NIS2-Dokumentation in Österreich: Das Ganze sehen, bevor Sie den ersten Schritt machen

Die Dokumentation ist ein Satz – kein einzelnes Blatt

Wer in Österreich unter das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) fällt, sucht meist nach „dem einen Dokument“. Das Gesetz ist anders aufgebaut: § 32 Abs. 4 NISG 2026 beschreibt die Risikomanagementmaßnahmen als zusammenhängenden Katalog von Inhalten (lit. a bis j), der auf einem gefahrenübergreifenden Ansatz beruhen muss. Wer nur ein Einzelstück erstellt, arbeitet an einem Teil eines Ganzen.

Deshalb steht am Anfang nicht die Frage „Welches Dokument zuerst?“, sondern der Überblick über das gesamte Set. Fünf Kernbereiche bilden das Gerüst:

Die Pflichten gelten für wesentliche Einrichtungen und wichtige Einrichtungen im Sinne des § 24 NISG 2026 – die Einstufung entscheidet nicht darüber, *ob* dokumentiert wird, sondern über den Aufsichts- und Strafrahmen.

Die fünf Kernbereiche im Einzelnen

1. Leitlinie für das Risikomanagement (§ 32 Abs. 4 lit. a). Verlangt sind „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“. § 32 Abs. 1 fordert geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht; nach § 32 Abs. 2 und 3 sind Stand der Technik, Kosten der Umsetzung, Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen zu berücksichtigen. Dieses Dokument hält fest, welche Systeme und Dienste betroffen sind, wie Risiken bewertet werden und wer entscheidet.

2. Bewältigung von Cybersicherheitsvorfällen (§ 32 Abs. 4 lit. b). Hier wird beschrieben, wie ein Vorfall erkannt, eingestuft, behandelt und dokumentiert wird. Die Einstufung als „erheblicher Cybersicherheitsvorfall“ richtet sich nach § 35 NISG 2026. Daran hängen die Berichtspflichten des § 34 Abs. 2: eine Frühwarnung unverzüglich, jedenfalls aber innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung unverzüglich, jedenfalls aber innerhalb von 72 Stunden nach Kenntnisnahme, sowie ein Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung.

3. Aufrechterhaltung des Betriebs (§ 32 Abs. 4 lit. c). Das Gesetz nennt ausdrücklich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Dokumentiert wird also, welche Prozesse als kritisch gelten, wie Sicherungen geführt und wiederhergestellt werden und wer im Krisenfall welche Rolle übernimmt. Nach § 34 Abs. 3 sind zudem die Empfänger der Dienste unverzüglich zu unterrichten, wenn ein erheblicher Vorfall die Leistungserbringung beeinträchtigt – auch das ist ein zu regelnder Ablauf.

4. Sicherheit der Lieferkette (§ 32 Abs. 4 lit. d). Erfasst sind die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern, deren spezifische Schwachstellen, die Gesamtqualität der Produkte sowie die Cybersicherheitspraxis der Anbieter einschließlich der Sicherheit ihrer Entwicklungsprozesse. Zu berücksichtigen sind auch die Ergebnisse der koordinierten Risikobewertungen gemäß Art. 22 Abs. 1 der NIS-2-Richtlinie.

5. Verantwortung der Leitungsorgane und Schulungen (§ 31 Abs. 2, § 32 Abs. 4 lit. g). § 32 Abs. 4 lit. g nennt grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit. § 31 Abs. 2 NISG 2026 sieht Cybersicherheitsschulungen für Leitungsorgane und – nach dem zweiten Satz – für Mitarbeiter vor; die Verletzung dieser Verpflichtungen ist in § 45 Abs. 1 Z 1 und Z 2 gesondert erfasst. Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 legt fest, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Nachweisbar wird das über Beschlüsse, Freigaben und Schulungsaufzeichnungen.

Der natürliche erste Schritt: die Risikomanagement-Leitlinie

Erst wenn das Ganze sichtbar ist, ergibt die Reihenfolge Sinn. Der erste der fünf Bereiche ist auch der erste Arbeitsschritt: die Leitlinie für das Risikomanagement nach § 32 Abs. 4 lit. a.

Der Grund ist inhaltlich, nicht formal. Die Leitlinie bestimmt den Anwendungsbereich – welche Netz- und Informationssysteme für den Betrieb und die Erbringung der Dienste genutzt werden – und legt die Risikobewertung fest. Alle weiteren Bereiche bauen darauf auf:

• Die Vorfallsbehandlung braucht die Kritikalitätsbewertung, um einen Vorfall im Sinne des § 35 einordnen zu können.
• Die Aufrechterhaltung des Betriebs braucht die Liste der kritischen Prozesse und Systeme.
• Die Lieferkettensicherheit braucht die Einstufung der Anbieter nach ihrem Risikobeitrag.
• Die Leitungsorgane brauchen eine dokumentierte Grundlage, um Maßnahmen zu billigen und ihre Umsetzung zu überwachen.

Zudem verlangt § 32 Abs. 4 lit. f Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Wirksamkeit lässt sich nur gegen etwas messen, das vorher schriftlich festgelegt wurde.

Behörde und Kunden fragen nach dem gesamten Satz

Die Cybersicherheitsbehörde übt nach § 4 Abs. 1 Z 13 NISG 2026 die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen Einrichtungen und wichtigen Einrichtungen aus. Zu den Aufsichtsbefugnissen zählen nach § 38 Abs. 1 unter anderem Kontrollen (Z 1), Sicherheitsscans (Z 2), die Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte (Z 3), die Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung (Z 4) sowie Ad-hoc-Prüfungen (Z 5). Die Nichterfüllung dieser Mitwirkungspflichten ist in § 45 Abs. 4 Z 12 bis 16 als Verwaltungsübertretung erfasst.

Hinzu kommen die Nachweispflichten des § 33 NISG 2026: die Selbstdeklaration nach § 33 Abs. 1, die Übermittlung eines Prüfberichts nach § 33 Abs. 3 sowie die Bekanntgabe geplanter Prüfungen nach § 33 Abs. 5. Angefragt wird also nicht ein einzelnes Papier, sondern der zusammenhängende Nachweis über die Umsetzung der Maßnahmen nach § 32.

Denselben Effekt erzeugt der Markt. Weil erfasste Auftraggeber die Sicherheit ihrer Lieferkette nach § 32 Abs. 4 lit. d steuern müssen – einschließlich der Cybersicherheitspraxis ihrer unmittelbaren Anbieter –, richten sie Nachweisanfragen an ihre Zulieferer. Ein Unternehmen kann daher Nachweise vorlegen müssen, obwohl es selbst nicht in den Anwendungsbereich fällt: Der Ring der Lieferkette reicht weiter als die Liste der Sektoren nach den Anlagen 1 und 2.

Zeitrahmen und praktische Einordnung

Nach § 51 NISG 2026 treten die Bestimmungen des Gesetzes „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft; die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025). Bis dahin bleibt das NISG 2018 (BGBl. I Nr. 111/2018) in Geltung. Die Cybersicherheitsbehörde ist nach § 32 Abs. 5 zudem ermächtigt, nähere Anforderungen an die Risikomanagementmaßnahmen mit Verordnung festzulegen.

Ein sinnvoller Ablauf für die ersten Wochen:

1. Einordnung klären. Prüfen, ob das Unternehmen zu einem der 18 Sektoren nach § 2 und den Anlagen 1 und 2 gehört und ob die Voraussetzungen des § 24 für eine wesentliche Einrichtung oder eine wichtige Einrichtung vorliegen. Eine strukturierte Selbsteinschätzung hilft, diese Frage sauber zu beantworten. 2. Das Ganze skizzieren. Die fünf Bereiche als Inhaltsverzeichnis anlegen, damit sichtbar wird, was noch fehlt. 3. Mit der Leitlinie beginnen. Systeme, Dienste, Risiken und Zuständigkeiten festhalten. 4. Freigabe verankern. Billigung und Überwachung durch die Leitungsorgane dokumentieren.

Dieser Beitrag beschreibt ausschließlich, was das Gesetz verlangt und was die Dokumente inhaltlich abdecken – er ist keine Zusicherung, dass damit alle Anforderungen erfüllt sind. Für Details, die der Gesetzestext offenlässt – etwa den genauen elektronischen Melde- und Registrierungskanal des zuständigen sektorspezifischen CSIRT –, gilt: Bitte bestätigen bei der Cybersicherheitsbehörde und deren veröffentlichten Informationen (offizielle Quelle).