NIS2 für Trinkwasserversorger in Österreich: Was das NISG 2026 verlangt

Kurz beantwortet: Fällt Ihr Trinkwasserbetrieb unter das NISG 2026?

Ja, der Trinkwassersektor ist erfasst. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) nennt in § 2 ausdrücklich den Sektor „6. Trinkwasser" und konkretisiert ihn in Anlage 1 (Sektoren mit hoher Kritikalität). Ob Ihr Unternehmen konkret verpflichtet ist, entscheidet sich zusätzlich über die Einstufung als wesentliche Einrichtung oder wichtige Einrichtung nach § 24. Erster Schritt für die Geschäftsführung: prüfen, ob die eigene Tätigkeit unter die in Anlage 1 beschriebene Art der Einrichtung fällt, und anschließend die Größenklasse nach § 24 zuordnen.

Zeitpunkt: Nach § 51 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft. Die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025); daraus errechnet sich der 1. Oktober 2026. Bis dahin gilt das NISG (BGBl. I Nr. 111/2018) weiter. Den maßgeblichen Termin bestätigt die Cybersicherheitsbehörde (offizielle Quelle).

Wie das Gesetz den Trinkwassersektor benennt

Anlage 1 des NISG 2026 (BGBl. I Nr. 94/2025) beschreibt die Art der Einrichtung im Sektor Trinkwasser wörtlich so:

> „Lieferanten von und Unternehmen der Versorgung mit ‚Wasser für den menschlichen Gebrauch‘ im Sinne des § 3 Z 2 Bundesgesetz über Sicherheitsanforderungen und weitere Anforderungen an Lebensmittel, Gebrauchsgegenstände und kosmetische Mittel zum Schutz der Verbraucherinnen und Verbraucher (Lebensmittelsicherheits- und Verbraucherschutzgesetz – LMSVG) BGBl. I Nr. 13/2006, jedoch unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist"

Zwei Punkte sind für die Praxis entscheidend:

• Anknüpfung an das LMSVG: Der Begriff „Wasser für den menschlichen Gebrauch" richtet sich nach § 3 Z 2 LMSVG, nicht nach einer eigenen Definition im NISG 2026.
• Ausnahme für Nebentätigkeiten: Wer Wasser nur als nicht wesentlichen Teil einer allgemeinen Liefertätigkeit für andere Rohstoffe und Güter abgibt, ist von dieser Position ausgenommen.

Der Sektor Trinkwasser steht in Anlage 1 und damit unter den Sektoren mit hoher Kritikalität. Der Sektor Abwasser ist in Anlage 1 gesondert als eigener Sektor 7 geführt – Betriebe, die beides betreiben, sollten beide Positionen prüfen.

Wesentliche oder wichtige Einrichtung: Wer ist erfasst?

Die Einstufung regelt § 24 NISG 2026. Für Einrichtungen des Trinkwassersektors gilt:

Unabhängig von der Unternehmensgröße gelten außerdem als wesentliche Einrichtung: Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs. 1 und 2), sowie Einrichtungen, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden (§ 24 Abs. 1 Z 1 lit. e und f). Ebenso kann die Cybersicherheitsbehörde eine Einrichtung als wichtige Einrichtung einstufen (§ 24 Abs. 2 Z 3 lit. c).

Die Größenklassen „mittleres Unternehmen" und „großes Unternehmen" ergeben sich aus § 25; die konkreten Schwellenwerte samt Berechnungsregeln entnehmen Sie bitte dem amtlichen Gesetzestext bzw. den Veröffentlichungen der Cybersicherheitsbehörde (offizielle Quelle). Eine kurze Selbsteinschätzung entlang von Anlage 1 und § 24 zeigt Ihnen bereits, in welche Richtung die Einstufung geht.

Die Einstufung ist keine Formalie: Sie bestimmt unmittelbar die Höhe möglicher Geldstrafen (§ 45 Abs. 2 und 3).

Die Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 formuliert für den Trinkwassersektor keine eigenen, sektorspezifischen Sicherheitspflichten. Es gelten dieselben Anforderungen wie für alle wesentlichen und wichtigen Einrichtungen.

Risikomanagementmaßnahmen (§ 32). Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Maßstab sind der Stand der Technik, einschlägige Normen, bewährte Verfahren und die Kosten der Umsetzung; bei der Verhältnismäßigkeit sind Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen zu berücksichtigen (§ 32 Abs. 2 und 3). Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz und umfassen mindestens:

• Konzepte zu Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
• Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen samt Schwachstellenmanagement
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung
• Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Die Cybersicherheitsbehörde kann diese Anforderungen per Verordnung näher festlegen (§ 32 Abs. 5).

Verantwortung der Leitungsorgane. Nach § 31 Abs. 2 sind Cybersicherheitsschulungen für Leitungsorgane vorzusehen; Satz 2 dieser Bestimmung erfasst zudem Schulungen für Mitarbeiter (Arbeitnehmer). Beide Versäumnisse sind ausdrücklich strafbewehrt (§ 45 Abs. 1 Z 1 und 2). Auf Ebene der Richtlinie (EU) 2022/2555 genehmigen die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden (Art. 20 Abs. 1).

Registrierung und Nachweis. Das Gesetz sieht eine fristgerechte Registrierung bei der Cybersicherheitsbehörde nach § 29 Abs. 3 sowie die Bekanntgabe von Änderungen nach § 29 Abs. 4 vor; verspätete oder wissentlich falsche Angaben sind nach § 45 Abs. 4 Z 1 und 2 strafbar. Hinzu kommen die Selbstdeklaration nach § 33 Abs. 1 und, je nach Fall, die Übermittlung eines Prüfberichts nach § 33 Abs. 3. Die konkreten Fristen und das Registrierungsportal entnehmen Sie bitte den Veröffentlichungen der Cybersicherheitsbehörde (offizielle Quelle).

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (§ 4). Gemeldet wird jedoch zunächst an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Ein Cybersicherheitsvorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Zu den Beurteilungskriterien zählen unter anderem Auswirkungen auf die öffentliche Gesundheit, der Marktanteil und das betroffene geografische Gebiet (§ 35 Abs. 2) – für die Wasserversorgung praktisch besonders relevant.

Die Fristenkette nach § 34 Abs. 2:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls, gegebenenfalls mit Angabe eines Verdachts auf rechtswidrige und schuldhafte Handlungen oder auf grenzüberschreitende Auswirkungen (Z 1).
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme, mit aktualisierten Angaben, einer ersten Bewertung samt Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren (Z 2).
• Zwischenbericht: auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde (Z 3).
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit ausführlicher Beschreibung, Art der Bedrohung und Ursachen, getroffenen und laufenden Abhilfemaßnahmen sowie gegebenenfalls grenzüberschreitenden Auswirkungen (Z 4).
• Fortschrittsbericht: wenn der Vorfall zu diesem Zeitpunkt noch andauert; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung (Z 5).

Beeinträchtigt der Vorfall die Erbringung Ihres Dienstes, sind zusätzlich die Empfänger der Dienste unverzüglich zu unterrichten – samt möglicher Gegenmaßnahmen (§ 34 Abs. 3). Umgekehrt hat das CSIRT der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung eine erste Rückmeldung zu übermitteln und auf Ersuchen technische Unterstützung zu leisten (§ 34 Abs. 4). Freiwillige Meldungen von Vorfällen, Bedrohungen und Beinahe-Vorfällen sind nach § 37 möglich. Welcher elektronische Meldekanal des zuständigen sektorspezifischen CSIRT konkret zu verwenden ist, geht aus dem Gesetzestext nicht eindeutig hervor – bitte bei der Cybersicherheitsbehörde bestätigen lassen (offizielle Quelle).

Geldstrafen nach § 45 NISG 2026

Strafbewehrt sind unter anderem: fehlende Cybersicherheitsschulungen für Leitungsorgane und für Mitarbeiter (§ 31 Abs. 2), die Nichtumsetzung von Risikomanagementmaßnahmen nach § 32, Verstöße gegen die Meldepflicht nach § 34 Abs. 1 und 2 samt zusammenhängender Berichtspflichten, die unterlassene Unterrichtung der Empfänger der Dienste nach § 34 Abs. 3 sowie die nicht fristgerechte Befolgung angeordneter Durchsetzungsmaßnahmen (§ 45 Abs. 1).

Für formale Verstöße – etwa nicht fristgerechte Registrierung nach § 29 Abs. 3, unterlassene Bekanntgabe von Änderungen nach § 29 Abs. 4, Versäumnisse bei der Selbstdeklaration nach § 33 Abs. 1 oder die Behinderung von Kontrollen und Sicherheitsscans nach § 38 Abs. 1 – sieht § 45 Abs. 4 Geldstrafen bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Wer jetzt die eigene Einstufung klärt, Meldewege festlegt und die Maßnahmen des § 32 dokumentiert, ist zum Inkrafttreten vorbereitet. Eine strukturierte Selbsteinschätzung zur Anwendbarkeit ist dafür ein guter Startpunkt.