Ist Ihr NIS2-Dokument in Österreich rechtlich belastbar – und wie prüfen Sie das?

1. Nachvollziehbarkeit: Jede Pflicht braucht eine Fundstelle

Der erste Prüfschritt ist der einfachste und trennt bereits sehr viel: Lässt sich jede Aussage im Dokument auf eine konkrete Bestimmung des österreichischen Umsetzungsgesetzes zurückführen? Maßgeblich ist das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), kundgemacht als BGBl. I Nr. 94/2025.

Ein Dokument, das nur die europäische Richtlinie (EU) 2022/2555 nennt oder ganz ohne Fundstellen auskommt, ist nicht überprüfbar – weder von Ihnen noch von einem Dritten. Denn Pflichten treffen Ihr Unternehmen aufgrund des nationalen Gesetzes; die Richtlinie richtet sich an die Mitgliedstaaten.

So sieht eine überprüfbare Quellenangabe aus – wörtlich aus dem Gesetzestext, unmittelbar gefolgt von der Fundstelle:

„Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu reduzieren und die Auswirkungen von Cybersicherheitsvorfällen auf die Nutzer ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“ — § 32 Abs. 1 NISG 2026 (BGBl. I Nr. 94/2025)

Genau diese Kombination – Zitat plus exakte Paragrafenangabe – sollten Sie in Ihrem Dokument wiederfinden. Fehlt sie durchgängig, können Sie den Inhalt gegen nichts abgleichen.

Praxistest: Nehmen Sie drei beliebige Verpflichtungssätze aus Ihrem Dokument. Steht bei jedem eine Angabe wie „§ 32 Abs. 4 lit. d NISG 2026“? Wenn nicht, notieren Sie die Stelle.

2. Abdeckung: Sind alle Inhalte des § 32 Abs. 4 NISG 2026 enthalten?

§ 32 Abs. 4 NISG 2026 verlangt einen gefahrenübergreifenden Ansatz und nennt Inhalte, die die Risikomanagementmaßnahmen zumindest umfassen müssen. Prüfen Sie Ihr Dokument Punkt für Punkt gegen diese Liste:

• a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• b) Bewältigung von Cybersicherheitsvorfällen
• c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• d) Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
• f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
• g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
• i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
• j) Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Haken Sie ab, welcher dieser Punkte in Ihrem Dokument tatsächlich mit einer Regelung hinterlegt ist – nicht bloß in einer Überschrift vorkommt. Beachten Sie außerdem: Nach § 32 Abs. 5 NISG 2026 ist die Cybersicherheitsbehörde ermächtigt, durch Verordnung nähere Anforderungen an diese Maßnahmen festzulegen. Ob und welche Verordnung für Ihren Sektor gilt, entnehmen Sie den Veröffentlichungen der Cybersicherheitsbehörde (offizielle Quelle).

3. Wortlaut: Umschreibung ist nicht dasselbe wie Gesetzestext

Eine Pflicht im Dokument muss dem gesetzlichen Wortlaut entsprechen – eine freie Umschreibung verschiebt oft unbemerkt den Inhalt. Typisches Beispiel: § 32 Abs. 2 und Abs. 3 NISG 2026 knüpfen die Angemessenheit der Maßnahmen an den Stand der Technik, an Normen und Kosten sowie an Risikoexposition, Größe der Einrichtung und Wahrscheinlichkeit und Schwere von Vorfällen. Ein Dokument, das daraus „angemessene Maßnahmen nach Ermessen der IT“ macht, gibt das Gesetz nicht wieder.

So gleichen Sie einen Satz konkret ab:

1. Markieren Sie im Dokument den Verpflichtungssatz und die angegebene Fundstelle.
2. Öffnen Sie den amtlichen Gesetzestext (Bundesgesetzblatt BGBl. I Nr. 94/2025) und schlagen Sie genau diesen Paragrafen und Absatz auf.
3. Vergleichen Sie die Bindungsworte: „haben … umzusetzen“, „zumindest“, „unverzüglich“, „gegebenenfalls“. Diese Wörter bestimmen, wie streng eine Pflicht ist.
4. Prüfen Sie den Adressatenkreis: Gilt die Bestimmung für wesentliche Einrichtungen, für wichtige Einrichtungen oder für beide?
5. Halten Sie jede Abweichung schriftlich fest – das ist zugleich Ihr Nachbesserungsplan.

Bei Zweifelsfragen zur Auslegung sind die von der Cybersicherheitsbehörde veröffentlichten Informationen und der amtliche Gesetzestext die maßgeblichen Bezugspunkte.

4. Billigung durch die Leitungsorgane: ohne sie bleibt das Dokument unvollständig

Auf europäischer Ebene bestimmt Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Ein Maßnahmenpaket, das nur in der IT-Abteilung existiert und nie förmlich behandelt wurde, bildet diese Struktur nicht ab.

Im NISG 2026 zeigt sich die Verantwortung der Leitungsebene unter anderem darin, dass § 45 Abs. 1 Z 1 die Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß § 31 Abs. 2 vorzusehen, ausdrücklich mit Verwaltungsstrafe bewehrt; Z 2 betrifft Schulungen für Mitarbeiter nach § 31 Abs. 2 zweiter Satz.

Prüffragen an Ihr Dokument:

• Gibt es ein datiertes Billigungsprotokoll oder einen Beschluss der Geschäftsführung bzw. des Vorstands?
• Ist geregelt, in welchem Rhythmus die Leitungsebene über die Umsetzung informiert wird?
• Sind Schulungen für Leitungsorgane und für Mitarbeiter dokumentiert?

Den exakten Wortlaut des § 31 NISG 2026 entnehmen Sie bitte dem amtlichen Gesetzestext bzw. den Veröffentlichungen der Cybersicherheitsbehörde (offizielle Quelle).

5. Was Behörde und Kunden tatsächlich abfragen

Ihr Dokument wird nicht im luftleeren Raum gelesen. § 45 Abs. 4 NISG 2026 lässt erkennen, welche Aufsichtshandlungen nach § 38 Abs. 1 NISG 2026 in Betracht kommen und deren Be- oder Verhinderung strafbewehrt ist:

Besonders relevant ist Z 3: Verlangt werden können dokumentierte Sicherheitskonzepte. Ein Dokument ohne Fundstellen und ohne Billigung lässt sich in einer solchen Situation nur schwer erklären.

Daneben sieht § 33 NISG 2026 eine Selbstdeklaration sowie die Übermittlung eines Prüfberichts vor; wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen in einer Selbstdeklaration sind nach § 45 Abs. 4 Z 8 mit Geldstrafe bis zu 50 000 EUR, im Wiederholungsfall bis zu 100 000 EUR bedroht. Wer Risikomanagementmaßnahmen gemäß § 32 nicht umsetzt, kann als wesentliche Einrichtung mit bis zu 10 000 000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes (§ 45 Abs. 2), als wichtige Einrichtung mit bis zu 7 000 000 EUR oder bis zu 1,4 % (§ 45 Abs. 3) bestraft werden – je nachdem, welcher Betrag höher ist.

Die Kundenseite: § 32 Abs. 4 lit. d NISG 2026 verpflichtet betroffene Einrichtungen, die Sicherheit der Lieferkette einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern zu behandeln. Deshalb fragen Auftraggeber ihre Zulieferer nach Nachweisen – auch dann, wenn der Zulieferer selbst nicht in den Anwendungsbereich fällt. Auch hier gilt: Ein Dokument mit klaren Fundstellen lässt sich einem Kunden zeigen, eine allgemeine Beschreibung nicht.

Wenn Sie noch nicht sicher sind, ob und wie Ihr Unternehmen erfasst ist, beginnen Sie mit einer strukturierten Prüfung entlang der Sektoren nach den Anlagen 1 und 2 sowie der Einstufung nach § 24 NISG 2026. Die Verpflichtungen treten nach § 51 NISG 2026 nach Ablauf von neun Monaten nach der Kundmachung des Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft; die Kundmachung erfolgte am 23. Dezember 2025.