NIS-2-Meldepflicht: Die ersten 24 und 72 Stunden

Rechtsgrundlage: §§ 34–35 und § 45 NISG 2026.

Die folgenden gesetzlichen Meldepflichten treffen wesentliche und wichtige Einrichtungen bei einem erheblichen Cybersicherheitsvorfall. Andere Unternehmen können nach § 37 freiwillig melden.

Der Ernstfall ist ein Führungsmoment, kein IT-Ticket

Wenn es ernst wird, suchen Ihre Leute nicht die perfekte Anweisung, sondern Klarheit und Präsenz. Und die Uhr läuft ab dem Moment, in dem Sie von einem erheblichen Vorfall Kenntnis erlangen. Das neue Cybersicherheitsrecht schreibt eine gestaffelte Meldung vor, und die Fristen sind knapp. Wer sie erst im Ernstfall zum ersten Mal liest, verliert die entscheidenden ersten Stunden.

Was überhaupt „erheblich" ist

Nicht jeder Vorfall ist meldepflichtig. Melden müssen Sie einen erheblichen Vorfall. Erheblich ist er, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann – oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Formulierung „oder verursachen kann" ist wichtig: Es zählt nicht nur der eingetretene Schaden, sondern das ernsthafte Potenzial. Ob die Erheblichkeitsschwelle erreicht ist, ist nach § 35 Abs. 1 und den Kriterien des § 35 Abs. 2 zu dokumentieren. Für die von der Durchführungsverordnung (EU) 2024/2690 erfassten Anbieter gelten zusätzlich deren unmittelbar anwendbare Konkretisierungen.

Die drei Fristen, die Sie auswendig kennen sollten

Ab Kenntnis des erheblichen Vorfalls gilt:

Innerhalb von 24 Stunden – die Frühwarnung. Eine erste, kurze Meldung an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT. Sie soll unter anderem sagen, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte. Zu übermitteln sind innerhalb der Frist die in § 34 Abs. 2 Z 1 verlangten, zu diesem Zeitpunkt verfügbaren Angaben; weitere Informationen folgen in den nächsten Meldestufen.

Innerhalb von 72 Stunden – die Meldung. Die 72-Stunden-Meldung aktualisiert gegebenenfalls die Frühwarnung und enthält eine erste Bewertung des erheblichen Cybersicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen sowie gegebenenfalls die Kompromittierungsindikatoren.

Spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung – der Abschlussbericht. Der Abschlussbericht enthält eine ausführliche Beschreibung des Cybersicherheitsvorfalls einschließlich seines Schweregrads und seiner Auswirkungen, Angaben zur Art der Bedrohung und zu den zugrunde liegenden Ursachen, die wahrscheinlich den Cybersicherheitsvorfall ausgelöst haben, Angaben zu den getroffenen und laufenden Abhilfemaßnahmen sowie gegebenenfalls zu den grenzüberschreitenden Auswirkungen.

Dauert der Vorfall zum Zeitpunkt des Abschlussberichts noch an, übermitteln Sie zunächst einen Fortschrittsbericht und den Abschlussbericht dann spätestens einen Monat nach Beendigung. Auf Ersuchen kann außerdem ein Zwischenbericht verlangt werden. Zur Einordnung: Wer die Meldung eines erheblichen Vorfalls und die damit verbundenen Berichtspflichten nicht erfüllt, begeht eine Verwaltungsübertretung.

Der Vorteil, den viele verschenken

Die Meldung ist keine Einbahnstraße. Das CSIRT antwortet der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung. Auf Ersuchen erteilt es Orientierungshilfen oder operative Beratung und leistet zusätzliche technische Unterstützung. Bei vermutetem strafrechtlich relevantem Hintergrund gibt das CSIRT Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden. Die Meldepflicht ist also auch ein Zugang zu Unterstützung – vorausgesetzt, Sie nutzen sie rechtzeitig.

Ihr Notfall-Ablauf auf einer Seite

Bereiten Sie das jetzt vor, nicht im Ernstfall:

Kenntnis festhalten. Notieren Sie Datum und Uhrzeit, ab wann Ihnen der Vorfall bekannt war. Ab hier laufen die Fristen – die Dokumentation dieses Zeitpunkts ist Ihr Anker.

Erheblichkeit bewerten. Schwerwiegende Störung, finanzieller Verlust, Schaden für Dritte – schon möglich? Wenn ja, geht die Frühwarnung raus.

Frühwarnung in 24 Stunden. Kurz, ehrlich, mit dem Hinweis auf möglichen Zusammenhang mit rechtswidrigen und schuldhaften Handlungen oder mögliche grenzüberschreitende Auswirkungen. Frühwarnung fristgerecht mit den gesetzlich verlangten und verfügbaren Angaben absenden; Unsicherheiten kenntlich machen und in der 72-Stunden-Meldung aktualisieren.

Meldung in 72 Stunden. Die Frühwarnung gegebenenfalls aktualisieren und eine erste Bewertung einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren nachreichen.

Betroffene informieren. Beeinträchtigt der erhebliche Vorfall die Erbringung des jeweiligen Dienstes, unterrichtet die Einrichtung die Empfänger ihrer Dienste unverzüglich über den Vorfall und teilt ihnen, soweit möglich, die von ihnen ergreifbaren Maßnahmen oder Abhilfemaßnahmen mit.

Abschlussbericht grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Ursache, Auswirkungen, Gegenmaßnahmen. Bei andauerndem Vorfall zuerst ein Fortschrittsbericht.

Der wichtigste Vorbereitungsschritt ist unspektakulär: Legen Sie heute fest, wer im Ernstfall die Frühwarnung auslöst, wer entscheidet und wo die Kontaktdaten liegen. Eine Meldekette, die erst im Vorfall erfunden wird, hält die 24-Stunden-Frist nicht.

Weiterlesen

Incident Handling als RisikomanagementmaßnahmeNIS-2 ist Chefsache: Wofür die Geschäftsführung geradestehtDer NISG-2026-Fahrplan: Was bis wann zu tun ist

Häufige Fragen

Welche Meldefristen gelten bei einem Cybervorfall?+

Ab Kenntnis eines erheblichen Vorfalls: Frühwarnung innerhalb von 24 Stunden und Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Dauert der Vorfall an, kommt zunächst ein Fortschrittsbericht, der Abschlussbericht dann spätestens einen Monat nach Beendigung.

Wann ist ein Cybervorfall meldepflichtig?+

Wenn er erheblich ist – also schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Es zählt auch das ernsthafte Schadenspotenzial, nicht nur der bereits eingetretene Schaden.

Was passiert, wenn ich einen Vorfall nicht melde?+

Die Nichtmeldung eines erheblichen Vorfalls und die Verletzung der damit verbundenen Berichtspflichten sind eine Verwaltungsübertretung und können mit Geldstrafe geahndet werden.

Bekomme ich nach einer Meldung Unterstützung?+

Ja. Das CSIRT antwortet der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung. Auf Ersuchen erteilt es Orientierungshilfen oder operative Beratung und leistet zusätzliche technische Unterstützung. Bei vermutetem strafrechtlich relevantem Hintergrund gibt es Orientierungshilfen für die Meldung an die Strafverfolgungsbehörden.

Sonderfall Vertrauensdiensteanbieter: Für erhebliche Vorfälle, die sich auf die Erbringung von Vertrauensdiensten auswirken, gilt auch für die Meldung nach § 34 Abs. 2 Z 2 eine Frist von höchstens 24 Stunden ab Kenntnisnahme. Zusätzlich haben die betroffenen Einrichtungen alle Informationen zu übermitteln, die es dem CSIRT und der Cybersicherheitsbehörde ermöglichen zu ermitteln, ob der Cybersicherheitsvorfall grenzübergreifende Auswirkungen hat. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert außerdem die Erheblichkeit für die von ihr erfassten Anbieter.