Was eine Cybersicherheits-Risikomanagement-Leitlinie nach dem NISG 2026 in Österreich enthalten muss

Die gesetzlichen Mindestinhalte nach § 32 NISG 2026

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) beschreibt nicht nur Pflichten im Allgemeinen, sondern legt fest, welche Themen das eigene Maßnahmen- und Regelwerk abdecken muss. Ausgangspunkt ist § 32 Abs. 1: Wesentliche und wichtige Einrichtungen haben „geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen“ (§ 32 Abs. 1 NISG 2026).

§ 32 Abs. 4 NISG 2026 zählt die Inhalte auf, die „zumindest“ zu umfassen sind. Wer die eigene Leitlinie strukturiert, kann diese Buchstaben direkt als Gliederung verwenden:

• a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme (§ 32 Abs. 4 lit. a NISG 2026)
• b) Bewältigung von Cybersicherheitsvorfällen (§ 32 Abs. 4 lit. b NISG 2026)
• c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement (§ 32 Abs. 4 lit. c NISG 2026)
• d) Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (§ 32 Abs. 4 lit. d NISG 2026)
• e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen (§ 32 Abs. 4 lit. e NISG 2026)
• f) Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (§ 32 Abs. 4 lit. f NISG 2026)
• g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit (§ 32 Abs. 4 lit. g NISG 2026)
• h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung (§ 32 Abs. 4 lit. h NISG 2026)
• i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen (§ 32 Abs. 4 lit. i NISG 2026)
• j) Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme (§ 32 Abs. 4 lit. j NISG 2026)

Zusätzlich ist die Cybersicherheitsbehörde ermächtigt, durch Verordnung nähere Anforderungen an diese Inhalte festzulegen (§ 32 Abs. 5 NISG 2026).

Gefahrenübergreifender Ansatz und Verhältnismäßigkeit: warum zwei Leitlinien unterschiedlich aussehen dürfen

Die Maßnahmen haben laut Gesetz „auf einem gefahrenübergreifenden Ansatz zu beruhen, der auf den Schutz der Netz- und Informationssysteme samt deren physischen Komponenten vor Cybersicherheitsvorfällen abzielt“ (§ 32 Abs. 4 NISG 2026). Das Dokument darf sich also nicht auf Angriffe aus dem Netz beschränken, sondern hat auch physische Komponenten mitzudenken.

Das Niveau selbst ist relativ: Die Maßnahmen haben „unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen nationalen, europäischen und internationalen Normen sowie bewährter Verfahren und der Kosten der Umsetzung“ ein dem bestehenden Risiko angemessenes Cybersicherheitsniveau sicherzustellen (§ 32 Abs. 2 NISG 2026).

Worauf es bei der Verhältnismäßigkeit ankommt, benennt § 32 Abs. 3 NISG 2026 ausdrücklich: „das Ausmaß der Risikoexposition der Einrichtung sowie ihrer Dienste, die Größe der Einrichtung und die Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen und deren Schwere“ (§ 32 Abs. 3 NISG 2026). Deshalb kann die Leitlinie eines Betriebs mit 60 Beschäftigten sachlich anders ausfallen als jene eines Konzerns – solange die Abwägung im Dokument nachvollziehbar begründet ist.

Welche Teile vom eigenen Profil abhängen

Die Gliederung nach § 32 Abs. 4 NISG 2026 ist für alle gleich – der Inhalt der einzelnen Kapitel nicht. Vier Faktoren prägen ihn:

Sektor und Teilsektor. § 2 NISG 2026 nennt 18 Sektoren, von Energie über Gesundheitswesen und digitale Infrastruktur bis zu Forschung; die Arten von Einrichtungen ergeben sich aus den Anlagen 1 und 2. Ob ein Betrieb in Anlage 1 („Sektoren mit hoher Kritikalität“) oder Anlage 2 („Sonstige kritische Sektoren“) fällt, wirkt direkt auf die Einstufung.

Größe. § 24 NISG 2026 knüpft an große und mittlere Unternehmen an (§ 25 Abs. 2 und 3 NISG 2026); für einzelne Arten von Einrichtungen gilt die Einstufung ausdrücklich „unabhängig von der Unternehmensgröße“, etwa für qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter (§ 24 Abs. 1 Z 1 NISG 2026).

Statutarische Einstufung. Das Gesetz kennt zwei Kategorien: die wesentliche Einrichtung (§ 24 Abs. 1 NISG 2026) und die wichtige Einrichtung (§ 24 Abs. 2 NISG 2026). Die Einstufung sollte im Kopf des Dokuments stehen, weil sie unter anderem den Strafrahmen bestimmt – bis zu 10 000 000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen (§ 45 Abs. 2 NISG 2026), bis zu 7 000 000 EUR oder bis zu 1,4 % für wichtige Einrichtungen (§ 45 Abs. 3 NISG 2026).

Dienste und Abhängigkeiten. Das Kapitel zur Lieferkette hat die spezifischen Schwachstellen der unmittelbaren Anbieter, die Gesamtqualität der Produkte und deren Entwicklungsprozesse zu berücksichtigen (§ 32 Abs. 4 lit. d NISG 2026). Wer Betrieb und Dienste stark auslagert, braucht hier deutlich mehr Substanz als ein Betrieb mit eigener Infrastruktur.

Ein Sonderfall: Für Einrichtungen im Anwendungsbereich der Verordnung (EU) 2022/2554 gehen deren einschlägige Bestimmungen vor (§ 24 Abs. 7 NISG 2026).

Billigung durch die Leitungsorgane und Schulungen

Eine Risikomanagement-Leitlinie ist kein reines IT-Papier. Nach Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 haben die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und können für Verstöße verantwortlich gemacht werden. Praktisch heißt das: Das Dokument trägt ein Datum, eine Freigabe und einen Überprüfungszyklus.

Schulungen sind im NISG 2026 doppelt verankert: als Inhalt der Maßnahmen (§ 32 Abs. 4 lit. g NISG 2026) und als eigener Straftatbestand – wer Cybersicherheitsschulungen für Leitungsorgane bzw. für Mitarbeiter nicht vorsieht, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 1 und Z 2 NISG 2026 iVm § 31 Abs. 2 NISG 2026). Zu den Details der Schulungsverpflichtung nach § 31 empfiehlt sich der Blick in die veröffentlichten Informationen der Cybersicherheitsbehörde als offizielle Quelle.

Zur Zeitschiene: Die Verpflichtungen treten „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft (§ 51 Abs. 2 NISG 2026); die Kundmachung erfolgte am 23.12.2025.

Was die Leitlinie überprüfbar macht

Überprüfbar wird ein Dokument dort, wo jede Aussage an ihre Fundstelle gebunden ist. Bewährt hat sich eine Tabelle, die jede Anforderung, die umgesetzte Maßnahme, den Verantwortlichen und die exakte Bestimmung nebeneinander stellt:

Dass Unterlagen vorlagefähig sein müssen, ergibt sich aus den Aufsichtsbefugnissen: Die Nichtbereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte ist eigens sanktioniert (§ 45 Abs. 4 Z 14 NISG 2026 iVm § 38 Abs. 1 Z 3 NISG 2026). Auch die Selbstdeklaration nach § 33 Abs. 1 NISG 2026 wird nur so belastbar wie die dahinterliegende Dokumentation.

Ein Hinweis zur Erwartungshaltung: Kein Dokument erzeugt für sich genommen Rechtssicherheit. Es macht lediglich sichtbar, welche Maßnahmen bestehen, wie sie begründet sind und wo sie im Gesetz verankert sind.