Berichtspflichten · § 34 NISG 2026
Einen erheblichen Cybersicherheitsvorfall melden
Nicht an die Behörde, sondern an Ihr CSIRT: das sektorspezifische, sonst das nationale, über die Anwendung „NIS2-Services“ im Unternehmensserviceportal. Das CSIRT leitet an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Die Uhr läuft ab Kenntnisnahme, nicht ab Erkennung.
Die fünf Stufen des § 34 Abs. 2
- Binnen 24 Stunden nach Kenntnisnahme
Frühwarnung: gegebenenfalls mit der Angabe, ob der Verdacht auf rechtswidrige und schuldhafte Handlungen besteht oder grenzüberschreitende Auswirkungen möglich sind.
§ 34 Abs. 2 Z 1
- Binnen 72 Stunden nach Kenntnisnahme
Meldung über den Vorfall: Aktualisierung der Frühwarnung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
§ 34 Abs. 2 Z 2
- Auf Ersuchen
Zwischenbericht über relevante Statusaktualisierungen, wenn ein CSIRT oder die Cybersicherheitsbehörde ihn verlangt. Ohne Ersuchen läuft keine Frist.
§ 34 Abs. 2 Z 3
- Spätestens einen Monat nach der Meldung
Abschlussbericht: ausführliche Beschreibung, Art der Bedrohung und Ursachen, getroffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen.
§ 34 Abs. 2 Z 4
- Wenn der Vorfall noch andauert
Fortschrittsbericht anstelle des Abschlussberichts; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung.
§ 34 Abs. 2 Z 5
Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung und, auf Ersuchen, mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4).
Wohin genau, Stand Oktober 2026
Jede Meldung, an welches CSIRT auch immer, läuft über die Anwendung „NIS2-Services“ im Unternehmensserviceportal; für den Zugang ist ein USP-Konto erforderlich. Seit 1. Oktober 2026 nennt die Cybersicherheitsbehörde drei Computer-Notfallteams: das GovCERT der Behörde, von Gesetzes wegen das CSIRT der öffentlichen Verwaltung (§ 8 Abs. 4), das Austrian HealthCERT für das Gesundheitswesen (§ 8a Abs. 2 und 3 GTelG 2012, am selben Tag in Kraft getreten) und das nationale CSIRT. Dessen Aufgaben nimmt CERT.at als das nach dem NISG 2018 ermächtigte CSIRT wahr, bis die Behörde ein nationales CSIRT ermächtigt (§ 8 Abs. 2), längstens zwei Jahre ab Inkrafttreten (§ 51 Abs. 6). Ein eigenes CSIRT für Energie gibt es nicht.
- Gesundheitswesen: Austrian HealthCERT (§ 8a Abs. 3 GTelG 2012)
- Öffentliche Verwaltung: GovCERT (§ 8 Abs. 4). Die Anbindung über den Portalverbund soll laut Behörde zeitnah nach dem 1. Oktober 2026 zur Verfügung gestellt werden.
- Alle anderen Sektoren, auch Energie: das nationale CSIRT, derzeit CERT.at (§ 51 Abs. 6)
- Tätig in mehreren Sektoren: an jedes zuständige CSIRT
So nennt es die Behörde auf ihren Seiten „Meldepflicht und Fristen“ und „Computer-Notfallteams (CSIRTs)“ (abgerufen am 28. Oktober 2026); die früheren Meldeplattformen aus der Zeit des NISG 2018 leiten auf die Website von CERT.at weiter. Ist das Portal vorübergehend nicht verfügbar, stellt die Behörde unter „Recht und Dokumente“ PDF-Meldeformulare bereit, eines je Meldetyp; CERT.at bittet, sie an [email protected] zu senden. Ermächtigt die Behörde ein neues nationales oder sektorspezifisches CSIRT, hat sie das so kundzumachen, dass es einen möglichst weiten Adressatenkreis erreicht (§ 8 Abs. 5).
Was erheblich heißt
Ein Vorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). § 35 Abs. 2 gibt Kriterien für die Abwägung: die Abhängigkeit anderer Sektoren von Ihrem Dienst, mögliche Auswirkungen auf Umwelt, öffentliche Ordnung und Gesundheit, Ihr Marktanteil.
Seit 1. Oktober 2026 gibt es dazu Zahlen. Nach § 5 Abs. 1 der NISV 2026 (BGBl. II Nr. 290/2026) gilt ein Vorfall jedenfalls als erheblich, wenn eines dieser Kriterien erfüllt ist:
- Z 1: ein direkter finanzieller Verlust von mehr als 500 000 EUR oder 5 % des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist
- Z 2: der Abfluss von Geschäftsgeheimnissen (§ 26b UWG) oder von Informationen, die nach § 6 IFG der Geheimhaltung unterliegen
- Z 3: der Tod einer natürlichen Person
- Z 4: eine schwere Schädigung der Gesundheit einer natürlichen Person
- Z 5: ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht
- Z 6: wiederholte Vorfälle nach § 7, die innerhalb von sechs Monaten mindestens zwei Mal aufgetreten sind, dieselbe offensichtliche Ursache und Auswirkung haben und zusammengenommen die Kriterien der Z 1 erfüllen
- Z 7: Ausfall oder eingeschränkte Verfügbarkeit der Dienste für mehr als 100 000 Nutzer oder 10 % der Nutzer, je nachdem, welcher Wert niedriger ist, für mehr als 24 Stunden
- Z 8: Ausfall oder eingeschränkte Verfügbarkeit für die Nutzer im Gebiet zumindest eines Bundeslandes für mehr als 24 Stunden
- Z 9: die Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen des Betriebskontinuitätsmanagements
Bei Z 1 bis 4, 7 und 8 genügt, dass der Vorfall die Folge verursachen kann. Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten gelten nicht als erheblich (§ 6 NISV 2026). Reglyze dokumentiert die Abwägung je Vorfall, damit die Entscheidung gegen eine Meldung ebenso belegbar ist wie die Meldung selbst.