Kurzantwort: Bei einem erheblichen Cybersicherheitsvorfall verlangt das NISG 2026 ein gestuftes Meldeverfahren an das zuständige CSIRT: eine Frühwarnung innerhalb von 24 Stunden, eine Hauptmeldung innerhalb von 72 Stunden, auf Ersuchen einen Zwischenbericht und einen Abschlussbericht spätestens einen Monat nach der Hauptmeldung. Ob ein Unternehmen überhaupt unter das NISG 2026 fällt, klärt die Betroffenheitsprüfung.
Die Meldestufen im Detail
Die Frühwarnung muss unverzüglich, jedenfalls innerhalb von 24 Stunden nach Kenntnisnahme erfolgen – sie ist bewusst als Verdachtsmeldung angelegt und bei jedem erheblichen Vorfall fällig. Anzugeben ist dabei, sofern zutreffend, ob der Verdacht besteht, dass eine rechtswidrige und schuldhafte Handlung dahintersteht oder der Vorfall grenzüberschreitende Auswirkungen haben könnte. Das sind Angaben, die in die Meldung gehören, keine Bedingungen, unter denen sie erst nötig würde. Zu diesem frühen Zeitpunkt müssen noch nicht alle Details geklärt sein.
Die zweite Stufe nennt das Gesetz schlicht „Meldung“; hier steht zur besseren Unterscheidung Hauptmeldung. Sie folgt unverzüglich, jedenfalls innerhalb von 72 Stunden, und geht deutlich weiter in die Tiefe: Sie muss eine erste Einschätzung des Schweregrads, der Auswirkungen und, sofern bereits erkennbar, mögliche Kompromittierungsindikatoren enthalten.
Dazwischen kann das CSIRT oder die Cybersicherheitsbehörde einen Zwischenbericht mit Statusaktualisierungen verlangen – etwa wenn sich die Lage während der Bearbeitung verändert. Diese Stufe ist keine Pflicht aus eigenem Antrieb, sondern greift auf Ersuchen.
Den Abschluss bildet der Abschlussbericht. Er ist spätestens einen Monat nach Übermittlung der Hauptmeldung fällig – also nach der 72-Stunden-Meldung, nicht nach der Frühwarnung. Er enthält die vollständige Beschreibung des Vorfalls: Schweregrad, tatsächliche Auswirkungen, Art der Bedrohung, wahrscheinliche Ursache und die ergriffenen Abhilfemaßnahmen.
Eine fünfte Stufe greift, wenn der Vorfall zum Fälligkeitszeitpunkt des Abschlussberichts noch andauert. Dann ist bis zu diesem Zeitpunkt ein Fortschrittsbericht zu übermitteln, und der Abschlussbericht wird erst einen Monat nach Beendigung der Vorfallsbehandlung fällig. In der Praxis ist das der häufige Fall, etwa bei laufender Forensik nach einem Ransomware-Vorfall.
Adressat ist das für die Einrichtung zuständige sektorspezifische CSIRT; gibt es für den Sektor keines, geht die Meldung an das nationale CSIRT. Von dort wird sie an die Cybersicherheitsbehörde weitergeleitet. Die Stufen und Fristen stehen in § 34 Absatz 2 NISG 2026, der Fortschrittsbericht in dessen Ziffer 5.
Was als „erheblich“ gilt – und wo die Grauzone liegt
Nicht jeder Sicherheitsvorfall ist meldepflichtig. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder wenn Dritte dadurch erheblich geschädigt werden oder geschädigt werden können – ein Vorfall muss also nicht zwingend nach außen wirken, um meldepflichtig zu sein. Wie erheblich ein Vorfall tatsächlich ist, hängt vom Einzelfall ab: die Kritikalität der betroffenen Systeme, mögliche Auswirkungen auf andere Sektoren, die Marktbedeutung des Unternehmens und die Reichweite des Vorfalls spielen dabei eine Rolle. Genau in dieser Einschätzung liegt in der Praxis die größte Unsicherheit – strenger einzuschätzen ist im Zweifel die sicherere Richtung, weil eine unterlassene Meldung ungleich schwerer wiegt als eine im Nachhinein als nicht nötig eingestufte.
Worauf es vor dem Ernstfall ankommt
Die 24-Stunden-Frist beginnt mit der Kenntnisnahme, nicht mit der vollständigen Aufklärung des Vorfalls – wer erst intern wochenlang ermittelt, bevor überhaupt gemeldet wird, ist damit zu spät. Das lässt sich nur einhalten, wenn vorher klar ist, wer im Unternehmen eine Meldung überhaupt auslösen darf, wer sie inhaltlich vorbereitet und wie ein Verdachtsfall überhaupt erkannt wird. Bei ausgelagerter IT gehört dazu auch, dass der Dienstleistervertrag eine Meldung an das eigene Unternehmen innerhalb eines Zeitfensters vorsieht, das die eigene 24-Stunden-Frist realistisch einhaltbar macht – denn die Verantwortung für die fristgerechte Meldung bleibt beim Unternehmen selbst, auch wenn der IT-Betrieb ausgelagert ist. Eine Beratung unterstützt dabei, diese internen Meldewege vor dem Ernstfall aufzusetzen, statt sie erst im laufenden Vorfall zu improvisieren.
Häufige Fragen zur Meldepflicht
Muss auch am Wochenende oder an Feiertagen fristgerecht gemeldet werden?
Ja. Die Frist läuft ab Kenntnisnahme, unabhängig vom Wochentag – ein Vorfall, der am Freitagabend entdeckt wird, muss also unabhängig vom Wochenende innerhalb von 24 Stunden gemeldet werden.
Ab wann läuft die 24-Stunden-Frist genau – ab Entdeckung oder ab Bestätigung des Vorfalls?
Ab Kenntnisnahme, nicht erst ab vollständiger Bestätigung. Das ist der Grund, warum die Frühwarnung bewusst als Verdachtsmeldung mit noch begrenztem Informationsstand konzipiert ist – sie soll die Behörde früh informieren, nicht auf eine abgeschlossene Untersuchung warten.
Was, wenn zum Zeitpunkt der Frühwarnung noch nicht klar ist, wie schwer der Vorfall ist?
Genau dafür ist die Stufung gedacht. Die Frühwarnung verlangt noch keine vollständige Einschätzung – die folgt erst mit der Hauptmeldung nach 72 Stunden und wird im Abschlussbericht weiter präzisiert, der einen Monat nach der Hauptmeldung fällig ist.
Kann eine einzelne verspätete Meldung schon zu einer Strafe führen?
Eine verspätete oder unterlassene Meldung fällt unter die Sorgfaltspflichten des Gesetzes und kann je nach Einzelfall sanktioniert werden – welcher der im NISG 2026 vorgesehenen Strafrahmen konkret greift, hängt von den Umständen ab und ist eine Einzelfallfrage für die zuständige Behörde, keine pauschale Aussage.
Muss man auch Vorfälle melden, die keine Auswirkung nach außen hatten?
Ja, sofern sie erheblich sind. Die Erheblichkeit bemisst sich auch an schwerwiegenden Betriebsstörungen im eigenen Unternehmen – eine Auswirkung auf Kunden oder Dritte ist ein zusätzliches, aber kein zwingendes Kriterium.
Quellen
- Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 34 – RIS
- NISG 2026 – neue Pflichten zur Cybersicherheit für Unternehmen, WKO
- WKO/BMI-FAQ zum NISG 2026
