Bundesamt für Cybersicherheit: Was NIS2 für Sie bedeutet.

Grundsätzlich entscheidet die Kombination aus Tätigkeit in einem erfassten Sektor und Unternehmensgröße. Ab mittlerer Größe ist eine Prüfung besonders wichtig. Für bestimmte Einrichtungstypen gelten Sonderregeln und zum Teil größenunabhängige Pflichten. Betroffene Einrichtungen müssen ihre Einstufung selbst prüfen; es erfolgt keine automatische Einstufung durch die Behörde.

Beschäftigte werden nach Jahresarbeitseinheiten erfasst; Teilzeit und Saisonarbeit anteilig. Bei der Größenbestimmung können die Zahlen von Partner- und verbundenen Unternehmen hinzukommen, auch über Landesgrenzen hinweg. Eine mögliche Ausnahme bei nachgewiesener organisatorischer, technischer und operativer Unabhängigkeit ist gesondert zu prüfen.

Nein. Jede rechtlich betroffene Einrichtung registriert sich selbst. Berechtigte Personen können im USP die Registrierung mehrerer Einrichtungen übernehmen; das ersetzt keine einrichtungsbezogene Prüfung.

DORA ist für bestimmte Risiko- und Meldepflichten Spezialrecht. Nach den Behörden-FAQs kann dennoch eine NISG-Registrierung erforderlich sein, wenn die Kriterien des NISG 2026 erfüllt sind. Das Zusammenspiel der Regelwerke ist je Einrichtung zu bewerten.

In erster Linie Personen, die nach Gesetz, Satzung oder Vertrag zur Führung der gesamten Einrichtung berufen sind – typischerweise Geschäftsführung oder Vorstand. Die Rolle als IT-Leiter oder CISO allein macht noch nicht zum Leitungsorgan. Für die öffentliche Verwaltung ist das jeweilige Organisations- und Dienstrecht maßgeblich.

Ja. Die behördlichen FAQs stellen klar, dass die Schulungspflicht jede einzelne Person im Leitungsorgan trifft. Allgemeine Awareness-Schulungen für Mitarbeitende genügen für die Geschäftsleitung nicht. Die Teilnahme ist zu dokumentieren; starre Wiederholungsintervalle nennt das NISG nicht.

Die Behörde erläutert, dass das NISG 2026 keine eigenen Verwaltungsstrafen gegen Leitungsorgane vorsieht. Sorgfaltswidrige Verletzungen von Leitungspflichten können unter den jeweiligen Voraussetzungen aber Schadenersatzansprüche auslösen. Ob solche Ansprüche D&O-versichert wären, ist eine separate Bedingungsprüfung.

Das österreichische NISG 2026 gilt seit 1. Oktober 2026. Betroffene Einrichtungen müssen die einschlägigen Risiko- und Governance-Anforderungen seit Inkrafttreten erfüllen. Eine generelle Übergangsfrist für sämtliche Sicherheitsmaßnahmen ist in den Behörden-FAQs nicht vorgesehen.

Die Registrierung läuft über die Anwendung „NIS2-Services“ im Unternehmensserviceportal. Achtung bei den Fristen: Die Behörden-FAQ nennt den 31. Dezember 2026; die eigene Registrierungsseite erläutert wegen der Fristenberechnung als spätesten Termin den 4. Jänner 2027. Zur sicheren Planung sollte die Registrierung möglichst noch 2026 abgeschlossen und die jeweils aktuelle Behördeninformation geprüft werden. Nachträglich betroffene Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten registrieren.

§ 32 NISG umfasst unter anderem Risikoanalyse, Behandlung von Sicherheitsvorfällen, Business Continuity und Wiederherstellung, Lieferkettensicherheit, Schwachstellen- und Zugriffsmanagement, Schulungen sowie Wirksamkeitskontrollen. Maßnahmen müssen risikogerecht und nachweisbar umgesetzt werden.

Nicht pauschal. Zertifizierungen können eine wichtige Grundlage sein. Entscheidend sind Geltungsbereich und die gesetzlich geforderten technischen, operativen sowie organisatorischen Maßnahmen. Eine Selbstdeklaration ist zudem keine vollständige unabhängige Prüfung.

Betroffene wesentliche und wichtige Einrichtungen müssen Angaben zum Umsetzungsstand der Risikomanagementmaßnahmen übermitteln. Die FAQ nennt für die erstmalige Selbstdeklaration den 30. September 2027. Eine unabhängige Prüfung kann auf behördliche Aufforderung zusätzlich nötig sein.

Grundsätzlich sind eine Frühwarnung spätestens binnen 24 Stunden und eine ausführlichere Meldung spätestens binnen 72 Stunden nach Kenntnisnahme vorgesehen; danach folgt regelmäßig binnen eines Monats nach der Meldung der Abschlussbericht. Für bestimmte Dienste gelten Sonderfristen. Meldungen laufen über zuständige CSIRTs bzw. NIS2-Services. Unverzügliches Handeln bleibt maßgeblich.

Maßgeblich sind etwa schwere Betriebsstörungen, wesentliche finanzielle Verluste oder erhebliche Schäden für Dritte. Zusätzlich konkretisiert die NISV 2026 die Erheblichkeit. Auch absehbare erhebliche Auswirkungen können bereits eine Meldepflicht auslösen – man muss nicht auf den vollständigen Schadenseintritt warten.

Ein erheblicher Vorfall bei einem Dienstleister kann sowohl für den Dienstleister als auch für den betroffenen Kunden eine eigene Meldepflicht auslösen. Eine österreichische Meldung ersetzt nicht automatisch Pflichten in anderen Mitgliedstaaten. Verantwortlichkeiten und Kontakte deshalb vorab klären.

Ja. Auch nicht erhebliche Vorfälle, Bedrohungen und Beinahe-Vorfälle können freiwillig an das zuständige CSIRT gemeldet werden, teils anonym. Andere Pflichten – zum Beispiel nach der DSGVO – sind unabhängig davon zu prüfen.

Die Behörden-FAQ erläutert, dass die technischen und methodischen Vorgaben der EU-Durchführungsverordnung 2024/2690 über § 2 NISV 2026 auch für weitere wesentliche und wichtige Einrichtungen in Österreich verbindlich gemacht werden. Größe und Risiko bleiben bei der Verhältnismäßigkeit zu berücksichtigen.

Unter den in der NISV vorgesehenen Voraussetzungen, etwa vorübergehender Undurchführbarkeit oder wegen der Größe, können begründete Alternativen zulässig sein. Erforderlich sind eine dokumentierte Risikobewertung, die Begründung sowie eine regelmäßige, mindestens jährliche Wirksamkeitskontrolle. Ein pauschaler Verzicht ist damit nicht gemeint.

Nein. Die vier Risikokategorien der NISV müssen inhaltlich abgedeckt sein. Ein bestehender Risikomanagementrahmen darf beibehalten werden, solange sich die Berücksichtigung der Kategorien nachvollziehbar zeigen lässt.

Wird bei einem Vorfall eine intern definierte Eskalationsstufe erreicht und deshalb Krisenmanagement oder ein Wiederanlaufplan aktiviert, kann nach den neuen NISV-FAQs bereits ein erheblicher, meldepflichtiger Vorfall vorliegen. Die konkrete Einordnung ist unverzüglich zu treffen und zu dokumentieren.

Ja. Wiederholte Vorfälle mit gemeinsamen Ursachen bzw. Auswirkungen können in der Gesamtbetrachtung die Erheblichkeitsschwelle erreichen. Die Behörde nennt beispielsweise wiederholtes Ausnutzen derselben Schwachstelle oder Phishing-Ereignisse innerhalb von sechs Monaten.

Eine pauschale Aussage wäre falsch. Die konkrete Einordnung einer kommunalen Einheit hängt von Rechtsform, Tätigkeit, einschlägigen Sektoren und möglichen Sonderregeln ab; auch Wasserversorgung, Abwasserwirtschaft oder kommunale Unternehmen sind gesondert zu prüfen. Die Verantwortlichkeit in der öffentlichen Verwaltung beurteilt sich nach Organisations- und Dienstrecht.

Nein. Maßgeblich sind Lieferanten, deren Leistungen die kritischen Netz- und Informationssysteme der Einrichtung unterstützen. Neben IT-Diensten kann das beispielsweise Kühlung für einen Serverraum betreffen. Sicherheitsanforderungen und Meldewege sollten vertraglich konkretisiert werden.

Nein. Versicherungsschutz ersetzt weder technische und organisatorische Maßnahmen noch Registrierungs-, Schulungs- oder Meldepflichten. Cyberversicherung kann je nach Bedingungen bei versicherten Krisenkosten und Schäden helfen; D&O- und Strafrechtsschutzfragen sind davon zu trennen und jeweils gesondert zu prüfen.