NIS2 in Österreich: Was Gesundheitsunternehmen und Arzneimittelhersteller nach dem NISG 2026 wissen müssen

Kurze Antwort: Ist der Gesundheitssektor erfasst?

Ja — das Gesundheitswesen ist einer der 18 Sektoren des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026). § 2 NISG 2026 (BGBl. I Nr. 94/2025) nennt ausdrücklich den Sektor „5. Gesundheitswesen"; welche Arten von Einrichtungen konkret erfasst sind, ergibt sich aus Anlage 1 des Gesetzes. Ob Ihr Unternehmen tatsächlich verpflichtet ist, entscheidet zusätzlich die Einstufung als wesentliche Einrichtung oder wichtige Einrichtung nach § 24 NISG 2026, die an die Unternehmensgröße anknüpft.

Erster Schritt für ein Unternehmen: Gleichen Sie Ihre tatsächliche Tätigkeit mit den Formulierungen der Anlage 1 (Gesundheitswesen) beziehungsweise der Anlage 2 (unter anderem Herstellung von Medizinprodukten und In-vitro-Diagnostika) ab und klären Sie danach Ihre Unternehmensgröße nach § 24 in Verbindung mit § 25. Die Verpflichtungen treten nach § 51 NISG 2026 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft — die Kundmachung erfolgte am 23. Dezember 2025, rechnerisch also mit 1. Oktober 2026. Bis dahin gilt das NISG (BGBl. I Nr. 111/2018) weiter.

Wie das NISG 2026 den Sektor Gesundheitswesen benennt

Die maßgebliche Sektorbeschreibung steht in Anlage 1 NISG 2026, Sektor 5 „Gesundheitswesen". Sie beginnt im Wortlaut mit:

> „Gesundheitswesen — Gesundheitsdienstleister im Sinne des Art. 3 lit. g der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung, ABl. L 88 vom 4.4.2011 S. 45; EU-Referenzlaboratorien im Sinne des Art. 15 der Verordnung (EU) 2022/2371 …"

Anlage 1 Nr. 5 führt darüber hinaus folgende Arten von Einrichtungen an:

• Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel im Sinne des § 1 Abs. 1 Arzneimittelgesetz (AMG), BGBl. Nr. 185/1983, ausüben;
• Einrichtungen, die pharmazeutische Erzeugnisse im Sinne der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen;
• Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Art. 22 der Verordnung (EU) 2022/123 eingestuft werden.

Hersteller von Medizinprodukten im Sinne des Art. 2 Z 1 der Verordnung (EU) 2017/745 und von In-vitro-Diagnostika im Sinne des Art. 2 Z 2 der Verordnung (EU) 2017/746 sind in Anlage 2 Nr. 5 lit. a erfasst — mit Ausnahme jener, die bereits unter Anlage 1 Nr. 5 fallen.

Wesentliche oder wichtige Einrichtung: Einstufung und Größe

Die Einstufung regelt § 24 NISG 2026:

Praktisch bedeutet das: Ein Krankenhaus, ein Labor oder ein Arzneimittelhersteller, der ein großes Unternehmen betreibt, ist in der Regel eine wesentliche Einrichtung; bei mittlerer Unternehmensgröße greift die Einstufung als wichtige Einrichtung. Hersteller von Medizinprodukten und In-vitro-Diagnostika nach Anlage 2 werden als wichtige Einrichtung erfasst, sofern sie nicht bereits über Anlage 1 als wesentliche Einrichtung gelten.

Die konkreten Schwellenwerte für „großes" und „mittleres" Unternehmen ergeben sich aus § 25 NISG 2026 (Ermittlung der Unternehmensgröße). Zu den genauen Zahlenwerten dieser Bestimmung bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 sieht für den Gesundheitssektor keine gesonderten inhaltlichen Sicherheitsanforderungen vor — § 32 gilt für wesentliche und wichtige Einrichtungen gleichermaßen. Nach § 32 Abs. 1 sind geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen; Maßstab sind der Stand der Technik, einschlägige Normen und die Kosten der Umsetzung (§ 32 Abs. 2). Die Verhältnismäßigkeit bemisst sich unter anderem nach Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen (§ 32 Abs. 3).

Der Mindestinhalt nach § 32 Abs. 4 (inhaltsgleich mit art 21(2) der Richtlinie (EU) 2022/2555):

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Kryptografie und gegebenenfalls Verschlüsselung
• Personalsicherheit, Zugriffskontrolle, Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation

Leitungsorgane: § 45 Abs. 1 Z 1 und 2 NISG 2026 sanktioniert, wer keine Cybersicherheitsschulungen für Leitungsorgane und für Mitarbeiter gemäß § 31 Abs. 2 vorsieht. Nach art 20(1) der Richtlinie (EU) 2022/2555 billigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden.

Registrierung und Selbstdeklaration: Einrichtungen haben sich fristgerecht bei der Cybersicherheitsbehörde zu registrieren (§ 29 Abs. 3) und Änderungen bekanntzugeben (§ 29 Abs. 4); dazu kommt die Selbstdeklaration nach § 33 Abs. 1. Zu Fristen und dem konkreten Ablauf der Registrierung bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Ergänzend ändert das NISG 2026 (Artikel 3) das Gesundheitstelematikgesetz 2012 (GTelG 2012), dessen § 8a künftig „Cybersicherheit und -resilienz im Gesundheitswesen" lautet; § 34 Abs. 9 NISG 2026 verweist auf § 8a Abs. 3 GTelG 2012.

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Nach § 34 Abs. 1 NISG 2026 ist jeder erhebliche Cybersicherheitsvorfall (§ 35) unverzüglich dem zuständigen sektorspezifischen CSIRT zu melden, in Ermangelung eines solchen dem nationalen CSIRT. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter.

Die Stufen nach § 34 Abs. 2:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme — mit Angabe, ob der Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitender Auswirkungen besteht.
• Meldung über den Cybersicherheitsvorfall: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme — mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Zwischenbericht: auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde.
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit Beschreibung des Vorfalls, Ursachen, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. Dauert der Vorfall noch an, ist ein Fortschrittsbericht zu übermitteln und der Abschlussbericht spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Beeinträchtigt der Vorfall die Erbringung Ihrer Dienste — etwa die Patientenversorgung oder Lieferungen —, sind die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Erheblich ist ein Vorfall nach § 35 Abs. 1, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt; § 35 Abs. 2 nennt als Kriterium ausdrücklich auch die Auswirkungen auf die öffentliche Gesundheit. Zuständige nationale Behörde ist die Cybersicherheitsbehörde (§ 4), die auch die zentrale Anlaufstelle (§ 5) betreibt. § 37 erlaubt zusätzlich freiwillige Meldungen.

Geldstrafen nach dem NISG 2026

§ 45 NISG 2026 unterscheidet nach der Einstufung:

Sanktioniert sind nach § 45 Abs. 1 unter anderem fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung von Risikomanagementmaßnahmen (§ 32), die Verletzung der Melde- und Berichtspflichten (§ 34 Abs. 1 und 2), die unterlassene Unterrichtung der Empfänger der Dienste (§ 34 Abs. 3) sowie die Nichtbefolgung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2).

Eine eigene Kategorie bildet § 45 Abs. 4: Verstöße etwa gegen die fristgerechte Registrierung (§ 29 Abs. 3), die Bekanntgabe von Änderungen (§ 29 Abs. 4), die Selbstdeklaration (§ 33 Abs. 1) oder die Mitwirkung bei Kontrollen und Prüfungen (§ 38) sind mit Geldstrafe bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR bedroht.