NIS2 für die öffentliche Verwaltung in Österreich: Was das NISG 2026 verlangt

Kurze Antwort: Ja, die öffentliche Verwaltung fällt unter das NISG 2026

Ja. Der Sektor „Öffentliche Verwaltung“ ist in § 2 des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026, BGBl. I Nr. 94/2025) ausdrücklich als einer der 18 erfassten Sektoren genannt und in Anlage 1 als Sektor mit hoher Kritikalität ausgeführt. Erfasst sind Einrichtungen der öffentlichen Verwaltung auf Bundesebene und auf Landesebene, wobei Gemeinden sowie Gemeindeverbände nach § 24 Abs. 3 NISG 2026 ausgenommen sind.

Was zuerst zu tun ist: Prüfen Sie anhand von § 24 Abs. 3 bis 6 NISG 2026, ob Ihre Einrichtung alle drei Merkmale des dortigen Verwaltungsbegriffs erfüllt und nicht unter eine der Ausnahmen fällt. Von diesem Ergebnis hängt ab, ob Sie als wesentliche Einrichtung oder als wichtige Einrichtung gelten – und damit der gesamte Pflichten- und Strafrahmen.

Zum Zeitpunkt: Nach § 51 NISG 2026 treten die maßgeblichen Bestimmungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft; die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025). Bis dahin gilt das Netz- und Informationssystemsicherheitsgesetz (NISG), BGBl. I Nr. 111/2018.

So benennt das NISG 2026 den Sektor – Wortlaut aus Anlage 1

Anlage 1 NISG 2026 („Sektoren mit hoher Kritikalität“) führt den Sektor unter Nummer 10 „Öffentliche Verwaltung“ und beschreibt die erfassten Arten von Einrichtungen wörtlich so:

• „Einrichtungen im Sektor der öffentlichen Verwaltung auf Bundesebene“
• „Einrichtungen im Sektor der öffentlichen Verwaltung auf Landesebene“

Was darunter zu verstehen ist, definiert § 24 Abs. 3 NISG 2026. Danach sind Einrichtungen im Sektor der öffentlichen Verwaltung solche, die

1. zum Zweck eingerichtet wurden, im öffentlichen Interesse liegende Aufgaben nicht gewerblicher Art zu erfüllen, 2. der Aufsicht des Bundes oder eines Landes unterstehen, an Weisungen eines obersten Organs gebunden sind, ein mehrheitlich von Bundes- oder Landesbehörden besetztes Leitungs- oder Aufsichtsorgan haben, an denen Bund oder Land mit mindestens 50 vH des Stamm-, Grund- oder Eigenkapitals beteiligt ist oder die Mitglieder der Bundesregierung sind, und 3. ermächtigt sind, im Rahmen ihrer gesetzlich übertragenen Aufgaben Bescheide zu erlassen, die Rechte Einzelner im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren – mit Ausnahme der Gemeinden sowie Gemeindeverbände.

Auf Bundesebene sind das nach § 24 Abs. 4 zusätzlich jene Einrichtungen, die zur Besorgung von Angelegenheiten der Bundesverwaltung berufen und entweder als Bundesbehörden eingerichtet sind oder Rechtspersönlichkeit besitzen. Auf Landesebene nennt § 24 Abs. 5 ausdrücklich die Ämter der Landesregierungen und die Bezirkshauptmannschaften sowie Einrichtungen nach Abs. 3, die zur Besorgung von Angelegenheiten der Landesverwaltung berufen sind und Rechtspersönlichkeit besitzen.

Wesentliche oder wichtige Einrichtung – und welche Rolle die Größe spielt

Die Einstufung regelt § 24 NISG 2026:

Die in § 25 NISG 2026 geregelte Ermittlung der Unternehmensgröße (großes Unternehmen nach § 25 Abs. 2, mittleres Unternehmen nach § 25 Abs. 3) ist für diese beiden Fallgruppen also nicht das entscheidende Kriterium – maßgeblich ist die Zuordnung zu Bundes- oder Landesebene. Die konkreten Schwellenwerte des § 25 sind im hier ausgewerteten Gesetzestext nicht enthalten; bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Wer nicht erfasst ist (§ 24 Abs. 6): Einrichtungen, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen, sowie Einrichtungen des Universitäts-, Hochschul- und Schulwesens, Einrichtungen der Gerichtsbarkeit einschließlich der kollegialen und monokratischen Justizverwaltung, Einrichtungen der Gesetzgebung einschließlich der Parlamentsdirektion und die Österreichische Nationalbank gelten nicht als wesentliche oder wichtige Einrichtungen. Für Vertrauensdiensteanbieter kommt diese Ausnahme nicht zur Anwendung.

Ergänzend kann die Cybersicherheitsbehörde Einrichtungen als wesentliche oder wichtige Einrichtung einstufen (§ 24 Abs. 1 Z 1 lit. e, Abs. 2 Z 3 lit. c iVm § 26). Fällt eine Einrichtung in den Anwendungsbereich der Verordnung (EU) 2022/2554, gehen deren Bestimmungen vor (§ 24 Abs. 7).

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 stellt für den Sektor öffentliche Verwaltung keine eigenen, sektorspezifischen Sicherheitspflichten auf: Es gelten dieselben Pflichten wie für alle anderen wesentlichen und wichtigen Einrichtungen.

Nach § 32 Abs. 1 NISG 2026 haben wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Maßstab sind der Stand der Technik, einschlägige Normen und die Kosten der Umsetzung (§ 32 Abs. 2); bei der Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen (§ 32 Abs. 3).

Der Mindestinhalt nach § 32 Abs. 4 (inhaltsgleich mit art 21(2) der Richtlinie (EU) 2022/2555):

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung, Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, inkl. Schwachstellenmanagement
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Kryptografie und gegebenenfalls Verschlüsselung
• Personalsicherheit, Zugriffskontrolle, Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Die Cybersicherheitsbehörde kann diese Anforderungen per Verordnung näher festlegen (§ 32 Abs. 5).

Leitungsebene: Nach art 20(1) der Richtlinie (EU) 2022/2555 billigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden; die nationalen Haftungsregeln für öffentliche Einrichtungen und Bedienstete bleiben davon unberührt. Cybersicherheitsschulungen für Leitungsorgane und für Mitarbeiter sind nach § 31 Abs. 2 NISG 2026 vorzusehen und in § 45 Abs. 1 Z 1 und 2 strafbewehrt.

Registrierung und Nachweise: Die fristgerechte Registrierung bei der Cybersicherheitsbehörde (§ 29 Abs. 3), die Bekanntgabe von Änderungen (§ 29 Abs. 4) sowie die Selbstdeklaration zur Umsetzung der Risikomanagementmaßnahmen (§ 33 Abs. 1) sind eigenständige Pflichten; ihre Verletzung ist nach § 45 Abs. 4 strafbar. Für die Bundesebene gilt zusätzlich: Die übrigen Mitglieder der Bundesregierung übermitteln der Cybersicherheitsbehörde erstmalig innerhalb von drei Monaten ab Inkrafttreten und danach anlassbezogen, längstens alle drei Jahre, eine Liste der in ihren Wirkungsbereich fallenden Einrichtungen (§ 24 Abs. 4).

Meldepflichten und Fristen bei erheblichen Cybersicherheitsvorfällen

Wesentliche und wichtige Einrichtungen haben jeden erheblichen Cybersicherheitsvorfall unverzüglich dem für sie zuständigen sektorspezifischen CSIRT zu melden, in Ermangelung eines solchen dem nationalen CSIRT; das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Die Stufen nach § 34 Abs. 2:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls – mit Angabe, ob der Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitender Auswirkungen besteht.
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme – mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Zwischenbericht: auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde.
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit Beschreibung des Vorfalls, Art der Bedrohung und zugrundeliegenden Ursachen, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen.
• Fortschrittsbericht: wenn der Vorfall zum Fälligkeitszeitpunkt noch andauert; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Beeinträchtigt der Vorfall die Erbringung des Dienstes, sind die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung (§ 34 Abs. 4).

Wann ein Vorfall „erheblich“ ist, definiert § 35: wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Über die Pflichtmeldung hinaus sind freiwillige Meldungen von Vorfällen, Bedrohungen und Beinahe-Vorfällen möglich (§ 37).

Der genaue elektronische Melde- bzw. Registrierungskanal des zuständigen sektorspezifischen CSIRT geht aus dem Gesetzestext nicht eindeutig hervor. Bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Geldstrafen nach § 45 NISG 2026

§ 45 Abs. 1 NISG 2026 stellt unter anderem unter Strafe: fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung von Risikomanagementmaßnahmen (§ 32), die Verletzung der Melde- und Berichtspflichten (§ 34 Abs. 1 und 2), die unterlassene Unterrichtung der Empfänger der Dienste (§ 34 Abs. 3) sowie die Nichtbefolgung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2).

Für die in § 45 Abs. 4 aufgezählten Verstöße – etwa nicht fristgerechte Registrierung (§ 29 Abs. 3), unterbliebene Änderungsmeldungen (§ 29 Abs. 4), fehlende oder wissentlich falsche Selbstdeklaration (§ 33 Abs. 1) oder die Behinderung von Kontrollen und Sicherheitsscans (§ 38 Abs. 1) – gilt ein Rahmen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR.

Das NISG 2026 enthält zudem eine gesonderte Bestimmung zur Nichteinhaltung von Verpflichtungen durch Stellen der öffentlichen Verwaltung. Deren genaue Ausgestaltung ist im hier ausgewerteten Text nicht enthalten; bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen übt die Cybersicherheitsbehörde aus (§ 4 Abs. 1 Z 13 iVm §§ 38 und 39).