NIS2 Umset­zung in Öster­reich mit neu­em Bun­des­amt für Cybersicherheit

Am 12. Dezem­ber 2025 wur­de das NISG 2026 vom öster­rei­chi­schen Natio­nal­rat beschlos­sen und am 23. Dezem­ber wur­de das NISG 2026 ver­öf­fent­licht. Im fol­gen­den Arti­kel wol­len wir die wesent­li­chen Merk­ma­le zusam­men­fas­sen und Emp­feh­lun­gen für die Umset­zung geben.

Geschaf­fen wird eine neue Behör­de das Bun­des­amt für Cyber­si­cher­heit (Cyber­si­cher­heits­be­hör­de) die dem Bun­des­mi­nis­ter für Inne­res unter­stellt ist. Die Behör­de hat eine Viel­zahl an neu­en Auf­ga­ben, dar­un­ter den Betrieb der zen­tra­len Anlauf­stel­le, den Betrieb des Gov­Certs und die Ermäch­ti­gung der CSIRTs.

Die CSIRTs sind unter ande­rem für die Über­wa­chung der natio­na­len Cyber­be­dro­hun­gen und auch für die Reak­ti­on auf Cyber­si­cher­heits­vor­fäl­le und ggfls. Unter­stüt­zung betrof­fe­ner wesent­li­cher und wich­ti­ger Ein­rich­tun­gen bei der Bewäl­ti­gung zuständig.

Ent­fal­len zum letz­ten Ent­wurf aus 2024 ist der Anhang 3 mit kon­kre­ten Risi­ko­ma­nage­ment­maß­nah­men, statt­des­sen fin­den sich in § 33 (4) eine Lis­te von Maß­nah­men die nahe­zu deckungs­gleich mit der EU NIS2 Richt­li­nie 2022/2555 Arti­kel 21 (2) ist.

Bis auf spe­zi­fi­sche Aus­nah­men für qua­li­fi­zier­te Ver­trau­ens­diens­te­an­bie­ter, Domain-Regis­tra­re, DNS-Diens­te­an­bie­ter und spe­zi­el­le Ein­rich­tun­gen, Anbie­ter von Kom­mu­ni­ka­ti­ons­net­zen/-diens­ten gel­ten gro­ße Unter­neh­men, die der Anla­ge 1 ent­spre­chen als wesent­li­che Ein­rich­tun­gen.

In der Anla­ge 1 sind gewis­se Teilsektoren/Branchen aus Ener­gie, Ver­kehr, Bank­we­sen, Finanz­markt­in­fra­struk­tu­ren, Gesund­heits­we­sen, Trink­was­ser, Abwas­ser, digi­ta­le Infra­struk­tu­ren, Ver­wal­tung von IKT-Diens­ten, öffent­li­che Ver­wal­tung und Welt­raum genannt.

Gro­ße und mitt­le­re Unter­neh­men, die den Anla­gen 1 und 2 ent­spre­chen und ein und nicht bereits eine wesent­li­che Ein­rich­tung sind, gel­ten als wich­ti­ge Ein­rich­tung. Auch hier gibt es Son­der­re­ge­lun­gen für Kom­mu­ni­ka­ti­ons­net­zen/-diens­ten, Ver­trau­ens­diens­te­an­bie­ter und behörd­lich ein­ge­stuf­te Einrichtungen.

Für die Ent­schei­dung ob ein Unter­neh­men, das der Anla­ge 1 ent­spricht als wesent­li­che oder wich­ti­ge Ein­rich­tung gewer­tet wird, gibt es im NISG 2026 die fol­gen­de Unterscheidung:

Das NISG 2026 wur­de am 12. Dezem­ber 2025 vom Natio­nal­rat beschlos­sen und am 23. Dezem­ber 2025 ver­öf­fent­licht. Dar­aus erge­ben sich kon­kre­te Fristen:

Im NISG § 33 (2) fin­det sich für betrof­fe­ne Unter­neh­men eine Ver­pflich­tung zur exter­nen Überprüfung:

Wesent­li­che und wich­ti­ge Ein­rich­tun­gen haben inner­halb von zwei Jah­ren nach Auf­for­de­rung durch die Cyber­si­cher­heits­be­hör­de die tech­ni­sche, ope­ra­ti­ve und orga­ni­sa­to­ri­sche Umset­zung der Risi­ko­ma­nage­ment­maß­na­men gemäß § 32 durch eine von einer unab­hän­gi­gen Stel­le nach den Vor­ga­ben der Cyber­si­cher­heits­be­hör­de sowie auf Basis der von der jewei­li­gen Ein­rich­tung durch­ge­führ­ten Risi­ko­ana­ly­se oder einer auf­grund sons­ti­ger Risi­ko­ab­wä­gun­gen durch­ge­führ­ten Prü­fung, die nicht län­ger als zwei Jah­re zurück­liegt, nach­zu­wei­sen, wobei der Nach­weis der ope­ra­ti­ven sowie orga­ni­sa­to­ri­schen Umset­zung auch durch ein­schlä­gi­ge gül­ti­ge Zer­ti­fi­ka­te mög­lich ist. Davon abwei­chend haben wesent­li­che Ein­rich­tun­gen die ope­ra­ti­ve sowie orga­ni­sa­to­ri­sche Umset­zung der Risi­ko­ma­nage­ment­maß­nah­men inner­halb von zwei Mona­ten nach Auf­for­de­rung durch die Cyber­si­cher­heits­be­hör­de nachzuweisen.

Unter­neh­men müs­sen (nach Auf­for­de­rung) die tech­ni­sche, ope­ra­ti­ve und orga­ni­sa­to­ri­sche Umset­zung nach­wei­sen kön­nen. Hier­bei kön­nen NIS2 Ein­rich­tun­gen den Audit­auf­wand redu­zie­ren, indem von den drei Aspek­ten (tech­ni­sche, ope­ra­ti­ve und orga­ni­sa­to­ri­sche) die ope­ra­ti­ven und orga­ni­sa­to­ri­schen Aspek­te der Risi­ko­ma­nage­ment­maß­na­men durch ein „ein­schlä­gi­ge gül­ti­ge Zer­ti­fi­ka­te“ nach­wei­sen. Damit ist eine ISO 27001 oder eine TISAX® Zer­ti­fi­zie­rung gemeint. Wei­ter­hin durch eine „unab­hän­gi­gen Stel­le“ über­prüft wer­den, müs­sen die tech­ni­schen Aspek­te der Risikomanagementmaßnamen.

Wir emp­feh­len mög­lichst rasch mit der NIS2 Umset­zung zu begin­nen, hier unser emp­foh­le­ner Umsetzungsplan:

Ger­ne unter­stüt­zen wir wich­ti­ge und wesent­li­che Ein­rich­tung pra­xis­ori­en­tiert und metho­disch bei der Umset­zung der NIS2 Anfor­de­run­gen. Hier­zu bie­tet SEC4YOU umfang­rei­che Leis­tun­gen an. Details fin­den Sie in unse­re Online Shop.