NIS2 und die 24-Stunden‑Frist

Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die EU-Richtlinie NIS2 um und ersetzt das NISG 2018. Der Kreis der verpflichteten Einrichtungen wächst dabei erheblich, und über die Lieferkette reicht die Wirkung noch weiter, weil betroffene Einrichtungen die Sicherheit ihrer Zulieferer bewerten und vertraglich steuern müssen.

Zu den technischen Vorgaben ist inzwischen viel geschrieben worden. Weniger Aufmerksamkeit bekommt jene Pflicht, an der Organisationen in der Praxis oft scheitern, und zwar aus einem Grund, der mit IT wenig zu tun hat.

Die Pflichten gelten ohne Übergangszeit

Das Gesetz wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 vollständig in Kraft. Ab diesem Tag sind die Vorgaben zu Risikomanagement, Schulungen und Meldepflichten zu erfüllen.

Zwei Fristen folgen. Betroffene Einrichtungen müssen sich ab 1. Oktober und bis spätestens 31. Dezember 2026 laut WKO-FAQ über das Unternehmensserviceportal registrieren. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1) ist der Behörde eine Aufstellung der umgesetzten Risikomanagementmaßnahmen zu übermitteln – die sogenannte Selbstdeklaration.

Erfasst sind 18 Sektoren, von Energie, Verkehr und Gesundheit über Trinkwasser und Abwasser bis zu Abfallwirtschaft, Lebensmitteln, Chemie und Teilen des verarbeitenden Gewerbes. Dazu muss die Einrichtung mindestens mittlere Größe erreichen, also ab 50 Beschäftigten oder bei einem Jahresumsatz und einer Bilanzsumme von jeweils über zehn Millionen Euro. Einzelne Dienste sind größenunabhängig erfasst.

Zwei Punkte werden dabei regelmäßig übersehen. Bei verbundenen Unternehmen werden die Kennzahlen von Mutter und Tochter laut WKO-FAQ wechselseitig voll zugerechnet – ein kleiner Betrieb im Konzernverbund erreicht die Schwelle schneller als gedacht. Die Einrichtung prüft ihre Betroffenheit selbst; zusätzlich kann die Behörde eine Einrichtung nach § 26 NISG 2026 größenunabhängig mit Bescheid einstufen.

Für Gemeinden kommt es auf den Sektor an

In Niederösterreich kommt die Frage derzeit häufig auf. Gemeinden, Städte und Gemeindeverbände sind im Sektor öffentliche Verwaltung ausdrücklich ausgenommen.

Pauschal ausgenommen sind sie damit nicht. Ist eine Gemeinde in einem anderen erfassten Sektor tätig (Trinkwasser, Abwasser, Abfallwirtschaft, Energie, Verkehr, digitale Infrastruktur) und werden die Größenkriterien erreicht, greift das Gesetz.

Die Gemeinde als Verwaltungseinheit kann also außen vor sein, während der eigene Wasserverband erfasst ist. Diese Prüfung sollte man nicht dem Gefühl überlassen.

Die Meldekette reicht von 24 Stunden bis zu einem Monat

Erhebliche Cybersicherheitsvorfälle sind gestuft an das zuständige Computer-Notfallteam zu melden.

Die Kette ist vierstufig (§ 34 Abs. 2 Z 1 bis 4). Zuerst kommt die Frühwarnung, unverzüglich und jedenfalls binnen 24 Stunden, dann die Meldung mit erster Bewertung, unverzüglich und jedenfalls binnen 72 Stunden. Auf Ersuchen eines CSIRTs oder der Behörde folgt ein Zwischenbericht, spätestens einen Monat nach der 72-Stunden-Meldung der Abschlussbericht. Dauert die Vorfallsbehandlung zu diesem Zeitpunkt noch an, ist zunächst ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt binnen eines Monats nach Beendigung der Behandlung (§ 34 Abs. 2 Z 5). Die 24 Stunden sind damit nur die erste Frist.

Adressat ist das zuständige sektorspezifische Computer-Notfallteam, im Gesetz CSIRT genannt, und, wenn es für den Sektor keines gibt, das nationale CSIRT. Dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Gemeldet wird also nicht direkt an die Behörde.

Die Frühwarnung ist bewusst schlank. Sie gibt gegebenenfalls an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige und schuldhafte Handlungen zurückzuführen ist, oder ob grenzüberschreitende Auswirkungen möglich sind (§ 34 Abs. 2 Z 1). Umgekehrt bleibt es nicht beim Absenden, denn das CSIRT hat spätestens 24 Stunden nach Eingang der Frühwarnung eine erste Rückmeldung zu übermitteln, auf Ersuchen mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4).

Geregelt ist die Erheblichkeit in § 35. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). § 35 Abs. 2 nennt zusätzliche Beurteilungskriterien, etwa Abhängigkeiten anderer Sektoren, Marktanteil und betroffenes geografisches Gebiet.

Im Ernstfall zählen zwei Feinheiten. Die Frist knüpft an die Kenntnis vom Vorfall an, eine abgeschlossene Analyse ist dafür keine Voraussetzung (§ 34 Abs. 2 Z 1 und 2). Laut WKO-FAQ läuft sie auch am Wochenende, selbst wenn der Betrieb dann keine Dienste erbringt.

Neben der Meldung steht eine zweite Kommunikationspflicht

Beeinträchtigt der Vorfall die Erbringung des Dienstes, sind die Empfänger dieses Dienstes unverzüglich zu unterrichten und, soweit möglich, über mögliche Schutz- und Abhilfemaßnahmen zu informieren (§ 34 Abs. 3). Die Verletzung dieser Pflicht ist eigens als Verwaltungsübertretung erfasst (§ 45 Abs. 1 Z 5) – als Nebenpflicht lässt sie sich also nicht behandeln.

Was das für die Vorbereitung der Kommunikation bedeutet, beschreibt der Beitrag NISG 2026: Der Angriff ist technisch, die Krise ist es nicht.

Die erste Frist scheitert selten an der Technik

Vierundzwanzig Stunden klingen nach einer technischen Anforderung. In der Praxis ist es eine organisatorische – an einer sehr bestimmten Stelle.

Gemeldet werden muss, was erheblich ist, und diese Einstufung muss jemand vornehmen. Genau dafür fehlt in vielen Organisationen eine benannte Zuständigkeit.

Ein typischer Ablauf beginnt am Freitagnachmittag, wenn eine Mitarbeiterin meldet, dass ein Ordner nicht mehr öffnet. Der IT-Dienstleister vermutet ein Berechtigungsproblem. Am Montagvormittag ist klar, dass Daten verschlüsselt wurden. Die Frist ist längst gelaufen – sie hat am Freitag begonnen.

Drei Festlegungen verhindern das, und sie kosten vor allem Arbeitszeit.

Erheblichkeit. Darüber entscheidet eine Person mit ihrer Vertretung, beide namentlich benannt und außerhalb der Dienstzeit erreichbar.

Fristbeginn. Die Frist läuft ab Kenntnis. Wer auf Gewissheit wartet, meldet zu spät.

Ausweichweg. Wenn die eigenen Systeme stehen, braucht die Meldung einen anderen Weg. Ist das Mailsystem verschlüsselt, ist eine Meldekette per E-Mail wertlos. Kontaktdaten und Meldeweg gehören auf Papier oder auf ein Gerät außerhalb des betroffenen Netzes.

Mehrere Pflichten laufen parallel

Rein technische Umsetzungspläne übersehen, dass in denselben Stunden weitere Kommunikationspflichten anfallen, mit unterschiedlichen Adressaten, Fristen und Tonlagen.

Die Behördenmeldung nach dem NISG.

Die Datenschutzmeldung, falls personenbezogene Daten betroffen sind, binnen 72 Stunden an die Datenschutzbehörde, bei hohem Risiko zusätzlich an die betroffenen Personen. Eine eigene Pflicht mit eigener Frist.

Die vertraglichen Informationspflichten gegenüber Auftraggebern. Wer Zulieferer einer betroffenen Einrichtung ist, hat solche Klauseln zunehmend im Vertrag stehen.

Die Belegschaft, die als Erste merkt, dass etwas nicht stimmt – und die, wenn sie nichts hört, den Informationsstand privat weitergibt.

Kundschaft und Öffentlichkeit, sobald der Ausfall sichtbar wird. Ein Betrieb, der drei Tage keine Aufträge annehmen kann, kommuniziert bereits, ob er will oder nicht.

Eine Konstellation wird dabei oft falsch eingeschätzt. Melden Lieferant und Kunde jeweils als betroffene Einrichtung, ersetzt die eine Meldung nicht die andere. Beide müssen melden.

Zulieferer spüren das Gesetz über ihre Kunden

Für viele kleinere Betriebe wird der erste Kontakt mit dem Gesetz ein Fragebogen sein.

Erfasst ist dabei mehr als die IT. Zur Lieferkette zählt, wer die Netz- und Informationssysteme der Einrichtung unterstützt oder ermöglicht – das kann bis zur Klimatechnik im Serverraum reichen.

Ein pauschaler Verweis auf das NISG in den AGB genügt laut WKO-FAQ den Anforderungen nicht; verlangt sind konkrete, überprüfbare Vertragspflichten. Eine belastbare Antwort ist zudem ein Vertriebsargument. Wer als Erster im eigenen Umfeld sauber belegen kann, wie er mit Zugängen, Backups und Vorfällen umgeht, wird als Lieferant leichter gehalten.

Auch wer die IT ausgelagert hat, bleibt als Einrichtung verantwortlich. Der Dienstleister führt aus, haften tut man laut WKO-FAQ selbst.

Ein durchgespielter Fall zeigt die Lücken

Setzen Sie sich vor dem 1. Oktober zwei Stunden zusammen und spielen Sie einen einzigen Fall durch, mit echten Namen und Telefonnummern.

Angenommen, morgen früh sind die Dateiserver verschlüsselt.

Halten Sie die Antworten auf einer Seite fest und legen Sie diese ausgedruckt ins Büro der Geschäftsführung und an einen zweiten Ort.

Diese eine Seite ist in einem echten Vorfall mehr wert als ein sechzigseitiges Sicherheitskonzept, das auf dem verschlüsselten Laufwerk liegt.

Die Leitung trägt eigene Pflichten

Ein verbreitetes Missverständnis betrifft die persönliche Haftung. Das NISG 2026 verpflichtet die Leitungsorgane ausdrücklich, die Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, und schreibt ihnen eigene Cybersicherheitsschulungen vor – allgemeine Schulungen der Belegschaft genügen dafür nicht.

Für die Einrichtung selbst reicht der Strafrahmen für wesentliche Einrichtungen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent, je nachdem, welcher Betrag höher ist (§ 45 Abs. 1 Z 4 und 5). Für eine versäumte Registrierung sind bis zu 50.000 Euro vorgesehen, im Wiederholungsfall bis zu 100.000.

Der Stichtag ist der leichtere Teil

Am 1. Oktober ändert sich zunächst wenig sichtbar, denn die Registrierung läuft bis Jahresende, die Selbstdeklaration bis Herbst 2027.

Entscheidend wird der erste Vorfall danach. Dann zeigt sich, ob eine Organisation die 24 Stunden als Frist begriffen hat, die zu laufen beginnt, während noch niemand weiß, was passiert ist – oder als Formalie, die man erledigt, sobald die Lage geklärt ist.

Den Unterschied machen benannte Zuständige mit Telefonnummer und eine Entscheidung, die vorab getroffen wurde.