Wie NIS2Europe Ihre Dokumente erstellt und prüft

Die Rechtsgrundlage: das NISG 2026 und die Fundstelle für den Inhalt

Maßgeblich ist in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), kundgemacht als BGBl. I Nr. 94/2025. § 2 legt den Gegenstand fest und nennt 18 Sektoren – von Energie, Verkehr und Gesundheitswesen über digitale Infrastruktur und öffentliche Verwaltung bis zu verarbeitendem Gewerbe und Forschung – samt den zugehörigen Teilsektoren nach den Anlagen 1 und 2.

Welche Inhalte die Unterlagen abbilden müssen, ergibt sich aus § 32. Die Grundpflicht lautet dort wörtlich:

> „Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen“ (NISG 2026 § 32 Abs. 1, BGBl. I Nr. 94/2025).

§ 32 Abs. 4 zählt die Mindestinhalte auf, die eine Dokumentation daher abdecken muss: Risikoanalyse- und Sicherheitskonzepte, Bewältigung von Cybersicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup-Management und Krisenmanagement, Sicherheit der Lieferkette, Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor- oder kontinuierliche Authentifizierung. Nach § 32 Abs. 5 kann die Cybersicherheitsbehörde nähere Anforderungen per Verordnung festlegen.

Die Verpflichtungen treten nach § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft.

Zuständige Behörde und die Meldefristen

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (NISG 2026 § 3a, § 4). Ihre Aufgaben umfassen unter anderem den Betrieb der zentralen Anlaufstelle (§ 5), die Funktion des Nationalen Koordinierungszentrums für Cybersicherheit (§ 6), die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen (§§ 38 und 39) sowie die Entgegennahme und Analyse von Meldungen (§ 4 Abs. 1 Z 13 und Z 14).

Gemeldet wird nach § 34 Abs. 1 unverzüglich an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter.

Die Fristen des § 34 Abs. 2 lauten im Einzelnen:

• Frühwarnung: „unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls, eine Frühwarnung“ (§ 34 Abs. 2 Z 1).
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls (§ 34 Abs. 2 Z 2).
• Zwischenbericht: auf Ersuchen eines CSIRTs oder der Cybersicherheitsbehörde (§ 34 Abs. 2 Z 3).
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung (§ 34 Abs. 2 Z 4); dauert der Vorfall noch an, ist bis dahin ein Fortschrittsbericht zu übermitteln, der Abschlussbericht spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5).

Wann ein Vorfall „erheblich“ ist, definiert § 35. Der konkrete elektronische Meldekanal des zuständigen sektorspezifischen CSIRT geht aus dem Gesetzestext nicht eindeutig hervor – bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Was das eigene Profil des Unternehmens entscheidet

Welche Pflichten überhaupt in die Unterlagen einfließen, hängt von drei Faktoren ab: Sektor, Unternehmensgröße und die daraus folgende gesetzliche Einstufung nach § 24.

Als wesentliche Einrichtung gelten nach § 24 Abs. 1 unter anderem – unabhängig von der Unternehmensgröße – qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und Einrichtungen der öffentlichen Verwaltung auf Bundesebene, ferner Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben.

Als wichtige Einrichtung gelten nach § 24 Abs. 2 Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, Einrichtungen der öffentlichen Verwaltung auf Landesebene sowie – unabhängig von der Größe – Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste und Vertrauensdiensteanbieter.

Ebenso wichtig sind die Ausnahmen: § 24 Abs. 6 nimmt etwa Einrichtungen des Universitäts-, Hochschul- und Schulwesens, der Gerichtsbarkeit und der Gesetzgebung sowie die Österreichische Nationalbank aus. Nach § 24 Abs. 7 gehen die Bestimmungen der Verordnung (EU) 2022/2554 gegenüber Einrichtungen vor, die in deren Anwendungsbereich fallen. Erst wenn Sektor, Größe und Einstufung feststehen, lässt sich sagen, welche Kapitel die Dokumentation tragen muss.

Wie jede Anforderung gegen den Gesetzestext geprüft wird

Die Prüfung erfolgt satzweise: Jede Aussage in den Unterlagen wird der Bestimmung gegenübergestellt, die sie umzusetzen behauptet.

1. Zuordnung: Jeder Anforderung wird eine Fundstelle zugewiesen – etwa ein Kapitel zur Lieferkette dem § 32 Abs. 4 lit. d, ein Ablauf zur Frühwarnung dem § 34 Abs. 2 Z 1, die Einstufung dem § 24. 2. Wortlautabgleich: Der dokumentierte Inhalt wird mit dem tatsächlichen Text der Bestimmung verglichen. Fristen, Behördenbezeichnungen und Begriffe wie „wesentliche Einrichtung“ und „wichtige Einrichtung“ werden so übernommen, wie das Gesetz sie verwendet. 3. Korrektur ohne Deckung: Eine Aussage, die keine Bestimmung stützt – eine erfundene Frist, eine falsche Zuständigkeit, eine Pflicht, die für die eigene Einstufung nicht gilt –, wird korrigiert oder entfernt, bevor das Dokument verwendet wird. 4. Lücken kennzeichnen: Was das Gesetz offenlässt, etwa technische Detailvorgaben, die erst eine Verordnung nach § 32 Abs. 5 festlegen kann, wird als offener Punkt markiert statt ausgefüllt.

Diese Reihenfolge ist entscheidend: Ohne Abgleich bleibt ein Dokument eine Sammlung plausibler Sätze; mit Abgleich wird es zu einer Darstellung, deren einzelne Aussagen überprüfbar sind.

Was danach nachprüfbar bleibt

Das Ergebnis ist eine Dokumentation, in der neben jeder Anforderung der exakte Gesetzesname und die Fundstelle stehen: NISG 2026, BGBl. I Nr. 94/2025, dazu der jeweilige Paragraf, Absatz und die Ziffer.

Das hat einen praktischen Nutzen für drei Leserkreise:

• Die Aufsicht: Die Cybersicherheitsbehörde kann nach § 38 Abs. 1 Informationen einschließlich dokumentierter Sicherheitskonzepte anfordern und Zugang zu Daten und Dokumenten verlangen.
• Prüfende Stellen: § 7 regelt die Zulassung unabhängiger Prüfer; ein Dokument mit Fundstellen lässt sich Punkt für Punkt gegenlesen.
• Auftraggeber: Kunden, die Sicherheitsnachweise entlang der Lieferkette einholen, können jede einzelne Angabe am amtlichen Text nachvollziehen.

Die Aussagekraft steht und fällt mit der Genauigkeit der Verweise. Maßgeblich ist stets der amtliche Gesetzestext; verbindliche Auskünfte und veröffentlichte Vorgaben zur Auslegung kommen von der Cybersicherheitsbehörde (offizielle Quelle). Ein Dokument mit Fundstellen sagt nichts darüber aus, ob die beschriebenen Maßnahmen ausreichend umgesetzt sind – es macht lediglich überprüfbar, worauf sich jede Aussage stützt.