NIS2-Meldepflicht: 24 Stunden, 72 Stunden, ein Monat – was wann an wen geht
Erhebliche Sicherheitsvorfälle melden wesentliche und wichtige Einrichtungen in Stufen an das zuständige CSIRT – derzeit in der Regel CERT.at: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine Meldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach dieser Meldung. Ist der Vorfall dann noch nicht bewältigt, kommt zunächst ein Fortschrittsbericht und der Abschlussbericht einen Monat nach Abschluss der Bewältigung.
Was ein erheblicher Sicherheitsvorfall ist
Nicht jeder Vorfall ist meldepflichtig. Erheblich ist ein Sicherheitsvorfall nach § 35, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Das Gesetz nennt dazu Kriterien und erlaubt eine Verordnung, die sie konkretisiert. Eine abgefangene Phishing-Mail ist also kein Meldefall. Ein verschlüsselter Server, der die Produktion einen Tag lang stilllegt, sehr wahrscheinlich schon.
Die Stufen der Meldung
Die Fristen laufen ab Kenntnisnahme, nicht ab dem Beginn des Angriffs. Binnen 24 Stunden geht eine Frühwarnung an das CSIRT, gegebenenfalls mit der Angabe, ob der Verdacht rechtswidriger und schuldhafter Handlungen besteht und ob Auswirkungen über Grenzen hinweg möglich sind. Binnen 72 Stunden folgt die Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen, gegebenenfalls mit Kompromittierungsindikatoren. Spätestens einen Monat nach dieser Meldung kommt der Abschlussbericht: ausführliche Beschreibung, Art der Bedrohung und wahrscheinliche Ursache, getroffene Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen. Dauert der Vorfall dann noch an, gibt es zunächst einen Fortschrittsbericht und den Abschlussbericht einen Monat nach Abschluss der Bewältigung. Auf Verlangen des CSIRT oder der Behörde kommen Zwischenberichte dazu.
Bis zur Frühwarnung24 Stunden
Binnen 24 Stunden: Besteht der Verdacht rechtswidriger und schuldhafter Handlungen? Mögliche Auswirkungen über Grenzen hinweg?
Bis zur Meldung48 Stunden
Binnen 72 Stunden: Aktualisierung der Frühwarnung, erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
Gesamt: 72 Stunden
Danach: Abschlussbericht spätestens einen Monat nach der Meldung – oder ein Fortschrittsbericht, wenn der Vorfall noch andauert. Zwischenberichte auf Verlangen des CSIRT oder der Behörde.
An wen gemeldet wird
Gemeldet wird an das zuständige sektorale CSIRT, gibt es keines, an das nationale. Bis auf Weiteres ist das in der Regel CERT.at, für den Gesundheitsbereich das Austrian HealthCERT. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter – Sie melden also einmal, nicht zweimal. Außerdem müssen Sie die Empfänger Ihrer Dienste unverzüglich informieren, wenn der Vorfall die Erbringung Ihrer Dienste für sie beeinträchtigen kann.
Warum der Meldeweg vorher stehen muss
24 Stunden sind kurz, wenn erst geklärt werden muss, wer entscheidet, ob ein Vorfall erheblich ist, und wer die Meldung abgibt. Der Meldeplan gehört deshalb zu den ersten Dokumenten: Wer bewertet? Wer meldet? Wer informiert Geschäftsführung, Kunden und Versicherung? Welche Informationen werden gesammelt, damit die 72-Stunden-Meldung nicht bei null beginnt? Und wie wird kommuniziert, wenn E-Mail oder Telefonanlage selbst ausgefallen sind? Eine Tabletop-Übung, in der Geschäftsführung, IT und Dienstleister einen Vorfall durchspielen, zeigt in zwei Stunden, wo der Plan hakt.
Vier verbreitete Irrtümer
Erstens: erst melden, wenn alles klar ist. Falsch – die Frühwarnung soll gerade früh kommen und braucht nur wenige Angaben. Zweitens: Der IT-Dienstleister meldet für uns. Er kann unterstützen, meldepflichtig bleibt Ihr Unternehmen. Drittens: Eine Meldung ist ein Schuldeingeständnis. Sie ist eine Pflicht, und das CSIRT gibt eine erste Rückmeldung und kann Hinweise zur Bewältigung geben. Viertens: Die Frist beginnt am nächsten Werktag. Sie beginnt mit der Kenntnisnahme – auch am Freitagabend.
Häufige Fragen
Wer entscheidet, ob ein Vorfall erheblich ist?
Zunächst Sie selbst, anhand der Kriterien in § 35. Legen Sie im Meldeplan fest, wer diese Einschätzung trifft – und dass im Zweifel eher gemeldet wird. Eine vorsorgliche Frühwarnung ist das kleinere Risiko als eine versäumte.
Ersetzt die Meldung an die Datenschutzbehörde die NIS2-Meldung?
Nein. Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung nach der DSGVO binnen 72 Stunden an die Datenschutzbehörde nötig sein. Das sind zwei getrennte Wege mit unterschiedlichen Empfängern.
Müssen auch nicht betroffene Zulieferer melden?
Gesetzlich nein. Vertraglich oft schon: Viele Kunden verlangen im Rahmen der Lieferkettensicherheit, dass Sie Vorfälle binnen einer bestimmten Frist an sie melden. Lesen Sie die Klauseln genau, bevor Sie unterschreiben.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- CERT.at: Informationen zu NIS2 und NISG 2026 (öffnet in neuem Tab)
- Richtlinie (EU) 2022/2555 (NIS2) – EUR-Lex (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsDen Ernstfall proben
In der Tabletop-Übung spielen Geschäftsführung, IT und Dienstleister einen Vorfall durch – bis zur Frühwarnung nach 24 Stunden. Ab 1.490 € netto, mit Bericht.
Übung anfragenWeiterlesen
Die 10 NIS2-Maßnahmen nach § 32 NISG 2026 – verständlich erklärt
Was hinter jedem der zehn Bereiche steckt, was ein Betrieb mit 80 Mitarbeitenden konkret tut – und woran man erkennt, dass es reicht.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.
Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Sektor, Größe, Konzern, Sonderfälle, Lieferkette – in dieser Reihenfolge prüfen und am Ende eine von vier Einstufungen haben.