Gemeint sind jene konkreten Dienste, die eine Einrichtung erbringt, die unter den Anwendungsbereich des NISG 2026 fallen und aufgrund der sie Einrichtungen der in den Anlagen 1 und 2 NISG 2026 genannten Art sind.

Wenn eine Einrichtung ihr internes Krisenmanagement oder ihre Notfallpläne des Business Continuity Managements aktivieren muss und entsprechende interne, selbst definierte Eskalationsstufen erreicht werden, ist ebenfalls ein erheblicher Cybersicherheitsvorfall gegeben und muss als solcher behandelt werden.

Zitat aus Erläuterungen NISV 2026: „§ 5 Abs. 1 Z 1 bis 6 erfolgen in Anlehnung an Art. 3 der Durchführungsverordnung (EU) 2024/2690, wobei die Möglichkeit zur Verursachung in Z 1 bis Z 3 dann gegeben ist, wenn damit zu rechnen ist, dass die jeweilige Auswirkung bei gewöhnlichem Verlauf der Dinge in naher Zukunft eintreten wird, somit kurz bevorsteht.“

Diese Vorkehrung gilt, wenn ein Cybersicherheitsvorfall eingetreten ist, die Schwellwerte der Schädigung für einen erheblichen Cybersicherheitsvorfall aber noch nicht überschritten sind. Es zeichnet sich jedoch mit hoher Wahrscheinlichkeit ab, dass dies in Bälde zu erwarten ist. Auch in dieser Situation ist bereits eine Meldung erforderlich.

Beispiele

• Ein Infostealer hat sich seit mehreren Tagen unbemerkt auf einem Server mit hochsensiblen, internen Daten eingenistet, wobei der tatsächliche Schaden des Datenabflusses aktuell noch nicht abschließend ermittelt werden kann. Es ist jedoch sehr wahrscheinlich, dass die Erfüllung von Kriterien eines erheblichen Cybersicherheitsvorfalls (beispielsweise wegen Abfluss von Geschäftsgeheimnissen) erwartbar ist.
• Bei einem IKT-Drittdienstleister, welcher eine wesentliche Einrichtung im Sinne des NISG 2026 ist, wird eine Reihe von bislang unbemerkten Finanztransaktionen an Konten im Ausland beobachtet, die zum Zeitpunkt der Detektion gemeinsam noch unter den gesetzlichen Meldeschwellen bzgl. erheblichen finanziellem Schaden liegen. Da aufgrund einer ersten Prüfung der Situation eine Überschreitung der Schwellwerte der Gesamtschadenssumme wahrscheinlich wird bzw. der Abfluss von Geldern noch im Gange ist, liegt ein erheblicher Cybersicherheitsvorfall vor.

In beiden Beispielen dürfen Unternehmen folglich nicht abwarten, bis der Schaden tatsächlich eingetreten ist, sondern bereits bei einer in naher Zukunft drohenden Überschreitung der Schwellwerte oder Erfüllen von Kriterien nach § 5 (1) NISV 2026 aktiv werden.