NIS2-Aufsicht und Durchsetzung in Österreich: Die Befugnisse der Cybersicherheitsbehörde

Wer beaufsichtigt NIS2 in Österreich?

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die NIS2-Anforderungen um. Zentrale nationale Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit). Zu ihren gesetzlich festgelegten Aufgaben gehört ausdrücklich die „Ausübung der Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen gemäß den §§ 38 und 39“ (§ 4 Abs. 1 Z 13 NISG 2026).

Daneben bestehen sektorspezifische CSIRTs und ein nationales CSIRT als Anlaufstellen für Vorfallsmeldungen (§ 34), eine Zentrale Anlaufstelle (§ 5) sowie das Nationale Koordinierungszentrum für Cybersicherheit (§ 6).

Wichtig für die Planung: Die Verpflichtungen des NISG 2026 treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Die Kundmachung erfolgte am 23.12.2025 (BGBl. I Nr. 94/2025). Bis dahin gilt das bisherige NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Wen betrifft das? Das Gesetz erfasst wesentliche und wichtige Einrichtungen in 18 Sektoren (§ 2), darunter Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung, Produktion und Forschung.

Wesentliche vs. wichtige Einrichtung: Was der Unterschied bedeutet

Das NISG 2026 unterscheidet zwei Kategorien beaufsichtigter Einrichtungen (§ 24):

• Wesentliche Einrichtung (§ 24 Abs. 1): z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene, als kritisch eingestufte Einrichtungen sowie große Unternehmen der in Anlage 1 genannten Art.
• Wichtige Einrichtung (§ 24 Abs. 2): u. a. große oder mittlere Unternehmen der in den Anlagen 1 und 2 genannten Art sowie Einrichtungen der öffentlichen Verwaltung auf Landesebene.

Diese Einstufung ist auch für die Aufsicht relevant: Aufsichts- und Durchsetzungsmaßnahmen richten sich nach den §§ 38 und 39 gegenüber beiden Kategorien (§ 4 Abs. 1 Z 13). Der genaue rechtliche Unterschied zwischen einer stärker vorgelagerten (ex-ante) Aufsicht wesentlicher Einrichtungen und einer nachgelagerten (ex-post) Aufsicht wichtiger Einrichtungen geht aus den vorliegenden Textstellen nicht ausdrücklich hervor. [TÄPSUSTAB PARTNER-JURIST]

Eindeutig ist jedoch die unterschiedliche Strafhöhe je nach Kategorie (siehe unten).

Kontrollen, Sicherheitsscans und Informationsanforderungen

Die konkreten Aufsichtsbefugnisse ergeben sich aus § 38 NISG 2026. Aus den mit Verwaltungsstrafen bewehrten Mitwirkungspflichten (§ 45 Abs. 4) lässt sich ableiten, dass die Cybersicherheitsbehörde insbesondere Folgendes durchführen bzw. verlangen kann:

• Kontrolle der Einrichtung (§ 38 Abs. 1 Z 1),
• Sicherheitsscans betreffend die Einrichtung (§ 38 Abs. 1 Z 2),
• Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte (§ 38 Abs. 1 Z 3),
• Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung (§ 38 Abs. 1 Z 4),
• Ad-hoc-Prüfungen der Einrichtung (§ 38 Abs. 1 Z 5).

Wer diese Kontrollen, Sicherheitsscans oder Ad-hoc-Prüfungen be- oder verhindert oder angeforderte Informationen bzw. Zugänge nicht bereitstellt, begeht eine Verwaltungsübertretung (§ 45 Abs. 4 Z 12–16).

Zusätzlich kann die Behörde einen Überwachungsbeauftragten einsetzen; die Behinderung dieses Beauftragten ist ebenfalls strafbewehrt (§ 45 Abs. 4 Z 18). Der genaue Ablauf und die Voraussetzungen der einzelnen Maßnahmen nach § 38 im Detail sind der Rechtsgrundlage zu entnehmen. [TÄPSUSTAB PARTNER-JURIST]

Anordnungen und Durchsetzungsmaßnahmen (§ 39)

Neben der reinen Kontrolle kann die Cybersicherheitsbehörde nach § 39 Durchsetzungsmaßnahmen anordnen. Auch hier zeigen die Strafbestimmungen, was gemeint ist:

• Wer den gemäß § 39 Abs. 2 angeordneten Durchsetzungsmaßnahmen nicht fristgerecht nachkommt, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 6).
• Wer den gemäß § 39 Abs. 3 Z 1 lit. a und b angeordneten Maßnahmen nicht fristgerecht nachkommt, ist ebenfalls strafbar (§ 45 Abs. 4 Z 17).

In der Praxis bedeutet das: Stellt die Behörde bei einer Prüfung Mängel fest, kann sie verbindliche Anordnungen erteilen und Fristen setzen. Werden diese ignoriert, drohen Verwaltungsstrafen. Der genaue Katalog der Maßnahmen nach § 39 (Reihenfolge, Eskalation, mögliche weitergehende Schritte) ergibt sich aus dem Gesetzestext im Detail. [TÄPSUSTAB PARTNER-JURIST]

Melde- und Berichtspflichten als Aufsichtsauslöser: Erhebliche Cybersicherheitsvorfälle (§ 35) sind unverzüglich zu melden – Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2). Diese Meldungen gelangen über das CSIRT an die Cybersicherheitsbehörde und können Aufsichtshandlungen auslösen.

Welche Strafen drohen?

Die Verwaltungsstrafbestimmungen finden sich in § 45 NISG 2026. Die Höhe hängt von der Einstufung der Einrichtung ab:

Diese Höchstbeträge gelten insbesondere für Verstöße wie fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung von Risikomanagementmaßnahmen (§ 32), das Verletzen der Meldepflichten (§ 34) oder die Nichtbefolgung angeordneter Durchsetzungsmaßnahmen (§ 45 Abs. 1).

Für eine Reihe weiterer, eher formaler Pflichtverstöße – etwa verspätete Registrierung, unterlassene Selbstdeklaration oder das Be- bzw. Verhindern von Kontrollen und Sicherheitsscans – sieht § 45 Abs. 4 Geldstrafen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Was Sie jetzt tun sollten: Prüfen Sie frühzeitig, ob Sie als wesentliche oder wichtige Einrichtung gelten und ob Ihre Risikomanagementmaßnahmen (§ 32) und Meldeprozesse (§ 34) vorbereitet sind. Nutzen Sie dazu unser kostenloses Scoping- und Gap-Tool, um Ihren Handlungsbedarf strukturiert zu erfassen.