NIS2 für Energieunternehmen in Österreich: Was das NISG 2026 verlangt

Kurze Antwort: Ja, der Sektor Energie ist erfasst

Ja. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) nennt in § 2 die Energie ausdrücklich als Sektor 1 der 18 NIS2-Sektoren, und Anlage 1 („Sektoren mit hoher Kritikalität“) listet die Teilsektoren Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas sowie Wasserstoff samt der jeweils erfassten Arten von Einrichtungen auf. Ob Ihr Unternehmen als wesentliche Einrichtung oder als wichtige Einrichtung gilt, entscheidet sich nach § 24 in Verbindung mit der Unternehmensgröße nach § 25.

Erster Schritt: Gleichen Sie Ihre Tätigkeit mit den in Anlage 1 genannten Arten von Einrichtungen ab und ermitteln Sie anschließend Ihre Unternehmensgröße – daraus ergibt sich Ihre Einstufung und damit der volle Pflichtenkatalog. Zeitlicher Rahmen: Nach § 51 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft; die Kundmachung erfolgte am 23.12.2025, woraus sich der 1. Oktober 2026 errechnet. Bis dahin gilt das NISG (BGBl. I Nr. 111/2018) weiter.

So benennt das NISG 2026 den Energiesektor (Anlage 1)

Anlage 1 NISG 2026 beschreibt den Teilsektor Elektrizität wörtlich so:

> „Energie a) Elektrizität Elektrizitätsunternehmen im Sinne des § 7 Abs. 1 Z 11 Bundesgesetz, mit dem die Organisation auf dem Gebiet der Elektrizitätswirtschaft neu geregelt wird (Elektrizitätswirtschafts- und -organisationsgesetz 2010 - ElWOG 2010, im Folgenden: ElWOG) StF: BGBl. I Nr. 110/2010, sofern diese Versorger gemäß § 7 Abs. 1 Z 74 ElWOG sind“

Daneben nennt Anlage 1 im Teilsektor Elektrizität ausdrücklich:

• Verteilernetzbetreiber im Sinne des § 7 Abs. 1 Z 76 ElWOG
• Übertragungsnetzbetreiber im Sinne des § 7 Abs, 1 Z 70 ElWOG
• Erzeuger im Sinne des § 7 Abs 1 Z 17 ElWOG, sofern es sich bei diesen Tätigkeiten um die gewerbliche oder berufliche Haupttätigkeit handelt
• Nominierte Strommarktbetreiber im Sinne des Art. 2 Z 8 der Verordnung (EU) 2019/943
• Marktteilnehmer im Sinne des Art. 2 Z 25 Verordnung 2019/943, die Aggregierungs-, Laststeuerungs- oder Energiespeicherungsdienste anbieten
• Betreiber von Ladepunkten im Sinne des Art. 2 Z 39 der Verordnung (EU) 2023/1804

Die übrigen Teilsektoren der Energie:

Wesentliche oder wichtige Einrichtung? Einstufung und Größe

Die Einstufung regelt § 24 NISG 2026:

• Wesentliche Einrichtung: Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben (§ 24 Abs. 1 Z 3). Unabhängig von der Größe gelten außerdem unter anderem Einrichtungen als wesentlich, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden, oder die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs. 1 und 2).
• Wichtige Einrichtung: Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben (§ 24 Abs. 2 Z 1), sowie Einrichtungen, die von der Cybersicherheitsbehörde als wichtige Einrichtung eingestuft wurden (§ 24 Abs. 2 Z 3 lit. c), soweit sie nicht bereits wesentliche Einrichtung nach Abs. 1 sind.

Praktisch heißt das für den Energiesektor: Ein großes Unternehmen in einem Teilsektor der Anlage 1 ist wesentliche Einrichtung, ein mittleres Unternehmen ist wichtige Einrichtung. Die Ermittlung der Unternehmensgröße selbst richtet sich nach § 25 NISG 2026 (großes Unternehmen nach § 25 Abs. 2, mittleres Unternehmen nach § 25 Abs. 3). Die konkreten Zahlenwerte dieser Schwellen sind hier nicht wiedergegeben – bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Sonderfall Finanzbezug: Für Einrichtungen im Anwendungsbereich der Verordnung (EU) 2022/2554 gehen deren Bestimmungen vor (§ 24 Abs. 7).

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 stellt für den Pflichtenkatalog keine eigenen, nur für Energieunternehmen geltenden Maßnahmen auf – es adressiert durchgehend „wesentliche und wichtige Einrichtungen“ gleichermaßen. § 32 Abs. 5 ermächtigt die Cybersicherheitsbehörde allerdings, durch Verordnung nähere Anforderungen festzulegen, wobei sektorspezifische Besonderheiten berücksichtigt werden können.

Nach § 32 Abs. 1 haben wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und nach § 32 Abs. 4 zumindest umfassen:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Bei der Verhältnismäßigkeit sind Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen zu berücksichtigen (§ 32 Abs. 3).

Leitungsebene und Formalpflichten. § 45 Abs. 1 Z 1 und 2 sanktioniert, wer Cybersicherheitsschulungen für Leitungsorgane bzw. für Mitarbeiter gemäß § 31 Abs. 2 nicht vorsieht – die Verantwortung liegt also ausdrücklich auch oben. Weitere sanktionsbewehrte Formalpflichten sind die fristgerechte Registrierung bei der Cybersicherheitsbehörde (§ 29 Abs. 3), die Bekanntgabe von Änderungen (§ 29 Abs. 4) und die Selbstdeklaration zur Umsetzung der Risikomanagementmaßnahmen (§ 33 Abs. 1).

Meldepflichten und Fristen

Nach § 34 Abs. 1 ist jeder erhebliche Cybersicherheitsvorfall (§ 35) unverzüglich dem zuständigen sektorspezifischen CSIRT zu melden, in Ermangelung eines solchen dem nationalen CSIRT; das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter. § 34 Abs. 2 legt die Stufen fest:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme – mit dem Hinweis, ob der Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitender Auswirkungen besteht.
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme – mit erster Bewertung, Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
• Zwischenbericht: auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde.
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit ausführlicher Beschreibung, Bedrohungsart und Ursachen, Abhilfemaßnahmen und allfälligen grenzüberschreitenden Auswirkungen. Dauert der Vorfall noch an, ist zunächst ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Beeinträchtigt der Vorfall die Erbringung Ihrer Dienste, sind zusätzlich die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung mit einer ersten Rückmeldung (§ 34 Abs. 4).

Wann ist ein Vorfall erheblich? Wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt (§ 35 Abs. 1). Zu den Beurteilungskriterien zählen unter anderem die Abhängigkeit anderer Sektoren von Ihrem Dienst, Auswirkungen auf Umwelt, öffentliche Ordnung und Sicherheit sowie das betroffene geografische Gebiet (§ 35 Abs. 2). Unabhängig davon können Einrichtungen der Anlagen 1 und 2 Vorfälle, Bedrohungen und Beinahe-Vorfälle freiwillig melden (§ 37).

Geldstrafen und Aufsicht

Die Verwaltungsstrafbestimmungen finden sich in § 45 NISG 2026. Erfasst sind unter anderem fehlende Schulungen nach § 31 Abs. 2, die Nichtumsetzung von Risikomanagementmaßnahmen nach § 32, die Verletzung der Meldepflichten nach § 34 Abs. 1 und 2 sowie die unterlassene Unterrichtung der Diensteempfänger nach § 34 Abs. 3.

Für den Katalog des § 45 Abs. 4 – etwa nicht fristgerechte Registrierung (§ 29 Abs. 3), unterlassene Selbstdeklaration (§ 33 Abs. 1) oder die Behinderung von Kontrollen und Sicherheitsscans (§ 38 Abs. 1) – gilt ein Rahmen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR.

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (§ 4), die auch die zentrale Anlaufstelle (§ 5) betreibt, das Nationale Koordinierungszentrum für Cybersicherheit (§ 6) wahrnimmt und Aufsichts- sowie Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen ausübt (§§ 38 und 39).