NIS2-Meldepflicht Wo und wann melde ich einen NIS2-Vorfall in Österreich?
Wesentliche und wichtige Einrichtungen melden einen erheblichen Cybersicherheitsvorfall nach § 34 NISG 2026 in drei Stufen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach. Gemeldet wird an das zuständige CSIRT, über die Meldeplattform im Unternehmensserviceportal.
Das NISG 2026 gilt seit 1. Oktober 2026. Es setzt die EU-Richtlinie NIS2 in Österreich um. Die Meldepflicht betrifft nur Einrichtungen, die unter das Gesetz fallen. Ob das für Ihren Betrieb gilt, hängt von Sektor und Größe ab.
Das CSIRT antwortet binnen 24 Stunden auf die Frühwarnung und gibt auf Wunsch Hinweise zur Abwehr. Es leitet Ihre Meldung an die Cybersicherheitsbehörde weiter. Sie melden also einmal und an eine Stelle.
Wo Sie melden
Über die Meldeplattform im Unternehmensserviceportal (USP). Sie ist seit 1. Oktober 2026 in Betrieb. Sie brauchen dafür ein USP-Konto. Legen Sie es an, bevor etwas passiert, und vergeben Sie die Berechtigung an mindestens zwei Personen.
Die Meldung geht an das zuständige CSIRT, also das Team, das Sicherheitsvorfälle bearbeitet. Gibt es für Ihren Sektor kein eigenes, ist es das nationale CSIRT, derzeit CERT.at. Fällt das Portal aus, nennt CERT.at als Ersatz ein PDF-Formular per E-Mail an reports@cert.at.
Die vier Meldungen
- Frühwarnung: unverzüglich, spätestens 24 Stunden nach Kenntnis. Kurz: Was ist passiert? Verdacht auf Angriff? Andere Länder betroffen?
- Meldung: spätestens 72 Stunden nach Kenntnis. Erste Einschätzung von Schwere und Auswirkung, wenn vorhanden Hinweise auf den Angreifer.
- Zwischenbericht: nur wenn CSIRT oder Behörde danach fragen.
- Abschlussbericht: spätestens einen Monat nach der Meldung. Ursache, Ablauf, Maßnahmen. Läuft der Vorfall noch, zuerst ein Fortschrittsbericht.
Was meldepflichtig ist
Ein erheblicher Vorfall. Das ist er, wenn er Ihren Betrieb schwer stört, hohen finanziellen Schaden verursacht oder anderen erheblich schaden kann. Die Fristen laufen ab dem Moment, in dem Sie vom Vorfall wissen. Die Ursache muss dafür noch nicht geklärt sein.
Ihre Kunden
Beeinträchtigt der Vorfall Ihren Dienst, müssen Sie auch die Empfänger dieses Dienstes unverzüglich informieren und sagen, was sie selbst tun können.
Datenschutz zusätzlich
Sind personenbezogene Daten betroffen, gilt parallel die DSGVO: Meldung an die Datenschutzbehörde binnen 72 Stunden. Das sind zwei getrennte Meldungen an zwei Stellen.
NIS2 und Betroffenheits-Check ansehenHilfe im IT-Notfall
Quellen: RIS: NISG 2026, BGBl. I Nr. 94/2025, § 34 und § 35, CERT.at: NISG 2026
