NIS2 für Verkehrsunternehmen in Österreich: Was das NISG 2026 verlangt

Ist der Verkehrssektor in Österreich vom NISG 2026 erfasst?

Ja. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) nennt in § 2 ausdrücklich den Sektor „2. Verkehr" als einen der 18 erfassten Sektoren; die zugehörigen Teilsektoren sind in Anlage 1 des Gesetzes aufgezählt — Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr. Ob Ihr Unternehmen tatsächlich verpflichtet ist, entscheidet sich in zwei Schritten: Erstens, ob Ihre Tätigkeit einer der in Anlage 1 genannten „Arten von Einrichtungen" entspricht, und zweitens, ob Sie die Größenkriterien des § 24 in Verbindung mit § 25 NISG 2026 erfüllen.

Der erste Schritt für Ihr Unternehmen: Prüfen Sie anhand von Anlage 1 Nr. 2, ob Ihre konkrete Tätigkeit dort beschrieben ist, und ordnen Sie anschließend Ihre Unternehmensgröße zu. Eine kostenlose Anwendbarkeitsprüfung neben diesem Artikel führt Sie strukturiert durch beide Schritte.

Zum Zeitpunkt: Nach § 51 NISG 2026 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft. Die Kundmachung erfolgte am 23. Dezember 2025; daraus errechnet sich der 1. Oktober 2026. Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

So benennt das NISG 2026 den Sektor Verkehr (Anlage 1 Nr. 2)

Anlage 1 des NISG 2026 beschreibt die erfassten Verkehrsunternehmen wörtlich wie folgt (Auszug):

a) Luftverkehr

• „Luftfahrtunternehmen im Sinne des Art. 3 Nr. 4 der Verordnung (EG) Nr. 300/2008 … die zu gewerblichen Zwecken eingesetzt werden"
• „Flughafenleitungsorgane im Sinne des § 3 Z 2 Bundesgesetz über die Festlegung von Flughafenentgelten (Flughafenentgeltegesetz – FEG), BGBl. I Nr. 41/2012, Flughäfen im Sinne des § 3 Z 1 FEG, einschließlich der in Anhang II Abschnitt 2 der Verordnung (EU) Nr. 1315/2013 … angeführten Flughäfen des Kernnetzes, und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben"
• „Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen, die Flugverkehrskontrolldienste im Sinne des Art. 2 Z 1 der Verordnung (EG) Nr. 549/2004 … bereitstellen"

b) Schienenverkehr

• „Infrastrukturbetreiber im Sinne des Art. 3 Z 2 der Richtlinie 2012/34/EU …"
• „Eisenbahnunternehmen im Sinne des § 1b EisbG, einschließlich Betreiber einer Serviceeinrichtung im Sinne des § 62a Abs 1 EisbG"

c) Schifffahrt

• „Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe"
• „Leitungsorgane von Häfen im Sinne des Art. 3 Z 1 der Richtlinie 2005/65/EG … einschließlich ihrer Hafenanlagen … sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben"
• „Betreiber von Schiffverkehrsdiensten im Sinne des Art. 3 lit o der Richtlinie 2002/59/EG …"

d) Straßenverkehr

• „Straßenverkehrsbehörden im Sinne des Art. 2 Z 12 der Delegierten Verordnung (EU) 2015/962 … die für Verkehrsmanagement- und Verkehrssteuerung verantwortlich sind, mit Ausnahme von öffentlichen Stellen, für die das Verkehrsmanagement oder der Betrieb intelligenter Verkehrssysteme nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist"
• „Betreiber intelligenter Verkehrssysteme im Sinne des § 2 Z 1 … (IVS-Gesetz – IVS-G), BGBl. I Nr. 38/2013"

Maßgeblich ist immer der Wortlaut der Anlage, nicht die Selbstbeschreibung des Unternehmens.

Wesentliche oder wichtige Einrichtung: Einstufung nach § 24

Das NISG 2026 unterscheidet in § 24 zwei statutarische Klassen:

• Wesentliche Einrichtung: Nach § 24 Abs. 1 Z 3 gelten Einrichtungen der in Anlage 1 genannten Art als wesentliche Einrichtung, wenn sie „ein großes Unternehmen gemäß § 25 Abs. 2" betreiben. Da der Verkehr in Anlage 1 steht, ist dies der typische Weg für große Verkehrsunternehmen. Unabhängig von der Größe gelten außerdem Einrichtungen als wesentlich, die von der Cybersicherheitsbehörde so eingestuft wurden (§ 26 Abs. 1 und 2) oder die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden (§ 24 Abs. 1 Z 1 lit. e und f).
• Wichtige Einrichtung: Nach § 24 Abs. 2 Z 1 gelten Einrichtungen der in den Anlagen 1 und 2 genannten Art als wichtige Einrichtung, wenn sie ein großes oder mittleres Unternehmen betreiben — soweit sie nicht bereits wesentliche Einrichtung nach Abs. 1 sind.

Die Ermittlung der Unternehmensgröße richtet sich nach § 25 NISG 2026 (§ 25 Abs. 2 für große, § 25 Abs. 3 für mittlere Unternehmen). Die konkreten Zahlenwerte dieser Definitionen sind hier nicht wiedergegeben — bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Wichtig für den Verkehrssektor: Das Gesetz sieht für Luftverkehr, Schienenverkehr, Schifffahrt oder Verkehrssteuerung keine eigenen, abweichenden Pflichtenkataloge vor. Die Pflichten der §§ 32 und 34 gelten für wesentliche und wichtige Einrichtungen gleichermaßen; der Unterschied liegt vor allem in der Aufsicht und in der Strafhöhe.

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Risikomanagementmaßnahmen (§ 32). Wesentliche und wichtige Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen umsetzen. Sie beruhen auf einem gefahrenübergreifenden Ansatz und umfassen nach § 32 Abs. 4 zumindest:

• Konzepte für Risikoanalyse und Sicherheit für Informationssysteme;
• Bewältigung von Cybersicherheitsvorfällen;
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement;
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• grundlegende Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
• Kryptografie und gegebenenfalls Verschlüsselung;
• Personalsicherheit, Zugriffskontrolle und Management von Anlagen;
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation.

Die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen (§ 32 Abs. 3). Die Cybersicherheitsbehörde kann nähere Anforderungen per Verordnung festlegen und dabei sektorspezifische Besonderheiten berücksichtigen (§ 32 Abs. 5). Inhaltlich entsprechen diese Punkte dem Katalog des Art. 21 Abs. 2 der Richtlinie (EU) 2022/2555.

Verantwortung der Leitungsorgane. Nach Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 billigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden. Das NISG 2026 sanktioniert es ausdrücklich, wenn Cybersicherheitsschulungen für Leitungsorgane sowie für Mitarbeiter nach § 31 Abs. 2 nicht vorgesehen werden (§ 45 Abs. 1 Z 1 und 2).

Registrierung und Nachweise. § 45 Abs. 4 sanktioniert unter anderem die nicht fristgerechte Registrierung bei der Cybersicherheitsbehörde gemäß § 29 Abs. 3, die unterbliebene Bekanntgabe von Änderungen nach § 29 Abs. 4 sowie Verstöße gegen die Selbstdeklaration nach § 33 Abs. 1 und die Übermittlung eines Prüfberichts nach § 33 Abs. 3. Die konkreten Registrierungsfristen und der elektronische Kanal sind bei der Cybersicherheitsbehörde (offizielle Quelle) zu bestätigen.

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Wesentliche und wichtige Einrichtungen haben jeden erheblichen Cybersicherheitsvorfall (§ 35) unverzüglich dem für sie zuständigen sektorspezifischen CSIRT zu melden, in Ermangelung eines solchen dem nationalen CSIRT. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Die Stufen nach § 34 Abs. 2:

Dauert der Vorfall bei Fälligkeit des Abschlussberichts noch an, ist ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5). Beeinträchtigt der Vorfall die Erbringung Ihres Dienstes, sind zusätzlich die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Das CSIRT antwortet spätestens 24 Stunden nach Eingang der Frühwarnung (§ 34 Abs. 4).

Erheblich ist ein Vorfall nach § 35 Abs. 1, wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Kriterien sind unter anderem die Abhängigkeit anderer Sektoren von Ihrem Dienst, Auswirkungen auf öffentliche Ordnung und Sicherheit, Marktanteil und das betroffene geografische Gebiet (§ 35 Abs. 2). Freiwillige Meldungen von Vorfällen, Cyberbedrohungen und Beinahe-Vorfällen sind nach § 37 möglich.

Geldstrafen nach § 45 NISG 2026

Verstöße gegen Schulungspflichten (§ 31 Abs. 2), Risikomanagementmaßnahmen (§ 32), Melde- und Berichtspflichten (§ 34 Abs. 1 und 2), die Unterrichtung der Diensteempfänger (§ 34 Abs. 3) oder angeordnete Durchsetzungsmaßnahmen (§ 39 Abs. 2) sind Verwaltungsübertretungen (§ 45 Abs. 1):

• Wesentliche Einrichtung (§ 24 Abs. 1): Geldstrafe bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr — je nachdem, welcher Betrag höher ist (§ 45 Abs. 2).
• Wichtige Einrichtung (§ 24 Abs. 2): Geldstrafe bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten Umsatzes im vorangegangenen Geschäftsjahr — je nachdem, welcher Betrag höher ist (§ 45 Abs. 3).

Für formale Verstöße — etwa nicht fristgerechte Registrierung nach § 29 Abs. 3, fehlende Selbstdeklaration nach § 33 Abs. 1 oder Behinderung einer Kontrolle nach § 38 Abs. 1 — sieht § 45 Abs. 4 Geldstrafen bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Zuständig für Aufsicht und Durchsetzung gegenüber wesentlichen und wichtigen Einrichtungen ist die Cybersicherheitsbehörde (§ 4 Abs. 1 Z 13 in Verbindung mit den §§ 38 und 39).