NIS2 Meldepflicht: 24, 72 Stunden und Abschlussbericht

Ein Cyberangriff läuft, und die Uhr tickt. Genau dann greift die NIS2 Meldepflicht. Sie zwingt betroffene Unternehmen, einen erheblichen Sicherheitsvorfall in engen Fristen zu melden. Und zwar dreistufig: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat. Deshalb entscheidet Vorbereitung darüber, ob Sie die Fristen halten.

Dieser Beitrag erklärt jede Stufe im Detail. Zunächst geht es um die drei Fristen und ihren Inhalt. Danach klären wir, welche Vorfälle überhaupt meldepflichtig sind. Zum Schluss zeigen wir, wie Sie sich organisatorisch aufstellen. Das Ziel ist ein klarer Ablauf für den Ernstfall. Also kein Suchen nach Zuständigkeiten, während der Angriff läuft.

Was die NIS2 Meldepflicht verlangt

Die NIS2 Meldepflicht verlangt eine gestufte Meldung erheblicher Sicherheitsvorfälle. Dabei setzt Österreich die EU-Richtlinie mit dem NISG 2026 um. Der Nationalrat beschloss das Gesetz im Dezember 2025. In Kraft ist es seit 1. Oktober 2026. Seither gelten die Meldefristen für alle betroffenen Einrichtungen. Der europäische Rahmen steht in Artikel 23 der Richtlinie 2022/2555.

Drei Stufen, drei Fristen

Der Kern ist ein Verfahren in drei Schritten. Zunächst eine Frühwarnung binnen 24 Stunden. Danach eine ausführliche Meldung binnen 72 Stunden. Zum Schluss ein Abschlussbericht binnen eines Monats. Jede Stufe hat einen eigenen Zweck. Zunächst alarmiert die Frühwarnung. Danach bewertet die Meldung die Lage. Zuletzt analysiert der Bericht den Vorfall. Somit wächst der Detailgrad mit jeder Stufe.

Diese Staffelung hat einen guten Grund. In den ersten Stunden fehlen oft belastbare Fakten. Deshalb reicht zunächst eine knappe Warnung. Erst später liefern Sie die Analyse nach. So bleibt die NIS2 Meldepflicht auch mitten in der Krise erfüllbar. Denn niemand kann in der ersten Stunde einen vollständigen Bericht schreiben.

Die Meldepflicht steht dabei nicht allein. Sie ergänzt die technischen und organisatorischen Pflichten aus § 32 NISG 2026 (Artikel 21 NIS2). Wer ein Risikomanagement aufgebaut hat, erkennt Vorfälle früher. Zudem hat er die nötigen Daten für die Meldung parat. Somit greifen beide Pflichten ineinander. Die eine sorgt für Sicherheit im Alltag. Die andere regelt den Ernstfall. Deshalb sollten Sie die Meldepflicht nie isoliert betrachten.

An wen Sie melden

In Österreich geht die Meldung an das für Ihren Sektor zuständige CSIRT (§ 34 NISG 2026). Das CSIRT leitet sie an die Cybersicherheitsbehörde weiter. Gibt es für Ihren Sektor kein eigenes CSIRT, ist das nationale CSIRT zuständig, derzeit CERT.at. Wer betroffen ist, klären wir vorab im Rahmen unserer NIS2-Beratung. Ob Ihr Betrieb überhaupt unter das Gesetz fällt, zeigt der Beitrag zur NIS2 Betroffenheit.

Stufe 1: Frühwarnung binnen 24 Stunden

Die erste Stufe der NIS2 Meldepflicht ist eine Frühwarnung. Sie ist binnen 24 Stunden fällig. Die Frist läuft ab dem Moment, in dem Sie Kenntnis vom Vorfall erlangen. Also nicht ab dem Beginn des Angriffs. Sondern ab der Erkennung. Deshalb ist eine gute Erkennung so wichtig. Denn wer spät bemerkt, hat trotzdem nur 24 Stunden.

Was in die Frühwarnung gehört

Die Frühwarnung bleibt bewusst knapp. Sie nennt den Vorfall in Grundzügen. Zudem geben Sie an, ob ein rechtswidriger oder böswilliger Akt vermutet wird. Ebenso, ob der Vorfall grenzüberschreitende Auswirkungen haben könnte. Mehr verlangt die erste Stufe nicht. Denn genaue Zahlen liegen so früh selten vor. Somit genügt eine ehrliche erste Einschätzung.

Ein Beispiel macht das greifbar. Ein Handelsbetrieb bemerkt am Freitagabend verschlüsselte Server. Der Verdacht fällt sofort auf Ransomware. Somit ist ein böswilliger Akt wahrscheinlich. Der Betrieb meldet das binnen 24 Stunden an das zuständige CSIRT. Er schreibt: Ransomware-Verdacht, Produktion steht, Ausmaß noch unklar. Das reicht für die Frühwarnung. Genau diese Kürze ist gewollt.

Wichtig ist der Startpunkt der Frist. Kenntnis heißt: eine verantwortliche Person hat den Vorfall erkannt. Also nicht erst, wenn die volle Tragweite feststeht. Ein Verdacht mit belastbaren Anzeichen genügt. Deshalb sollten Sie im Zweifel früher melden. Denn eine nachträgliche Korrektur ist möglich. Eine versäumte Frist hingegen nicht. Somit schützt frühes Melden vor dem größeren Fehler.

Warum die 24 Stunden knapp sind

Vierundzwanzig Stunden klingen nach viel. In der Praxis sind sie knapp. Denn oft fällt ein Angriff nachts oder am Wochenende auf. Zudem herrscht in den ersten Stunden Chaos. Systeme fallen aus. Teams sind im Krisenmodus. Deshalb darf die Meldung keine zusätzliche Hürde sein. Ein vorbereiteter Meldeweg entlastet hier enorm. Wie Sie im Ernstfall richtig reagieren, zeigt der Beitrag Cyberangriff - was tun. Das CSIRT antwortet binnen 24 Stunden mit einer ersten Rückmeldung (§ 34 Abs. 4 NISG 2026).

Stufe 2: Meldung binnen 72 Stunden

Die zweite Stufe der NIS2 Meldepflicht ist die eigentliche Meldung. Sie ist binnen 72 Stunden fällig. Auch diese Frist läuft ab der Kenntnis vom Vorfall. Die 72 Stunden ersetzen die Frühwarnung nicht. Sie bauen darauf auf. Somit aktualisieren Sie die erste Einschätzung mit belastbaren Fakten.

Der Inhalt der 72-Stunden-Meldung

Diese Meldung ist deutlich ausführlicher. Sie enthält eine erste Bewertung des Vorfalls. Dazu gehören der Schweregrad und die Auswirkungen. Zudem nennen Sie, soweit vorhanden, die Kompromittierungsindikatoren. Also technische Spuren des Angriffs. Damit kann das CSIRT die Lage besser einschätzen. Und andere Betriebe vor derselben Bedrohung warnen.

Die Kompromittierungsindikatoren sind hier besonders nützlich. Darunter fallen etwa verdächtige IP-Adressen, Dateinamen von Schadsoftware oder auffällige Zugriffsmuster. Solche Spuren helfen anderen, denselben Angriff früh zu erkennen. Somit wird aus Ihrer Meldung ein Frühwarnsignal für die ganze Branche. Genau darin liegt der Sinn der NIS2 Meldepflicht. Sie schützt nicht nur Sie, sondern das gesamte Netz von Einrichtungen.

Die folgende Übersicht fasst die drei Stufen zusammen. So sehen Sie Frist, Inhalt und Zweck auf einen Blick.

Wenn die Fakten noch fehlen

Nach 72 Stunden ist oft noch nicht alles klar. Das ist normal. Deshalb verlangt die zweite Stufe nur eine erste Bewertung. Sie liefern, was Sie wissen. Offene Punkte kennzeichnen Sie als solche. Somit erfüllen Sie die Frist auch bei laufender Analyse. Ein sauberes Notfallmanagement und BCM sorgt dafür, dass die nötigen Daten schnell vorliegen. Denn wer den Vorfall strukturiert bearbeitet, kann ihn auch strukturiert melden. Ein geübter IT-Notfallplan hilft dabei enorm.

Stufe 3: Abschlussbericht nach einem Monat

Die dritte Stufe der NIS2 Meldepflicht ist der Abschlussbericht. Er ist spätestens einen Monat nach der 72-Stunden-Meldung fällig. Dieser Bericht schließt den Vorfall formal ab. Deshalb ist er der ausführlichste Teil. Er blickt zurück und zieht Lehren. Somit dient er nicht nur der Behörde. Er nützt auch Ihnen selbst.

Was der Abschlussbericht enthält

Der Bericht liefert eine vollständige Beschreibung. Dazu zählen der Schweregrad und die Auswirkungen des Vorfalls. Zudem nennt er die Art der Bedrohung und die wahrscheinliche Ursache. Ebenso beschreibt er die getroffenen und geplanten Gegenmaßnahmen. Falls relevant, ergänzt er grenzüberschreitende Auswirkungen. Damit entsteht ein rundes Bild des gesamten Vorfalls.

Ein Beispiel zeigt den Unterschied zu den früheren Stufen. Die Frühwarnung meldete einen Ransomware-Verdacht. Die 72-Stunden-Meldung bewertete den Schaden als erheblich. Der Abschlussbericht beschreibt nun den ganzen Hergang. Also den Einstiegspunkt über eine Phishing-Mail, die verschlüsselten Systeme und die Wiederherstellung aus dem Backup. Zudem nennt er die neue Zwei-Faktor-Pflicht als Konsequenz. Somit dokumentiert er den kompletten Lernzyklus.

Was bei einem laufenden Vorfall gilt

Manche Vorfälle sind nach einem Monat noch nicht gelöst. Für diesen Fall gibt es eine klare Regel. Sie reichen dann zunächst einen Fortschrittsbericht ein. Den finalen Abschlussbericht liefern Sie nach der Lösung nach. Und zwar binnen eines Monats ab dem Ende des Vorfalls. Somit bleibt die NIS2 Meldepflicht auch bei langen Vorfällen erfüllbar. Genau diese Flexibilität nimmt Druck aus dem Verfahren.

Der Abschlussbericht ist mehr als eine Pflichtübung. Er zwingt zur ehrlichen Aufarbeitung. Was hat funktioniert? Was nicht? Zudem: Wo lag die Lücke? Genau diese Fragen führen zu besseren Maßnahmen. Deshalb lohnt sich eine gründliche Analyse. Ein IT-Security-Audit nach dem Vorfall deckt die Schwachstellen auf. Somit wird aus dem Schaden ein Lerngewinn. Wer aus einem Vorfall lernt, ist beim nächsten besser vorbereitet.

Welche Vorfälle Sie melden müssen

Die NIS2 Meldepflicht greift nur bei erheblichen Sicherheitsvorfällen. Nicht jede Störung ist meldepflichtig. Deshalb ist die Abgrenzung wichtig. Ein Vorfall gilt als erheblich, wenn er schwere Folgen hat oder haben kann. Also eine schwerwiegende Betriebsstörung oder einen finanziellen Verlust. Ebenso, wenn er andere durch materielle oder immaterielle Schäden trifft.

Konkrete Schwellen für die Erheblichkeit

Für digitale Anbieter wie Cloud- und Managed-Service-Provider hat die EU die Kriterien konkretisiert. Die Durchführungsverordnung (EU) 2024/2690 nennt für sie handfeste Schwellen: Ein finanzieller Verlust ab 500.000 Euro oder 5 Prozent des Jahresumsatzes gilt als erheblich, je nachdem, welcher Wert niedriger ist. Für alle anderen Einrichtungen gelten die allgemeinen Kriterien des § 35 NISG 2026, also eine schwerwiegende Betriebsstörung oder ein schwerwiegender finanzieller Verlust. Auch der Abfluss von Geschäftsgeheimnissen zählt dazu. Somit gibt es messbare Anhaltspunkte. Denn eine reine Bauchentscheidung wäre zu unsicher.

• Finanzieller Schaden: bei digitalen Anbietern ab 500.000 Euro oder 5 Prozent des Jahresumsatzes (der niedrigere Wert), sonst ein schwerwiegender finanzieller Verlust nach § 35 NISG 2026.
• Betriebsstörung: ein länger andauernder Ausfall wesentlicher Dienste.
• Datenabfluss: der Verlust sensibler Daten oder von Geschäftsgeheimnissen.
• Ausstrahlung: erhebliche Schäden bei Kunden, Partnern oder Dritten.

Ein typischer Grenzfall

Nehmen wir einen Ransomware-Angriff. Die Produktion steht für zwei Tage still. Der Schaden übersteigt schnell die Schwelle. Somit ist der Vorfall klar meldepflichtig. Anders liegt der Fall bei einem abgewehrten Phishing-Versuch. Wenn nichts abfließt und nichts ausfällt, ist er in der Regel nicht erheblich. Im Zweifel gilt: lieber melden als riskieren. Denn eine verspätete Meldung wiegt schwerer als eine vorsichtige. Halten Sie Ihre Entscheidung kurz schriftlich fest. So können Sie später begründen, warum Sie gemeldet haben oder nicht. Somit sind Sie auch bei einer Nachfrage der Behörde abgesichert. Wie sich Ihr Betrieb gegen Erpressungstrojaner wappnet, zeigt die Ransomware Readiness. Externe Quellen wie die WKO-Übersicht zu NISG 2026 ordnen die Pflichten zusätzlich ein. Auch die EU-Cybersicherheitsagentur ENISA liefert Orientierung.

So bereiten Sie sich organisatorisch vor

Die NIS2 Meldepflicht lässt sich nur mit Vorbereitung halten. Denn im Ernstfall fehlt die Zeit zum Nachdenken. Deshalb gehört der Meldeprozess vorab geklärt. Also lange bevor der erste Vorfall eintritt. Zunächst braucht es einen definierten Ablauf. Danach die passenden Zuständigkeiten. Zum Schluss die nötige Übung.

Einen Incident-Prozess aufbauen

Der wichtigste Baustein ist ein klarer Incident-Prozess. Er legt fest, wer bei einem Vorfall was tut. Wer entscheidet über die Meldung? Zudem klärt er, wer sie schreibt. Ebenso, wer mit dem CSIRT spricht. Diese Rollen benennen Sie vorab. Zudem hinterlegen Sie die Kontaktdaten der Meldestelle. Somit läuft im Ernstfall kein Suchen. Ein guter IT-Notfallplan hält all das schriftlich fest. Fehlt intern das Know-how, steuert ein externer CISO den Aufbau.

Erkennung und Meldewege schärfen

Ohne Erkennung keine rechtzeitige Meldung. Deshalb braucht es ein Monitoring, das Vorfälle früh sichtbar macht. Ebenso einen einfachen internen Meldeweg. Jeder im Betrieb muss wissen, wohin er einen Verdacht meldet. Denn oft entdeckt ein Mitarbeiter den Angriff zuerst. Eine gute Security-Awareness-Schulung sorgt dafür, dass Auffälliges gemeldet wird. Zudem stärkt sie die interne Meldekultur, wie der Beitrag zur Meldekultur bei Sicherheitsvorfällen zeigt.

Ein geübter Ablauf schlägt jedes Dokument. Deshalb spielen Sie den Ernstfall einmal durch. Wer meldet an wen? Wie lange dauert die erste Frühwarnung? Solche Übungen decken Lücken auf. Zudem geben sie dem Team Sicherheit. Ein bestehendes ISMS nach ISO 27001 liefert dafür bereits die Struktur. Denn es regelt das Vorfallmanagement ohnehin. Damit erfüllen Sie viele NIS2-Pflichten in einem Zug. Für die konkrete Umsetzung stehen wir Ihnen im Kontakt zur Verfügung. Praktische Hilfen für den Alltag bietet zudem onlinesicherheit.gv.at.

Vorlagen für die Meldung bereithalten

Ein Meldetext lässt sich vorbereiten. Legen Sie eine Vorlage für die Frühwarnung an. Ebenso eine für die 72-Stunden-Meldung. So füllen Sie im Ernstfall nur noch die Fakten ein. Das spart wertvolle Zeit. Zudem verhindert es Formfehler unter Stress. Hinterlegen Sie darin die Kontaktdaten des zuständigen CSIRT und die Rollen im Team. Denn wer erst im Vorfall nach dem richtigen Ansprechpartner sucht, verliert Stunden. Ein kurzer Test der Vorlage im ruhigen Moment zeigt, ob sie trägt. Somit wird die NIS2 Meldepflicht von einer Belastung zu einem Routineschritt.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wie viele Stufen hat die NIS2 Meldepflicht?

Die NIS2 Meldepflicht hat drei Stufen. Zunächst eine Frühwarnung binnen 24 Stunden. Danach eine Meldung binnen 72 Stunden. Zum Schluss ein Abschlussbericht binnen eines Monats. Jede Stufe wird ausführlicher als die vorige.

Ab wann läuft die 24-Stunden-Frist?

Die Frist läuft ab der Kenntnis vom Vorfall. Also ab dem Moment, in dem Sie den Angriff bemerken. Nicht ab dem Beginn des Angriffs. Deshalb ist eine schnelle Erkennung so wichtig für die Einhaltung.

An wen muss ich einen Vorfall in Österreich melden?

Die Meldung geht an das für Ihren Sektor zuständige CSIRT, ersatzweise an das nationale CSIRT (derzeit CERT.at). Das CSIRT leitet sie an die Cybersicherheitsbehörde weiter.

Welche Vorfälle sind meldepflichtig?

Meldepflichtig sind nur erhebliche Sicherheitsvorfälle. Für digitale Anbieter gilt ein Vorfall ab 500.000 Euro Schaden oder fünf Prozent des Jahresumsatzes als erheblich, je nachdem, welcher Wert niedriger ist. Für alle anderen gelten die Kriterien des § 35 NISG 2026. Ebenso zählen schwere Betriebsstörungen und der Abfluss von Geschäftsgeheimnissen.

Was passiert, wenn der Vorfall nach einem Monat noch läuft?

Dann reichen Sie zunächst einen Fortschrittsbericht ein. Den finalen Abschlussbericht liefern Sie nach der Lösung nach. Und zwar binnen eines Monats ab dem Ende des Vorfalls. Somit bleibt die Frist auch bei langen Vorfällen erfüllbar.

Was gehört in die 72-Stunden-Meldung?

Die 72-Stunden-Meldung enthält eine erste Bewertung. Dazu gehören der Schweregrad und die Auswirkungen des Vorfalls. Zudem nennen Sie, soweit vorhanden, die Kompromittierungsindikatoren. Offene Punkte kennzeichnen Sie klar als solche.

Wie bereite ich mein Unternehmen auf die Meldepflicht vor?

Bauen Sie einen Incident-Prozess mit klaren Rollen auf. Legen Sie fest, wer meldet und wer mit dem CSIRT spricht. Zudem braucht es ein Monitoring und geübte Abläufe. Ein IT-Notfallplan und ein ISMS liefern dafür die Struktur.

Fazit: Vorbereitung schlägt Hektik im Ernstfall

Die NIS2 Meldepflicht ist in drei Stufen aufgebaut. Zunächst die Frühwarnung binnen 24 Stunden. Danach die Meldung binnen 72 Stunden. Zuletzt der Abschlussbericht binnen eines Monats. Wer die Fristen kennt und einen Prozess dafür hat, meldet ruhig statt hektisch. Denn die Meldung ist im Ernstfall nur ein Baustein von vielen.

Der beste Zeitpunkt für die Vorbereitung ist jetzt. Denn seit Oktober 2026 gelten die Fristen. Ein geübter Incident-Prozess entlastet Ihr Team, wenn es darauf ankommt. Zudem senkt eine gute Vorbereitung den Schaden. Wer vorbereitet ist, hält nicht nur die Frist. Er begrenzt auch die Folgen des Angriffs. Genau darin liegt der eigentliche Wert einer geübten Meldung.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren