Dreistufiges Meldeverfahren (NISG 2026)

Ausführliche Erklärung

Seit 1. Oktober 2026 verlangt das NISG 2026 (BGBl. I Nr. 94/2025) von rund 4.000 bis 5.000 wesentlichen und wichtigen Einrichtungen aus 18 Sektoren, erhebliche Cybersicherheitsvorfälle in drei Stufen zu melden. Geregelt ist das in § 34 NISG 2026 unter der Überschrift „Berichtspflichten“. Gemeldet wird nicht direkt an die Behörde, sondern an das für die Einrichtung zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter, also an das Bundesamt für Cybersicherheit. Die RTR ist dafür nicht zuständig – sie betreibt die KI-Servicestelle zum EU AI Act.

Die erste Stufe ist die Frühwarnung nach § 34 Abs. 2 Z 1: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls. Darin wird gegebenenfalls angegeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückzuführen ist, und ob er grenzüberschreitende Auswirkungen haben könnte. Die Frist läuft ab der Kenntnisnahme, nicht ab dem Abschluss der Ursachenanalyse – gefragt ist Schnelligkeit, nicht Vollständigkeit. Das CSIRT muss der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung antworten, auf Ersuchen mit Orientierungshilfen oder operativer Beratung zu möglichen Abhilfemaßnahmen (§ 34 Abs. 4); bei Verdacht auf einen strafrechtlich relevanten Hintergrund kommen Hinweise zur Meldung an die Strafverfolgungsbehörden hinzu.

Die zweite Stufe ist die Meldung innerhalb von 72 Stunden ab Kenntnisnahme (Z 2). Sie aktualisiert die Angaben der Frühwarnung und enthält eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls die Kompromittierungsindikatoren. Auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde ist zusätzlich ein Zwischenbericht über relevante Statusaktualisierungen zu übermitteln (Z 3). Die dritte Stufe ist der Abschlussbericht, fällig spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung (Z 4). Er enthält eine ausführliche Beschreibung des Vorfalls samt Schweregrad und Auswirkungen, Angaben zur Art der Bedrohung und zu den zugrundeliegenden Ursachen, die getroffenen und laufenden Abhilfemaßnahmen sowie gegebenenfalls die grenzüberschreitenden Auswirkungen. Dauert die Vorfallsbehandlung zum Fälligkeitstermin noch an, ist bis dahin ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung (Z 5).

Neben der Meldekette bestehen zwei weitere Pflichten. Beeinträchtigt der Vorfall die Erbringung des Dienstes, sind die Empfänger dieses Dienstes unverzüglich zu unterrichten und – soweit möglich – über Maßnahmen zu informieren, die sie selbst ergreifen können (§ 34 Abs. 3). Betrifft der Vorfall zwei oder mehr Mitgliedstaaten, unterrichtet die Cybersicherheitsbehörde über die zentrale Anlaufstelle die anderen betroffenen Mitgliedstaaten und die ENISA (Abs. 5). Für Vertrauensdiensteanbieter gilt abweichend eine einheitliche 24-Stunden-Frist für Vorfälle, die sich auf ihre Vertrauensdienste auswirken.

Klar zu trennen ist das dreistufige Meldeverfahren von der Meldepflicht bei Datenpannen nach Art. 33 DSGVO: Diese geht binnen 72 Stunden an die Datenschutzbehörde, setzt eine Verletzung des Schutzes personenbezogener Daten voraus und kennt weder Frühwarnung noch Abschlussbericht. Ein Ransomware-Angriff kann beide Pflichten gleichzeitig auslösen – dann sind zwei getrennte Meldungen an zwei verschiedene Stellen nötig. Den Überblick über die Pflichtenlandschaft gibt der Eintrag Incident-Reporting; wie Einrichtungen ihre Risikomanagementmaßnahmen gegenüber der Behörde darlegen, steht bei der Selbstdeklaration.