NIS2 in Österreich für Anbieter digitaler Infrastruktur: Cloud, Rechenzentren und Telekommunikation

Die kurze Antwort: Ja, digitale Infrastruktur ist erfasst

Ja. Digitale Infrastruktur ist im Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) ausdrücklich als Sektor 8 genannt (§ 2), die einzelnen Arten von Einrichtungen – darunter Cloud-Computing-Dienste, Rechenzentrumsdienste, Internet-Knoten, Inhaltszustellnetze, DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter sowie Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher Kommunikationsdienste – sind in Anlage 1 des Gesetzes aufgezählt.

Ob Ihr Unternehmen als wesentliche Einrichtung oder als wichtige Einrichtung gilt, entscheidet § 24 in Verbindung mit der Unternehmensgröße nach § 25. Der erste Schritt ist deshalb eine nüchterne Einordnung: Prüfen Sie, welcher Eintrag in Anlage 1 Ihre Dienste beschreibt, und dokumentieren Sie diese Einordnung intern.

Zeitlicher Rahmen: Die Verpflichtungen des NISG 2026 treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft; die Kundmachung erfolgte am 23. Dezember 2025.

Wie das NISG 2026 den Sektor benennt

Maßgeblich sind § 2 NISG 2026 (Aufzählung der 18 Sektoren, darunter „8. Digitale Infrastruktur“) und Anlage 1 – Sektoren mit hoher Kritikalität.

Der Sektoreintrag beginnt in Anlage 1 wörtlich mit den Betreibern von Netzeinrichtungen, die die

> „Zusammenschaltung von mehr als zwei unabhängigen Netzen (autonomen Systemen) ermöglicht, in erster Linie zur Erleichterung des Austauschs von Internet-Datenverkehr, der nur der Zusammenschaltung autonomer Systeme dient und weder voraussetzt, dass der Internet-Datenverkehr zwischen zwei beliebigen teilnehmenden“

autonomen Systemen über ein drittes autonomes System läuft („Internet-Knoten“ bzw. „Internet Exchange Point – IXP“).

Weiter nennt Anlage 1 im Sektor 8 unter anderem:

• Cloud-Computing-Dienste: Dienste, die „auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen“ ermöglichen, auch bei Verteilung auf mehrere Standorte.
• Rechenzentrumsdienste: Dienste zur „zentralen Unterbringung, die Verbindung und den Betrieb von IT- und Netzausrüstungen“ samt Leistungsverteilung und Umgebungskontrolle – mit Ausnahme von Rechenzentrumsdiensten, die ausschließlich von der betroffenen Einrichtung selbst betrieben und genutzt werden.
• Inhaltszustellnetze (Content Delivery Network), DNS-Diensteanbieter (ausgenommen Betreiber von Root-Nameservern), TLD-Namenregister und Vertrauensdiensteanbieter.
• Anbieter öffentlicher elektronischer Kommunikationsnetze sowie Anbieter von Kommunikationsdiensten, soweit deren Dienste öffentlich zugänglich sind.

Wer verwaltete Dienste (MSP) oder verwaltete Sicherheitsdienste (MSSP) für Dritte erbringt, fällt nach Anlage 1 in den eigenen Sektor 9 („Verwaltung von IKT-Diensten (Business-to-Business)“).

Wesentliche oder wichtige Einrichtung: Einstufung und Größe

§ 24 NISG 2026 unterscheidet zwei Klassen:

Als wesentliche Einrichtung gelten unter anderem (§ 24 Abs. 1):

• unabhängig von der Unternehmensgröße: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs. 1 und 2), sowie Einrichtungen, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden;
• Einrichtungen, die ein mittleres Unternehmen gemäß § 25 Abs. 3 betreiben und Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste sind;
• Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben – das erfasst große Cloud-, Rechenzentrums-, IXP- und CDN-Anbieter.

Als wichtige Einrichtung gelten (§ 24 Abs. 2): Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, sowie unabhängig von ihrer Größe Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder öffentlich zugänglichen Kommunikationsdiensten, Vertrauensdiensteanbieter und von der Cybersicherheitsbehörde eingestufte Einrichtungen (§ 26 Abs. 1) – soweit sie nicht bereits wesentliche Einrichtung nach Abs. 1 sind.

Die Größenklassen richten sich nach § 25 (großes Unternehmen: § 25 Abs. 2; mittleres Unternehmen: § 25 Abs. 3). Die konkreten Zahlenwerte gibt der hier ausgewertete Gesetzesauszug nicht wieder – bitte bestätigen Sie diese anhand der veröffentlichten Informationen der Cybersicherheitsbehörde (offizielle Quelle).

Zwei Sonderregeln sind für Cloud- und Rechenzentrumsanbieter mit Finanzkunden relevant: Für Einrichtungen im Anwendungsbereich der Verordnung (EU) 2022/2554 gehen deren Bestimmungen vor (§ 24 Abs. 7); IKT-Drittdienstleister gemäß Art. 3 Z 23 dieser Verordnung unterliegen jedoch auch dem NISG 2026 (§ 24 Abs. 8).

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das Gesetz behandelt wesentliche und wichtige Einrichtungen bei den Sicherheitsanforderungen gleich: § 32 gilt wortgleich für beide Klassen; sektorspezifische Zusatzmaßnahmen speziell für Cloud, Rechenzentren oder Telekommunikation enthält § 32 nicht. Die Cybersicherheitsbehörde kann jedoch per Verordnung nähere Anforderungen festlegen und dabei sektorspezifische Besonderheiten berücksichtigen (§ 32 Abs. 5).

Nach § 32 Abs. 1 bis 3 sind geeignete und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen umzusetzen – nach Stand der Technik, Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen.

§ 32 Abs. 4 verlangt einen gefahrenübergreifenden Ansatz mit zumindest folgenden Inhalten:

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme;
• Bewältigung von Cybersicherheitsvorfällen;
• Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement);
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, inklusive Management und Offenlegung von Schwachstellen;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
• Kryptografie und gegebenenfalls Verschlüsselung;
• Personalsicherheit, Zugriffskontrolle, Management von Anlagen;
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation.

Leitungsorgane: § 45 Abs. 1 Z 1 und 2 sanktioniert, wer keine Cybersicherheitsschulungen für Leitungsorgane bzw. für Mitarbeiter gemäß § 31 Abs. 2 vorsieht – die Verantwortung liegt also ausdrücklich auch auf Führungsebene.

Registrierung und Selbstdeklaration: Aus § 45 Abs. 4 ergibt sich die Pflicht zur fristgerechten Registrierung bei der Cybersicherheitsbehörde (§ 29 Abs. 3), zur Meldung von Änderungen (§ 29 Abs. 4) sowie zur Selbstdeklaration und gegebenenfalls Übermittlung eines Prüfberichts (§ 33). TLD-Namenregister und Einrichtungen mit Domänennamen-Registrierungsdiensten trifft zusätzlich § 30 (Datenbankführung, Veröffentlichung nicht personenbezogener Registrierungsdaten, Beantwortung von Zugangsanträgen längstens innerhalb von 72 Stunden nach Eingang).

Meldepflichten und Fristen bei erheblichen Vorfällen

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (§ 4), die auch die zentrale Anlaufstelle betreibt (§ 5). Gemeldet wird jedoch zunächst an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Meldepflichtig ist jeder erhebliche Cybersicherheitsvorfall. Erheblich ist ein Vorfall nach § 35 Abs. 1, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Die Fristen nach § 34 Abs. 2:

Dauert der Vorfall bei Fälligkeit des Abschlussberichts noch an, ist ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5). Für Vertrauensdiensteanbieter gilt eine Sonderregel: Bei Vorfällen mit Auswirkung auf die Erbringung ihrer Vertrauensdienste ist das CSIRT unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme zu unterrichten.

Beeinträchtigt der Vorfall die Erbringung Ihres Dienstes, müssen Sie außerdem die Empfänger Ihrer Dienste unverzüglich unterrichten und mögliche Abhilfemaßnahmen mitteilen (§ 34 Abs. 3). Das CSIRT antwortet auf die Frühwarnung spätestens 24 Stunden nach deren Eingang (§ 34 Abs. 4). Freiwillige Meldungen von Vorfällen, Cyberbedrohungen und Beinahe-Vorfällen sind nach § 37 möglich. Den genauen elektronischen Meldekanal des zuständigen sektorspezifischen CSIRT bestätigen Sie bitte bei der Cybersicherheitsbehörde (offizielle Quelle).

Geldstrafen nach § 45 NISG 2026

Sanktioniert werden nach § 45 Abs. 1 unter anderem: fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung von Risikomanagementmaßnahmen (§ 32), Verstöße gegen die Meldepflicht bei erheblichen Vorfällen (§ 34 Abs. 1 und 2) samt zusammenhängenden Berichtspflichten, die unterbliebene Unterrichtung der Diensteempfänger (§ 34 Abs. 3) sowie die nicht fristgerechte Befolgung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2).

Für die in § 45 Abs. 4 aufgezählten Verstöße – etwa nicht fristgerechte Registrierung (§ 29 Abs. 3), unterlassene Selbstdeklaration (§ 33 Abs. 1), Behinderung von Kontrollen oder Sicherheitsscans (§ 38 Abs. 1) oder Verstöße gegen die Datenbankpflichten (§ 30) – gilt ein Strafrahmen von bis zu 50 000 EUR, im Wiederholungsfall bis zu 100 000 EUR.

Die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen übt die Cybersicherheitsbehörde nach den §§ 38 und 39 aus (§ 4 Abs. 1 Z 13).