Berichtspflichten · § 34 NISG 2026
Einen erheblichen Cybersicherheitsvorfall melden
Nicht an die Behörde, sondern an Ihr CSIRT: das sektorspezifische, sonst das nationale. Das CSIRT leitet an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Die Uhr läuft ab Kenntnisnahme, nicht ab Erkennung.
Die fünf Stufen des § 34 Abs. 2
- Binnen 24 Stunden nach Kenntnisnahme
Frühwarnung: gegebenenfalls mit der Angabe, ob der Verdacht auf rechtswidrige und schuldhafte Handlungen besteht oder grenzüberschreitende Auswirkungen möglich sind.
§ 34 Abs. 2 Z 1
- Binnen 72 Stunden nach Kenntnisnahme
Meldung über den Vorfall: Aktualisierung der Frühwarnung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
§ 34 Abs. 2 Z 2
- Auf Ersuchen
Zwischenbericht über relevante Statusaktualisierungen, wenn ein CSIRT oder die Cybersicherheitsbehörde ihn verlangt. Ohne Ersuchen läuft keine Frist.
§ 34 Abs. 2 Z 3
- Spätestens einen Monat nach der Meldung
Abschlussbericht: ausführliche Beschreibung, Art der Bedrohung und Ursachen, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen.
§ 34 Abs. 2 Z 4
- Wenn der Vorfall noch andauert
Fortschrittsbericht anstelle des Abschlussberichts; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung.
§ 34 Abs. 2 Z 5
Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung und, auf Ersuchen, mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4).
Wohin genau, Stand September 2026
Die Cybersicherheitsbehörde muss ein nationales CSIRT ermächtigen (§ 8 Abs. 2) und kann je Sektor eines ermächtigen (§ 8 Abs. 3). Bis das nationale CSIRT ermächtigt ist, nimmt das nach dem NISG 2018 ermächtigte CSIRT, CERT.at, die Aufgaben wahr, längstens zwei Jahre ab Inkrafttreten (§ 51 Abs. 6). Das GovCERT der Behörde ist von Gesetzes wegen das CSIRT der öffentlichen Verwaltung (§ 8 Abs. 4).
- Alle Sektoren außer Energie und Verwaltung: CERT.at über nis.cert.at
- Energie: Austrian Energy CERT über nis.energy-cert.at
- Öffentliche Verwaltung: GovCERT über nis.govcert.gv.at
Die drei Plattformen sind die, die die NIS-Behörde auf nis.gv.at nennt (abgerufen am 18. September 2026). Ermächtigt die Behörde ein neues nationales oder sektorspezifisches CSIRT, hat sie das so kundzumachen, dass es einen möglichst weiten Adressatenkreis erreicht (§ 8 Abs. 5).
Was erheblich heißt, und was nicht drinsteht
Ein Vorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Eine Zahl, etwa an Betroffenen oder Ausfallstunden, nennt das Gesetz nicht. § 35 Abs. 2 gibt Kriterien für die Abwägung: die Abhängigkeit anderer Sektoren von Ihrem Dienst, mögliche Auswirkungen auf Umwelt, öffentliche Ordnung und Gesundheit, Ihr Marktanteil. Reglyze dokumentiert diese Abwägung je Vorfall, damit die Entscheidung gegen eine Meldung ebenso belegbar ist wie die Meldung selbst.