NIS2 Schritt für Schritt: Was das NISG 2026 vom Energiesektor in Österreich verlangt

1. Schritt 1: Einstufung als wesentliche oder wichtige Einrichtung

§ 2 NISG 2026 führt Energie als Sektor an, die zugehörigen Arten von Einrichtungen stehen in Anlage 1 unter Punkt 1 mit den Teilsektoren Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas und Wasserstoff. Genannt werden dort etwa Elektrizitätsunternehmen im Sinne des § 7 Abs. 1 Z 11 ElWOG sowie Verteiler- und Übertragungsnetzbetreiber. Nach § 24 Abs. 1 Z 3 gilt eine Einrichtung dieser Art als wesentliche Einrichtung, wenn sie ein großes Unternehmen gemäß § 25 Abs. 2 betreibt; nach § 24 Abs. 2 Z 1 gilt sie als wichtige Einrichtung, wenn sie ein großes oder mittleres Unternehmen betreibt. Laut § 51 greifen die Pflichten erst mit jenem Monatsersten, der folgt, nachdem seit der Kundmachung vom 23. Dezember 2025 neun Monate verstrichen sind.

ÖNACE 06.10-0 — Gewinnung von ErdölÖNACE 06.20-0 — Gewinnung von ErdgasÖNACE 19.20-0 — Herstellung von Mineralölerzeugnissen und von fossilen BrennstoffenÖNACE 35.11-0 — Elektrizitätserzeugung aus nicht erneuerbaren EnergieträgernÖNACE 35.12-0 — Elektrizitätserzeugung aus erneuerbaren EnergieträgernÖNACE 35.13-0 — Elektrizitätsübertragung

Siehe auch die Sektorseite: Energie · NIS2-Einrichtungskategorien — Österreich

Kostenlose Anwendbarkeitsprüfung starten

2. Schritt 2: Verantwortung des Leitungsorgans und Schulungen

Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 sieht vor, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und für Verstöße der Einrichtung verantwortlich gemacht werden können. Das NISG 2026 knüpft daran an: § 45 Abs. 1 Z 1 stellt es unter Strafe, wenn die Verpflichtung zu Cybersicherheitsschulungen für Leitungsorgane nach § 31 Abs. 2 unerfüllt bleibt. Nach § 45 Abs. 1 Z 2 gilt dasselbe für Schulungen der Arbeitnehmer gemäß § 31 Abs. 2 zweiter Satz. Die Verantwortung liegt damit bei der Leitungsebene selbst und ist nicht auf die technische Ebene beschränkt.

NIS2-Schulungspflicht der Leitungsorgane nach Ländern

3. Schritt 3: Risikoanalyse als Grundlage

§ 32 Abs. 1 NISG 2026 verpflichtet wesentliche und wichtige Einrichtungen zu geeigneten und verhältnismäßigen Maßnahmen in technischer, operativer und organisatorischer Hinsicht für jene Netz- und Informationssysteme, die dem Betrieb oder der Erbringung der Dienste dienen. Als Mindestinhalt nennt § 32 Abs. 4 lit. a Konzepte zur Risikoanalyse und zur Sicherheit von Informationssystemen. Der Maßstab ergibt sich aus § 32 Abs. 2: Stand der Technik, einschlägige Normen, bewährte Verfahren und Umsetzungskosten führen zu einem dem Risiko angemessenen Niveau. § 32 Abs. 3 nennt für die Verhältnismäßigkeit die Risikoexposition, die Größe der Einrichtung sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen.

Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

4. Schritt 4: Katalog der Risikomanagementmaßnahmen

§ 32 Abs. 4 NISG 2026 verlangt einen gefahrenübergreifenden Ansatz und zählt zehn Mindestinhalte auf, von der Risikoanalyse über die Bewältigung von Cybersicherheitsvorfällen, die Aufrechterhaltung des Betriebs samt Backup und Krisenmanagement bis zur Sicherheit der Lieferkette. Weiter genannt sind Sicherheit bei Erwerb, Entwicklung und Wartung samt Schwachstellenmanagement, die Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. Der Katalog gilt für wesentliche und wichtige Einrichtungen gleichermaßen; eine eigene Regelung nur für den Energiesektor enthält § 32 nicht. Nach § 32 Abs. 5 kann die Cybersicherheitsbehörde nähere Anforderungen per Verordnung festlegen und dabei sektorspezifische Besonderheiten berücksichtigen.

NIS2-Risikomanagementmaßnahmen vs. ISO 27001, DORA und DSGVO

5. Schritt 5: Meldung erheblicher Cybersicherheitsvorfälle

Nach § 34 Abs. 1 NISG 2026 ist jeder erhebliche Cybersicherheitsvorfall im Sinne des § 35 unverzüglich dem zuständigen sektorspezifischen CSIRT zu melden, in Ermangelung eines solchen dem nationalen CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet. Die Frühwarnung ist nach § 34 Abs. 2 Z 1 unverzüglich, jedenfalls binnen 24 Stunden ab Kenntnisnahme zu übermitteln. Die Meldung mit einer ersten Bewertung folgt nach § 34 Abs. 2 Z 2 unverzüglich, jedenfalls binnen 72 Stunden ab Kenntnisnahme. Der Abschlussbericht ist nach § 34 Abs. 2 Z 4 spätestens einen Monat nach der Meldung vorzulegen, wobei § 34 Abs. 2 Z 3 einen Zwischenbericht auf Ersuchen und § 34 Abs. 3 die Unterrichtung der Diensteempfänger bei beeinträchtigter Leistungserbringung vorsieht.

NIS2-Meldefristen bei Sicherheitsvorfällen nach EU-Ländern · Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

6. Schritt 6: Nachweise und schriftliche Unterlagen

Die in § 32 Abs. 4 genannten Inhalte sind als Konzepte und Verfahren formuliert, etwa zur Risikoanalyse nach lit. a und zur Bewertung der Wirksamkeit nach lit. f, was eine schriftliche und gepflegte Form voraussetzt. § 38 Abs. 1 Z 3 nennt ausdrücklich die Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte gegenüber der Cybersicherheitsbehörde, § 38 Abs. 1 Z 4 den Zugang zu Daten, Dokumenten und sonstigen Informationen auf Anforderung. Hinzu kommen die Selbstdeklaration nach § 33 Abs. 1 und die Übermittlung eines Prüfberichts nach § 33 Abs. 3. Auch die Berichtspflichten des § 34 Abs. 2 setzen aufgezeichnete Angaben zu Ablauf, Ursachen und Abhilfemaßnahmen voraus.

Das Paket umfasst:

• Richtlinie zum Risikomanagement der Cybersicherheit
• Plan zur Behandlung von Sicherheitsvorfällen
• Plan zur Aufrechterhaltung des Geschäftsbetriebs
• Richtlinie zur Sicherheit der Lieferkette
• Erklärung zur Verantwortung der Geschäftsleitung und Schulungskonzept
• Ausfüllassistent im Portal

Wartung (monatlich) — Re-Sign der Dokumente nach geltendem Recht — 290 EUR/Monat — Leistungen

7. Schritt 7: Rahmen der Verwaltungsstrafen

§ 45 Abs. 1 NISG 2026 zählt jene Pflichtverletzungen auf, die als Verwaltungsübertretung gelten, darunter die fehlende Umsetzung der Risikomanagementmaßnahmen nach § 32 und die unterbliebene Meldung nach § 34. Für eine wesentliche Einrichtung im Sinne des § 24 Abs. 1 sieht § 45 Abs. 2 eine Geldstrafe von bis zu 10 000 000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr vor, wobei der höhere Betrag maßgeblich ist. Für eine wichtige Einrichtung im Sinne des § 24 Abs. 2 nennt § 45 Abs. 3 bis zu 7 000 000 EUR oder bis zu 1,4 % dieses Umsatzes, ebenfalls nach dem höheren Betrag. Für die in § 45 Abs. 4 aufgezählten Fälle, etwa die verspätete Registrierung oder Selbstdeklaration, gilt ein Rahmen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR.

NIS2-Bußgelder nach Land