NIS2 für Banken und Kreditinstitute in Österreich: Was das NISG 2026 verlangt

Kurze Antwort: Ist das Bankwesen vom NISG 2026 erfasst?

Ja – das Bankwesen ist einer der Sektoren des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026). § 2 NISG 2026 (BGBl. I Nr. 94/2025) nennt ausdrücklich den Sektor „3. Bankwesen"; die zugehörige Art der Einrichtung ergibt sich aus Anlage 1. Ob Ihr Haus tatsächlich Pflichten trifft, hängt zusätzlich von zwei Punkten ab: von der Unternehmensgröße (§ 24 iVm § 25) und davon, ob Sie in den Anwendungsbereich der Verordnung (EU) 2022/2554 fallen – denn deren Bestimmungen und die nationalen Durchführungsbestimmungen gehen gemäß § 24 Abs. 7 NISG 2026 vor.

Erster Schritt für ein Kreditinstitut: klären Sie schriftlich, (1) ob Sie unter Anlage 1 Nr. 3 fallen, (2) welche Unternehmensgröße nach § 25 vorliegt und (3) ob die Verordnung (EU) 2022/2554 auf Sie anwendbar ist. Erst danach lohnt sich die Arbeit an Maßnahmen und Meldeprozessen.

So benennt das NISG 2026 den Sektor Bankwesen

Die Sektorzuordnung steht in Anlage 1 („Sektoren mit hoher Kritikalität") des NISG 2026. Der Wortlaut zum Sektor Bankwesen lautet:

> „Bankwesen — Kreditinstitute im Sinne des Art. 4 Z 1 der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 646/2012, ABl. L 176 vom 27.6.2013 S. 1"

Maßgeblich ist damit nicht die Selbstbezeichnung als „Bank", sondern die Eigenschaft als Kreditinstitut im Sinne der genannten EU-Verordnung. Ein eigener Teilsektor ist für das Bankwesen in Anlage 1 nicht vorgesehen. Finanzmarktinfrastrukturen (Betreiber von Handelsplätzen, zentrale Gegenparteien) bilden in Anlage 1 einen eigenen Sektor Nr. 4 – wer beides betreibt, prüft beide Einträge.

Zeitliche Geltung: Nach § 51 NISG 2026 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft; die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025). Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Wesentliche oder wichtige Einrichtung – wer ist erfasst?

Die Einstufung regelt § 24 NISG 2026. Für Einrichtungen der in Anlage 1 genannten Art – also auch für Kreditinstitute – gilt:

Zusätzlich kann die Cybersicherheitsbehörde eine Einrichtung unabhängig von der Größe als wesentliche Einrichtung (§ 24 Abs. 1 Z 1 lit. e iVm § 26 Abs. 1 und 2) oder als wichtige Einrichtung (§ 24 Abs. 2 Z 3 lit. c iVm § 26 Abs. 1) einstufen. Auch Einrichtungen, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden, gelten größenunabhängig als wesentliche Einrichtungen (§ 24 Abs. 1 Z 1 lit. f).

Zwei Sonderregeln, die für Banken zentral sind:

• Gegenüber Einrichtungen, die in den Anwendungsbereich der Verordnung (EU) 2022/2554 fallen, gehen deren Bestimmungen und die nationalen Durchführungsbestimmungen vor (§ 24 Abs. 7). Dasselbe gilt für Einrichtungen, die gemäß Art. 2 Abs. 4 dieser Verordnung national ausgenommen wurden. Auch § 4 Abs. 2 stellt klar, dass Angelegenheiten dieser Verordnung vom NISG 2026 unberührt bleiben.
• IKT-Drittdienstleister gemäß Art. 3 Z 23 der Verordnung (EU) 2022/2554 unterliegen auch den Bestimmungen des NISG 2026 (§ 24 Abs. 8).

Die konkreten Schwellenwerte für „mittleres" und „großes" Unternehmen ergeben sich aus § 25 NISG 2026; dieser Paragraf ist hier nicht im Detail wiedergegeben. Bitte bestätigen Sie die Größenkriterien anhand der veröffentlichten Informationen der Cybersicherheitsbehörde (offizielle Quelle) bzw. des amtlichen Gesetzestextes.

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 stellt für den Sektor Bankwesen keine gesonderten, bankspezifischen Maßnahmen auf: § 32 gilt gleichermaßen für alle wesentlichen und wichtigen Einrichtungen. Sie haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen (§ 32 Abs. 1), gemessen am Stand der Technik, an einschlägigen Normen und an den Kosten der Umsetzung (§ 32 Abs. 2). Bei der Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen (§ 32 Abs. 3).

Der Mindestinhalt nach § 32 Abs. 4 (deckungsgleich mit art 21(2) der Richtlinie (EU) 2022/2555):

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
• Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement und -offenlegung
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Kryptografie und gegebenenfalls Verschlüsselung
• Personalsicherheit, Zugriffskontrolle, Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Die Cybersicherheitsbehörde kann nähere Anforderungen per Verordnung festlegen und dabei sektorspezifische Besonderheiten berücksichtigen (§ 32 Abs. 5).

Leitungsorgane: § 45 Abs. 1 Z 1 und 2 sanktioniert, wenn Cybersicherheitsschulungen für Leitungsorgane bzw. für Mitarbeiter gemäß § 31 Abs. 2 nicht vorgesehen werden. Nach art 20(1) der Richtlinie (EU) 2022/2555 genehmigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden.

Registrierung und Nachweise: Das Gesetz kennt eine fristgebundene Registrierung bei der Cybersicherheitsbehörde (§ 29 Abs. 3), die Meldung von Änderungen (§ 29 Abs. 4) sowie die Selbstdeklaration und Prüfberichte (§ 33). Die genauen Fristen und der elektronische Kanal gehen aus den hier ausgewerteten Bestimmungen nicht eindeutig hervor – bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Meldepflichten und Fristen

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (§ 4). Gemeldet wird jedoch an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Meldepflichtig ist jeder erhebliche Cybersicherheitsvorfall. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1).

Die Stufen nach § 34 Abs. 2:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme; anzugeben ist gegebenenfalls der Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitender Auswirkungen.
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme; mit erster Bewertung, Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
• Zwischenbericht: auf Ersuchen eines CSIRTs oder gegebenenfalls der Cybersicherheitsbehörde.
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit Beschreibung, Ursachen, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen.
• Fortschrittsbericht: wenn der Vorfall zum Fälligkeitszeitpunkt noch andauert; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung (§ 34 Abs. 4). Beeinträchtigt der Vorfall die Erbringung Ihrer Dienste, sind die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Freiwillige Meldungen von Vorfällen, Bedrohungen und Beinahe-Vorfällen sind nach § 37 möglich.

Geldstrafen nach § 45 NISG 2026

Die Verwaltungsstrafbestimmungen unterscheiden nach der Einstufung:

Erfasst sind unter anderem fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung der Risikomanagementmaßnahmen (§ 32), Verstöße gegen die Meldepflicht und die damit zusammenhängenden Berichtspflichten (§ 34 Abs. 1 und 2), die unterlassene Unterrichtung der Empfänger der Dienste (§ 34 Abs. 3) sowie die nicht fristgerechte Befolgung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2).

Für formelle Pflichtverstöße – etwa eine nicht fristgerechte Registrierung (§ 29 Abs. 3), unterlassene Änderungsmeldungen (§ 29 Abs. 4), eine versäumte Selbstdeklaration (§ 33 Abs. 1) oder die Behinderung von Kontrollen und Sicherheitsscans (§ 38 Abs. 1) – sieht § 45 Abs. 4 Geldstrafen bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen übt die Cybersicherheitsbehörde gemäß den §§ 38 und 39 aus (§ 4 Abs. 1 Z 13).