Lektion 6.4 · 5 Min.

Die Fristen auf einen Blick

Im Kurs öffnenmit vorgelesenen Folien, Checkliste zum Abhaken und Quiz

Auf einen Blick

Seit 1. Oktober: alle Pflichten. Maßnahmen, Meldungen und Schulungen gelten seit 1. Oktober 2026. Registrieren bis 31. Dezember 2026.
Bis 30. September: Selbstdeklaration. Zwölf Monate nach Eintritt der Registrierungspflicht. Bis dahin sollten Inventar, Anbieterverzeichnis und Risikoanalyse stehen.
Ab 1. Oktober: Prüfungen möglich. Ab dann kann die Behörde den Nachweis durch eine unabhängige Stelle verlangen: zwei Monate oder zwei Jahre Zeit.
24 Stunden, 72 Stunden, ein Monat. Bei jedem erheblichen Vorfall. Änderungen der Registrierung binnen zwei Wochen oder drei Monaten.
Konzept, Risiken, Kompensation. Sicherheitskonzept, Risikobewertung und kompensierende Maßnahmen mindestens einmal im Jahr überprüfen; wiederholte Vorfälle vierteljährlich.

Im Detail

Die Stichtage

Wann	Was	Grundlage
seit 1. Oktober 2026	Risikomanagement, Schulungen und Meldepflicht gelten	§ 51 Abs. 2 NISG 2026
1. Oktober bis 31. Dezember 2026	registrieren im USP; rechtlich spätestens 4. Jänner 2027	§ 29 Abs. 3 NISG 2026; Bundesamt
bis 30. September 2027	Selbstdeklaration	§ 33 Abs. 1 NISG 2026; Bundesamt
ab 1. Oktober 2028	Aufforderung zur Prüfung durch eine unabhängige Stelle möglich	§ 33 Abs. 2 NISG 2026

Fristen, die ein Ereignis auslöst

Wann	Was	Grundlage
binnen 24 Stunden nach Kenntnis	Frühwarnung an das CSIRT	§ 34 Abs. 2 Z 1
binnen 72 Stunden nach Kenntnis	Meldung	§ 34 Abs. 2 Z 2
unverzüglich	Empfänger der Dienste informieren, wenn der Dienst beeinträchtigt ist	§ 34 Abs. 3
binnen einem Monat nach der Meldung	Abschlussbericht, sonst Fortschrittsbericht	§ 34 Abs. 2 Z 4, 5
binnen zwei Wochen	Änderungen bei Name, Kontakten, Sektor, Staaten, IP-Bereichen melden	§ 29 Abs. 4 Z 1
binnen drei Monaten	Änderungen bei Niederlassungen und Größenangaben melden	§ 29 Abs. 4 Z 2
binnen drei Monaten	registrieren, wenn die Voraussetzungen neu erfüllt sind	§ 29 Abs. 3
binnen zwölf Monaten	Selbstdeklaration, wenn die Registrierungspflicht neu eingetreten ist	§ 33 Abs. 1
zwei Monate oder zwei Jahre nach Aufforderung	Nachweis durch eine unabhängige Stelle	§ 33 Abs. 2
einen Monat vor einer Prüfung	Prüfplan an die Behörde	§ 33 Abs. 5

Was regelmäßig wiederkehrt

Wie oft	Was	Grundlage
vierteljährlich	prüfen, ob sich Vorfälle wiederholen	DVO Anhang Nr. 3.4.2 lit. b
mindestens jährlich	Sicherheitskonzept durch die Geschäftsleitung überprüfen	DVO Anhang Nr. 1.1.2
mindestens jährlich	Risikobewertung und Behandlungsplan überprüfen	DVO Anhang Nr. 2.1.4
mindestens jährlich	Wirksamkeit kompensierender Maßnahmen überprüfen	§ 4 Abs. 3 NISV 2026
mindestens jährlich	Zuweisung des Personals zu Rollen überprüfen	DVO Anhang Nr. 10.1.3
regelmäßig	Schulungen für Mitarbeiter; Auffrischung für die Geschäftsleitung risikobasiert	§ 31 Abs. 2; Bundesamt
regelmäßig	Wiederherstellung aus Sicherungskopien testen	DVO Anhang Nr. 4.2.6
nach jedem Jahresabschluss	Größe und Einstufung prüfen; wirksam nach zwei Jahren in Folge	§ 25; Bundesamt

Bei erheblichen Vorfällen und wesentlichen Änderungen sind Konzept, Risikobewertung und viele weitere Maßnahmen zusätzlich zu überprüfen (Durchführungsverordnung (EU) 2024/2690, Anhang).

Was das im Alltag heißt

Einzeln sind diese Fristen überschaubar. Mühsam wird es, weil sie über Geschäftsleitung, IT, Einkauf und Dienstleister verteilt sind, und weil die Nachweise am Ende an einer Stelle zusammenkommen müssen: in der Selbstdeklaration, beim Abschlussbericht, bei einer Prüfung.

Wie Sie das angehen und was Ihnen am unklarsten ist, würden wir gern von Ihnen hören: in acht kurzen Fragen, oder lieber in einem Gespräch von etwa 20 Minuten. Wir verkaufen nichts.

Checkliste

Alle Stichtage dieser Lektion stehen in unserem Kalender.
Für jede Frist ist klar, wer sie im Blick hat, mit Vertretung.
Die jährliche Überprüfung durch die Geschäftsleitung hat einen festen Termin.
Die Meldefristen sind in unserer Anleitung für Vorfälle.
Wir wissen, wo unsere Nachweise liegen, für Selbstdeklaration und Prüfung.

Quiz

Bis wann ist die Selbstdeklaration abzugeben, wenn die Registrierungspflicht am 1. Oktober 2026 eingetreten ist?

31. Dezember 2026
1. Oktober 2028
Nur auf Aufforderung
30. September 2027

Auflösung anzeigen

Richtig ist D: 30. September 2027. § 33 Abs. 1 NISG 2026: zwölf Monate nach Eintritt der Registrierungspflicht; das Bundesamt nennt den 30. September 2027 (FAQ Nachweise).

Quellen

Die Aussagen dieser Lektion stützen sich auf:

Keine Rechtsberatung. Maßgeblich sind das NISG 2026 und die NISV 2026 im Rechtsinformationssystem des Bundes und die Durchführungsverordnung (EU) 2024/2690 (gelesen am 6. Oktober 2026). Nicht behandelt sind die besonderen Regeln für Banken und Finanzunternehmen (DORA), für kritische Einrichtungen nach dem RKE-Gesetz, für Domänennamen-Registrierungsdienste und für die öffentliche Verwaltung. Kein Angebot des Bundesamts für Cybersicherheit, eines CERT oder der Wirtschaftskammer.