Beispiele

• Mehrmaliges Ausnutzen derselben, unbehandelten Software-Vulnerability (Ursache) innerhalb von 6 Monaten führt zu lokal begrenzten Ransomware-Vorfällen bei Systemen niedriger Kritikalität (Auswirkung) und überschreiten gemeinsam die Schwellen des finanziellen Verlustes nach § 5 Abs. 1 Z 1 NISV 2026.
• Der wiederholte, erfolgreiche Einsatz desselben Typs an Phishing-Mails innerhalb von 6 Monaten, die von Personal der Einrichtung nicht erkannt wurde (Ursache), führt zu finanziellen Schäden (Auswirkung) die gemeinsam die Schwellen des finanziellen Verlustes nach § 5 Abs. 1 Z 1 NISV 2026 überschreiten.
• Es kommt innerhalb von 6 Monaten zu wiederholten Supply-Chain-Angriffen via demselben Lieferanten (Ursache), die die Verfügbarkeit von Systemen zeitweise einschränkt (Auswirkung) und gemeinsam die Schwellen des finanziellen Verlustes nach § 5 Abs. 1 Z 1 NISV 2026 überschreiten.

Ja. Ein Vorfall kann auch dann als erheblich eingestuft werden oder meldepflichtig sein, wenn er sich aus den allgemeinen Bestimmungen des NISG 2026 ergibt. So sind Cybersicherheitsvorfälle möglicherweise auch dann als erheblich einzustufen, wenn zwar in der NISV 2026 genannten Kriterien (noch) nicht überschritten sind, es aber nach § 35 NISG 2026 Auswirkungen, beispielsweise auf die Umwelt oder die öffentliche Ordnung und Sicherheit, gibt.