NIS2 in Österreich Schritt für Schritt: der Fahrplan für die digitale Infrastruktur nach dem NISG 2026

1. Einstufung und Anwendungsbereich prüfen

Das NISG 2026 erfasst nach § 2 achtzehn Sektoren, darunter die digitale Infrastruktur, deren Einrichtungsarten in Anlage 1 Nr. 8 aufgezählt werden. Genannt sind dort unter anderem Betreiber von Netzeinrichtungen, die die Zusammenschaltung unabhängiger Netze ermöglichen (Internet-Knoten), DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Inhaltszustellnetzen sowie Vertrauensdiensteanbieter und Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste. Als wesentliche Einrichtung gelten nach § 24 Abs. 1 größenunabhängig qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, ferner Einrichtungen der Anlage 1, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben, sowie mittlere Unternehmen gemäß § 25 Abs. 3, die öffentliche elektronische Kommunikationsnetze oder öffentlich zugängliche Kommunikationsdienste anbieten. Als wichtige Einrichtung stuft § 24 Abs. 2 Einrichtungen der Anlagen 1 und 2 ein, die ein großes oder mittleres Unternehmen betreiben, sowie größenunabhängig Vertrauensdiensteanbieter und Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste, soweit keine Einstufung als wesentliche Einrichtung vorliegt.

ÖNACE 61.10-0 — Leitungsgebundene, drahtlose und satellitengestützte TelekommunikationÖNACE 61.90-0 — Sonstige TelekommunikationÖNACE 63.10-0 — Datenverarbeitung, Hosting und damit verbundene Tätigkeiten

Siehe auch die Sektorseite: Digitale Infrastruktur · NIS2-Einrichtungskategorien — Österreich

Kostenlose Anwendbarkeitsprüfung starten

2. Verantwortung und Schulung der Leitungsorgane

Art. 20 Abs. 1 der NIS-2-Richtlinie sieht vor, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und für Verstöße der Einrichtung haftbar gemacht werden können. Im NISG 2026 knüpft § 31 Abs. 2 daran an und verlangt, Cybersicherheitsschulungen für Leitungsorgane vorzusehen. Der zweite Satz dieser Bestimmung erfasst auch Schulungen für die Mitarbeiter. Unterbleiben diese Schulungen, liegt nach § 45 Abs. 1 Z 1 und Z 2 eine Verwaltungsübertretung vor.

NIS2-Schulungspflicht der Leitungsorgane nach Ländern

3. Risikoanalyse als Grundlage

§ 32 Abs. 1 NISG 2026 verlangt von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht für jene Netz- und Informationssysteme, die sie für ihren Betrieb oder ihre Dienste nutzen. Zu den Mindestinhalten zählt § 32 Abs. 4 lit. a ausdrücklich Konzepte zur Risikoanalyse und zur Sicherheit für Informationssysteme. Nach § 32 Abs. 2 hat das erreichte Cybersicherheitsniveau dem bestehenden Risiko angemessen zu sein, wobei Stand der Technik, einschlägige Normen und die Kosten der Umsetzung einfließen. Für die Verhältnismäßigkeit sind gemäß § 32 Abs. 3 die Risikoexposition, die Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle maßgeblich.

Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

4. Katalog der Risikomanagementmaßnahmen

§ 32 Abs. 4 verlangt einen gefahrenübergreifenden Ansatz und einen Mindestkatalog, der von der Bewältigung von Cybersicherheitsvorfällen über die Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement bis zur Sicherheit der Lieferkette reicht. Weiter genannt sind Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung der Systeme samt Schwachstellenmanagement, Verfahren zur Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit, Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. Eine sektorspezifische Abstufung enthält diese Bestimmung nicht, denn derselbe Katalog gilt für wesentliche und für wichtige Einrichtungen gleichermaßen. Nach § 32 Abs. 5 kann die Cybersicherheitsbehörde nähere Anforderungen mit Verordnung festlegen und dabei sektorspezifische Besonderheiten berücksichtigen.

NIS2-Risikomanagementmaßnahmen vs. ISO 27001, DORA und DSGVO

5. Meldung erheblicher Vorfälle

Erhebliche Cybersicherheitsvorfälle im Sinne des § 35 sind nach § 34 Abs. 1 unverzüglich dem zuständigen sektorspezifischen CSIRT oder, wenn ein solches fehlt, dem nationalen CSIRT zu melden, das die Meldung an die Cybersicherheitsbehörde weiterleitet. Die Frühwarnung ist nach § 34 Abs. 2 Z 1 innerhalb von 24 Stunden ab Kenntnisnahme zu übermitteln. Die Meldung über den Vorfall mit einer ersten Bewertung folgt nach § 34 Abs. 2 Z 2 innerhalb von 72 Stunden ab Kenntnisnahme. Der Abschlussbericht ist nach § 34 Abs. 2 Z 4 spätestens einen Monat nach Übermittlung dieser Meldung vorzulegen.

NIS2-Meldefristen bei Sicherheitsvorfällen nach EU-Ländern · Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

6. Schriftliche Nachweise und Unterlagen

Der Mindestkatalog des § 32 Abs. 4 ist auf festgehaltene Konzepte und Verfahren angelegt, etwa zur Risikoanalyse, zur Vorfallsbewältigung und zur Bewertung der Wirksamkeit der Maßnahmen. § 38 Abs. 1 Z 3 und Z 4 sehen vor, dass die Cybersicherheitsbehörde Informationen einschließlich dokumentierter Sicherheitskonzepte sowie Zugang zu Daten, Dokumenten und sonstigen Informationen anfordern kann. Hinzu kommen die Selbstdeklaration nach § 33 Abs. 1 und der Prüfbericht nach § 33 Abs. 3. Auch die Berichte nach § 34 Abs. 2, insbesondere der Abschlussbericht mit Angaben zu Ursachen und Abhilfemaßnahmen, sind schriftliche Nachweise gegenüber CSIRT und Behörde.

Das Paket umfasst:

• Richtlinie zum Risikomanagement der Cybersicherheit
• Plan zur Behandlung von Sicherheitsvorfällen
• Plan zur Aufrechterhaltung des Geschäftsbetriebs
• Richtlinie zur Sicherheit der Lieferkette
• Erklärung zur Verantwortung der Geschäftsleitung und Schulungskonzept
• Ausfüllassistent im Portal

Wartung (monatlich) — Re-Sign der Dokumente nach geltendem Recht — 290 EUR/Monat — Leistungen

7. Strafrahmen des Gesetzes

Nach § 45 Abs. 2 ist eine wesentliche Einrichtung (§ 24 Abs. 1) für eine Verwaltungsübertretung gemäß § 45 Abs. 1 mit Geldstrafe bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des Unternehmens im vorangegangenen Geschäftsjahr zu bestrafen, wobei der höhere Betrag maßgeblich ist. Für eine wichtige Einrichtung (§ 24 Abs. 2) nennt § 45 Abs. 3 einen Rahmen bis zu 7 000 000 EUR oder bis zu 1,4 % dieses Umsatzes, ebenfalls nach dem höheren Betrag. Für die in § 45 Abs. 4 aufgezählten Übertretungen, etwa eine nicht fristgerechte Registrierung, sieht das Gesetz Geldstrafen bis zu 50 000 EUR vor. Im Wiederholungsfall beträgt der Rahmen dort bis zu 100 000 EUR.

NIS2-Bußgelder nach Land