichen Vorfall. Die Aktivierung sollte deshalb im Incident-Response-Plan an die Meldekette gekoppelt sein.

Ab wann die 24 Stunden laufen

Die Fristen knüpfen an die Kenntnisnahme vom erheblichen Cybersicherheitsvorfall an (§ 34 Abs. 2 Z 1 und 2 NISG 2026). Was das im Einzelnen heißt, definiert das Gesetz nicht näher. Vertretbar ist, auf den Zeitpunkt abzustellen, ab dem nach einer ersten Prüfung ein begründeter Verdacht auf einen erheblichen Vorfall besteht. Legen Sie im Incident-Response-Plan fest, wer diese Prüfung vornimmt, und halten Sie den Zeitpunkt fest. Ein späterer Streit über die Frist dreht sich meist genau um diese Uhrzeit.

Welche Bußgelder bei Verstößen gegen das NISG 2026 drohen und wie Österreich im Vergleich zu Frankreich und Italien dasteht, behandelt der Artikel NIS2-Bußgelder in Frankreich, Italien und Österreich.

Österreich und Deutschland im Vergleich

Fristen mitrechnen lassen

Der NIS2-Melde-Assistent hat eine Einstellung für Österreich. Er rechnet die Fristen nach § 34 Abs. 2 NISG 2026 in Wiener Zeit, berücksichtigt die verkürzte Frist für Vertrauensdiensteanbieter und den Monat ab Ende der Behandlung bei andauernden Vorfällen. Der Erheblichkeitscheck fragt die neun Fälle aus § 5 NISV 2026 ab, jeweils mit Fundstelle. Die Eingaben bleiben im Browser.

Was vor dem ersten Vorfall geklärt sein sollte

1. Zuständiges CSIRT feststellen und Meldeweg testen.
2. Erheblichkeitskriterien aus § 5 NISV 2026 in den eigenen Incident-Response-Plan übernehmen, mit Ihren Zahlen: Umsatzschwelle in Euro, Nutzerzahl, betroffene Bundesländer.
3. Notfallplan-Aktivierung mit der Meldekette verbinden, weil sie nach Ziffer 9 den Vorfall erheblich macht.
4. Datenschutz parallel denken: Eine Verletzung personenbezogener Daten geht nach Art. 33 DSGVO binnen 72 Stunden an die Datenschutzbehörde, unabhängig von der CSIRT-Meldung.

FAQ

Wir haben Standorte in Deutschland und Österreich. Wo melden wir?

Das hängt an der Niederlassung und am Dienst. Für bestimmte digitale Anbieter wie Cloud-Dienste, Rechenzentren und Managed Service Provider knüpft Art. 26 der NIS2-Richtlinie an die Hauptniederlassung in der EU an. Für andere Einrichtungen gilt grundsätzlich das Recht des Staates, in dem sie niedergelassen sind. Bei Niederlassungen in beiden Staaten sollten Sie die Zuständigkeit mit einem Rechtsanwalt für IT-Recht klären, bevor ein Vorfall eintritt.

Gilt die 24-Stunden-Frist auch am Wochenende?

Ja. Das NISG 2026 rechnet die Frühwarnung in Stunden ab Kenntnisnahme, ohne Ausnahme für Wochenenden oder Feiertage. Die Verschiebung auf 12 Uhr des nächsten Arbeitstags gibt es nur bei bestimmten DORA-Meldungen im Finanzsektor.

Ersetzt die CSIRT-Meldung die Meldung an die Datenschutzbehörde?

Nein. Sind personenbezogene Daten betroffen, gilt zusätzlich Art. 33 DSGVO. Beide Meldungen gehen an verschiedene Stellen und haben eigene Fristen.