2.5 Cybersicherheitsvorfälle und Meldepflichten
Wann ist ein Vorfall „erheblich“?
Das Gesetz unterscheidet mehrere Stufen. Ein Cybersicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. Ein Beinahe-Cybersicherheitsvorfall ist ein solches Ereignis, dessen Eintritt verhindert wurde. • [Fußnote: Vgl § 3 Z 29 und 30 NISG 2026.] Melden muss eine Einrichtung nur erhebliche Cybersicherheitsvorfälle. „Erheblich“ ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann. Dasselbe gilt, wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Bei der Beurteilung sind unter anderem die möglichen Auswirkungen auf die öffentliche Gesundheit oder die Gesundheit eines großen Personenkreises zu berücksichtigen. • [Fußnote: Vgl § 35 Abs 1 und 2 NISG 2026.]
