Am 1. Oktober 2026 hat die Cybersicherheitsbehörde die Netz- und Informationssystemsicherheits-Verordnung (NISV 2026), BGBl. II Nr. 290/2026, kundgemacht. Sie stützt sich auf § 32 Abs. 5 und § 35 Abs. 3 des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026) und ist mit Ablauf des Kundmachungstages in Kraft getreten (§ 9).
Die Verordnung konkretisiert zwei Pflichten, die seit dem Inkrafttreten des NISG 2026 gelten: die Risikomanagementmaßnahmen nach § 32 und die Meldepflicht für erhebliche Cybersicherheitsvorfälle nach § 35. Für die Geschäftsführung bedeutet das: Der Maßstab, an dem Risikomanagement und Nachweise gemessen werden, ist jetzt konkret festgelegt.
Für wen die Verordnung gilt
Die NISV 2026 richtet sich an wesentliche und wichtige Einrichtungen im Sinne des NISG 2026. Welche Sektoren und Arten von Einrichtungen erfasst sind, ergibt sich aus den Anlagen 1 und 2 des Gesetzes. Ob ein Unternehmen tatsächlich darunter fällt, hängt zusätzlich von seiner Größe und Einstufung ab. Diese Prüfung ist deshalb der erste Schritt.
Risikomanagement: Der EU-Anforderungskatalog gilt für alle
Anforderungskatalog der Durchführungsverordnung (EU) 2024/2690 (§ 2)
Die Durchführungsverordnung (EU) 2024/2690 gilt unmittelbar nur für bestimmte digitale Dienste, etwa Cloud- und Rechenzentrumsdienste sowie Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste. Die NISV 2026 erklärt ihre technischen und methodischen Anforderungen (Art. 2 samt Anhang) für alle in den Anlagen 1 und 2 des NISG 2026 genannten Arten wesentlicher und wichtiger Einrichtungen für anwendbar.
Damit gibt es in Österreich einen einheitlichen, detaillierten Maßstab für Risikomanagementmaßnahmen, vom Produktionsbetrieb bis zum Krankenhaus. Der Anhang der Durchführungsverordnung regelt unter anderem Richtlinien und Zuständigkeiten, die Behandlung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Zugriffssteuerung und die Bewertung der Wirksamkeit der Maßnahmen.
Vier Risikokategorien für die Risikoanalyse (§ 3)
Die Risikoanalyse muss sich zumindest an vier Kategorien orientieren und sie im Risikomanagementverfahren berücksichtigen:
- Technologische Risiken: Risiken aus den eingesetzten IT- und OT-Systemen, etwa Schwachstellen, Fehlkonfigurationen oder veraltete Komponenten.
- Menschliche Risiken: Fehlbedienung, unbewusstes Fehlverhalten, Social Engineering und Innentäter.
- Risiken in der IKT-Lieferkette: Abhängigkeiten von Dienstleistern, Herstellern und Zulieferern.
- Standortbezogene Risiken für Netz- und Informationssysteme: physische Gefahren wie unbefugter Zutritt, Brand, Stromausfall oder Naturereignisse.
Für die Geschäftsführung ist das eine Prüffrage an die bestehende Risikoanalyse: Sind alle vier Kategorien erfasst und mit nachvollziehbaren Bewertungen hinterlegt?
Kompensierende Maßnahmen (§ 4)
Kann eine Einrichtung einzelne Anforderungen vorübergehend oder aufgrund ihrer Größe nicht erfüllen, muss sie kompensierende Maßnahmen umsetzen. Diese müssen geeignet sein, den Zweck der jeweiligen Anforderung zu erfüllen und die damit verbundenen Risiken auf Basis einer Risikobewertung zu minimieren.
Die Verordnung stellt dafür zwei Bedingungen auf:
- Die Umsetzung ist nachvollziehbar und begründet zu dokumentieren.
- Die Wirksamkeit ist regelmäßig, mindestens jährlich, zu überprüfen.
Keine kompensierenden Maßnahmen sind für Anforderungen nötig, die nach der Durchführungsverordnung ausdrücklich nur „soweit angemessen, anwendbar oder durchführbar“ zu erfüllen sind (§ 4 Abs. 4).
Da die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen (§ 31 NISG 2026), gehören Abweichungen und ihre Begründung in die Entscheidungsvorlagen der Geschäftsführung. Für kleinere Einrichtungen ist § 4 besonders wichtig: Er schafft einen geregelten Weg, mit Anforderungen umzugehen, die sich nicht wörtlich umsetzen lassen.
Meldepflichten: Wann ein Cybersicherheitsvorfall erheblich ist
Erhebliche Cybersicherheitsvorfälle sind nach § 35 NISG 2026 zu melden. Die NISV 2026 nennt Kriterien, bei denen ein Vorfall jedenfalls als erheblich gilt (§ 5 Abs. 1). Es genügt, wenn eines davon erfüllt ist. Dabei zählen nicht nur eingetretene, sondern auch mögliche Folgen („verursacht oder kann verursachen“).
- Finanzieller Verlust: ein direkter finanzieller Verlust von mehr als 500.000 EUR oder 5 % des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist.
- Abfluss von Informationen: Geschäftsgeheimnisse im Sinne des § 26b UWG oder Informationen, die nach § 6 Informationsfreiheitsgesetz der Geheimhaltung unterliegen.
- Gefahr für Menschen: Tod oder schwere Schädigung der Gesundheit einer natürlichen Person.
- Unbefugter Zugriff: ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Netz- und Informationssysteme, der wahrscheinlich schwerwiegende Betriebsstörungen verursacht.
- Ausfall für Nutzer: Dienste sind für mehr als 100.000 Nutzer oder 10 % der Nutzer, je nachdem, welcher Wert niedriger ist, länger als 24 Stunden nicht oder nur eingeschränkt verfügbar.
- Geografische Ausbreitung: Dienste sind im Gebiet zumindest eines Bundeslandes länger als 24 Stunden nicht oder nur eingeschränkt verfügbar.
- Krisenmanagement: Der Vorfall führt zur Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen des Betriebskontinuitätsmanagements.
- Wiederholte Vorfälle: siehe unten.
Eine eingeschränkte Verfügbarkeit liegt insbesondere vor, wenn ein Dienst nicht im regelmäßig zu erwartenden Umfang erbracht werden kann.
Wiederholte Vorfälle (§ 7): Vorfälle, die einzeln nicht erheblich sind, gelten zusammengenommen als ein erheblicher Vorfall, wenn sie innerhalb von sechs Monaten mindestens zweimal auftreten, dieselbe offensichtliche Ursache und Auswirkung haben und zusammen die finanzielle Schwelle überschreiten.
Planmäßige Unterbrechungen (§ 6): Geplante Betriebsunterbrechungen und die geplanten Folgen von Wartungsarbeiten, die von der Einrichtung oder in ihrem Auftrag durchgeführt werden, gelten nicht als erhebliche Vorfälle.
Fristen und Ablauf der Meldung regelt das NISG 2026 selbst; einen Überblick gibt unser Beitrag zum Inkrafttreten des NISG 2026.
Was das für die Praxis bedeutet
Das Kriterium „Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen“ verbindet die Meldepflicht direkt mit dem Betriebskontinuitätsmanagement. Wer seinen Notfallplan aktiviert, muss in diesem Moment auch die Meldung vorbereiten. Notfallpläne und Meldeprozess sollten daher aufeinander abgestimmt sein. Zudem braucht es eine Stelle, die Vorfälle mit gleicher Ursache über sechs Monate zusammenführt und die finanziellen Folgen laufend schätzt.
Handlungsbedarf für die Geschäftsführung
- Betroffenheit klären: Einstufung als wesentliche oder wichtige Einrichtung prüfen und dokumentieren; Einrichtungen, die bereits seit 1. Oktober 2026 betroffen sind, registrieren sich bis 31. Dezember 2026; später hinzukommende binnen drei Monaten (§ 29 Abs. 3 NISG 2026).
- Abgleich mit dem Anforderungskatalog: Bestehende Maßnahmen mit dem Anhang der Durchführungsverordnung (EU) 2024/2690 abgleichen. Dafür eignet sich ein strukturiertes GAP- & Risiko-Audit mit priorisierter 90-Tage-Roadmap.
- Risikoanalyse ergänzen: alle vier Risikokategorien nach § 3 abdecken.
- Abweichungen steuern: Wo Anforderungen nicht erfüllbar sind, kompensierende Maßnahmen festlegen, begründet dokumentieren und jährlich überprüfen.
- Meldefähigkeit herstellen: die Kriterien der §§ 5 bis 7 in den Prozess zur Vorfallbehandlung und in die Notfallpläne übernehmen und die Zuständigkeiten festlegen.
Unterstützung durch Authenta
Die Authenta GmbH begleitet Geschäftsleitungen, interne IT-Teams und betreuende Systemhäuser bei der Umsetzung: vom GAP- & Risiko-Audit gegen den Anforderungskatalog über den Aufbau der Risikoanalyse bis zur laufenden Nachweisführung im Rahmen von CISO as a Service (CISOaaS). Die Verantwortung für die Einhaltung des NISG 2026 bleibt bei der Einrichtung und ihren Leitungsorganen; die technische Umsetzung liegt bei der internen IT oder dem Systemhaus.
Rechtsgrundlagen
- Netz- und Informationssystemsicherheits-Verordnung (NISV 2026), BGBl. II Nr. 290/2026, §§ 2 bis 7
- Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, insbesondere §§ 31, 32 und 35 (abrufbar im RIS)
- Durchführungsverordnung (EU) 2024/2690, Art. 2 samt Anhang
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.