NIS2 im Gesundheitswesen in Österreich: der Fahrplan in sieben Schritten

1. Anwendungsbereich und Einstufung klären

§ 2 NISG 2026 nennt das Gesundheitswesen unter den erfassten Sektoren, die zugehörigen Arten von Einrichtungen ergeben sich aus Anlage 1 Nr. 5. Dort angeführt sind Gesundheitsdienstleister nach Art. 3 lit. g der Richtlinie 2011/24/EU, EU-Referenzlaboratorien, Einrichtungen mit Forschung und Entwicklung zu Arzneimitteln nach dem AMG, Hersteller pharmazeutischer Erzeugnisse sowie Hersteller von Medizinprodukten, die als kritisch für Notlagen im Bereich der öffentlichen Gesundheit eingestuft sind. Nach § 24 Abs. 1 Z 3 gilt eine Einrichtung dieser Art als wesentliche Einrichtung, wenn sie ein großes Unternehmen gemäß § 25 Abs. 2 betreibt, während § 24 Abs. 2 Z 1 Einrichtungen mit einem großen oder mittleren Unternehmen als wichtige Einrichtung erfasst. Die Pflichten des Gesetzes knüpfen nach § 51 an den Ablauf von neun Monaten ab der Kundmachung vom 23. Dezember 2025 und den darauffolgenden Monatsersten an.

ÖNACE 21.10-0 — Herstellung von pharmazeutischen GrundstoffenÖNACE 21.20-0 — Herstellung von pharmazeutischen Spezialitäten und sonstigen pharmazeutischen ErzeugnissenÖNACE 86.10-0 — KrankenhäuserÖNACE 86.21-0 — Arztpraxen für AllgemeinmedizinÖNACE 86.22-0 — Fachärztliche TätigkeitenÖNACE 86.23-0 — Zahnarztpraxen

Siehe auch die Sektorseite: Gesundheitswesen · NIS2-Einrichtungskategorien — Österreich

Kostenlose Anwendbarkeitsprüfung starten

2. Verantwortung der Leitungsorgane

Art. 20 Abs. 1 der NIS-2-Richtlinie sieht vor, dass Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und für Verstöße der Einrichtung in die Verantwortung genommen werden können. Das NISG 2026 verankert dazu in § 31 Abs. 2 die Pflicht, Cybersicherheitsschulungen für Leitungsorgane vorzusehen. Der zweite Satz dieser Bestimmung erstreckt die Schulungspflicht auf die Mitarbeiter der Einrichtung. § 45 Abs. 1 Z 1 und Z 2 behandelt die Nichteinhaltung dieser beiden Schulungspflichten als Verwaltungsübertretung.

NIS2-Schulungspflicht der Leitungsorgane nach Ländern

3. Risikoanalyse als Grundlage

§ 32 Abs. 1 NISG 2026 verpflichtet wesentliche und wichtige Einrichtungen zu geeigneten und verhältnismäßigen technischen, operativen und organisatorischen Risikomanagementmaßnahmen für die von ihnen genutzten Netz- und Informationssysteme. § 32 Abs. 4 lit. a führt Konzepte zur Risikoanalyse und zur Sicherheit für Informationssysteme als Mindestinhalt an. Nach § 32 Abs. 2 hat das erreichte Cybersicherheitsniveau dem bestehenden Risiko angemessen zu sein, wobei der Stand der Technik, einschlägige Normen, bewährte Verfahren und die Umsetzungskosten zu berücksichtigen sind. § 32 Abs. 3 nennt für die Verhältnismäßigkeit die Risikoexposition, die Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle.

Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

4. Katalog der Risikomanagementmaßnahmen

§ 32 Abs. 4 NISG 2026 verlangt einen gefahrenübergreifenden Ansatz und zählt zehn Mindestinhalte auf, von der Risikoanalyse über die Bewältigung von Cybersicherheitsvorfällen, die Aufrechterhaltung des Betriebs samt Backup und Krisenmanagement, die Sicherheit der Lieferkette und Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung bis hin zur Bewertung der Wirksamkeit, zur Cyberhygiene und Schulung, zur Kryptografie, zur Personal- und Zugriffssicherheit und zu Multi-Faktor- oder kontinuierlicher Authentifizierung samt gesicherter Kommunikation. Eine eigene, nur für das Gesundheitswesen geltende Abweichung von diesem Katalog enthält § 32 nicht, der Katalog gilt für wesentliche und wichtige Einrichtungen gleichermaßen. § 32 Abs. 5 ermächtigt die Cybersicherheitsbehörde, nähere Anforderungen an diese Maßnahmen durch Verordnung festzulegen. Dabei können nach derselben Bestimmung sektorspezifische Besonderheiten Berücksichtigung finden.

NIS2-Risikomanagementmaßnahmen vs. ISO 27001, DORA und DSGVO

5. Meldepflichten und Fristen

Nach § 34 Abs. 1 NISG 2026 melden wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall im Sinne des § 35 unverzüglich dem für sie zuständigen sektorspezifischen CSIRT oder, wenn ein solches fehlt, dem nationalen CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet. § 34 Abs. 2 Z 1 setzt für die Frühwarnung eine Frist von 24 Stunden ab Kenntnisnahme des erheblichen Vorfalls. Für die Meldung über den Cybersicherheitsvorfall mit einer ersten Bewertung sieht § 34 Abs. 2 Z 2 eine Frist von 72 Stunden ab Kenntnisnahme vor, und § 34 Abs. 2 Z 4 verlangt den Abschlussbericht spätestens einen Monat nach Übermittlung dieser Meldung. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist nach § 34 Abs. 2 Z 5 zunächst ein Fortschrittsbericht zu übermitteln und der Abschlussbericht spätestens einen Monat nach Beendigung der Vorfallsbehandlung nachzureichen.

NIS2-Meldefristen bei Sicherheitsvorfällen nach EU-Ländern · Dieses Dokument erstellt die Plattform automatisch — es ist im Dokumentenpaket enthalten. Leistungen

6. Nachweise und Unterlagen

Der Maßnahmenkatalog des § 32 Abs. 4 NISG 2026 ist auf Konzepte und Verfahren abgestellt, etwa zur Risikoanalyse, zur Bewertung der Wirksamkeit, zur Kryptografie sowie zur Zugriffskontrolle, was eine schriftliche und gepflegte Grundlage in der Einrichtung voraussetzt. § 38 Abs. 1 Z 3 und Z 4 sieht vor, dass Einrichtungen der Cybersicherheitsbehörde Informationen einschließlich dokumentierter Sicherheitskonzepte bereitstellen und Zugang zu Daten, Dokumenten oder sonstigen Informationen gewähren. § 33 knüpft daran die Selbstdeklaration zur Umsetzung der Risikomanagementmaßnahmen sowie die Übermittlung eines Prüfberichts an. Für den Abschlussbericht nach einem Vorfall legt § 34 Abs. 2 Z 4 die inhaltlichen Bestandteile fest, darunter Beschreibung, Ursachen, Abhilfemaßnahmen und allfällige grenzüberschreitende Auswirkungen.

Das Paket umfasst:

• Richtlinie zum Risikomanagement der Cybersicherheit
• Plan zur Behandlung von Sicherheitsvorfällen
• Plan zur Aufrechterhaltung des Geschäftsbetriebs
• Richtlinie zur Sicherheit der Lieferkette
• Erklärung zur Verantwortung der Geschäftsleitung und Schulungskonzept
• Ausfüllassistent im Portal

Wartung (monatlich) — Re-Sign der Dokumente nach geltendem Recht — 290 EUR/Monat — Leistungen

7. Strafrahmen des Gesetzes

§ 45 Abs. 1 NISG 2026 fasst jene Verstöße zusammen, die als Verwaltungsübertretung gelten, darunter unterlassene Schulungen nach § 31 Abs. 2, die Nichtumsetzung von Risikomanagementmaßnahmen nach § 32 und die Verletzung der Meldepflichten nach § 34. Für die wesentliche Einrichtung nach § 24 Abs. 1 nennt § 45 Abs. 2 eine Geldstrafe von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres, wobei der höhere Betrag maßgeblich ist. Für die wichtige Einrichtung nach § 24 Abs. 2 sieht § 45 Abs. 3 bis zu 7 000 000 EUR oder bis zu 1,4 % dieses Umsatzes vor, ebenfalls nach dem höheren Betrag. Für die in § 45 Abs. 4 aufgezählten weiteren Verstöße, etwa im Zusammenhang mit Registrierung, Selbstdeklaration oder behördlichen Kontrollen, gilt ein Rahmen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR.

NIS2-Bußgelder nach Land