Network and Information Security Directive (NIS2-RL) - Versionsgeschichte

CT am 23. Januar 2026 um 19:39 Uhr

2026-01-23T19:39:36Z

CT am 23. Januar 2026 um 18:16 Uhr

2026-01-23T18:16:56Z

← Nächstältere Version		Version vom 23. Januar 2026, 18:16 Uhr
Zeile 59:		Zeile 59:
	https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402690</ref> beachtlich.		https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402690</ref> beachtlich.

	<mark>Im Vergleich zum Gesetzesvorschlag aus 2024 enthält das finale NISG 2026 in allen Punkten, welche die Rechte und Pflichten der betroffenen wesentlichen oder wichtigen Einrichtungen regeln, keine wesentlichen Änderungen mehr. Sofern Einrichtungen also bereits auf Basis des Entwurfs aus 2024 Vorbereitungshandlungen gesetzt haben, sind diese auch für die nunmehr final geltende Rechtslage unverändert nützlich. Der folgende Text basiert auf den Regelungsinhalten des Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026, Telekommunikationsgesetz 2021 und Gesundheitstelematikgesetz 2012 (126/BNR)<ref>Bundesgesetz, mit dem das Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026) erlassen wird und das Telekommunikationsgesetz 2021 und das Gesundheitstelematikgesetz 2012 geändert werden.[https://www.parlament.gv.at/dokument/XXVIII/BNR/126/fnameorig_1729726.html 308 der Beilagen XXVIII. GP - Beschluss NR - Gesetzestext]</ref> - im Folgenden '''NISG'''), welches am 23.12.2025 im Bundesgesetzblatt kundgemacht wurde (BGBl. I Nr. 94/2025)<ref>Abrufbar im RIS unter https://www.ris.bka.gv.at/eli/bgbl/I/2025/94</ref>.</mark>		<mark>Im Vergleich zum Gesetzesvorschlag aus 2024 enthält das finale NISG 2026 in allen Punkten, welche die Rechte und Pflichten der betroffenen wesentlichen oder wichtigen Einrichtungen regeln, keine wesentlichen Änderungen mehr. Sofern Einrichtungen also bereits auf Basis des Entwurfs aus 2024 Vorbereitungshandlungen gesetzt haben, sind diese auch für die nunmehr final geltende Rechtslage unverändert nützlich. Der folgende Text basiert auf den Regelungsinhalten des Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026, Telekommunikationsgesetz 2021 und Gesundheitstelematikgesetz 2012 (126/BNR)<ref>Bundesgesetz, mit dem das Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026) erlassen wird und das Telekommunikationsgesetz 2021 und das Gesundheitstelematikgesetz 2012 geändert werden.[https://www.parlament.gv.at/dokument/XXVIII/BNR/126/fnameorig_1729726.html 308 der Beilagen XXVIII. GP - Beschluss NR - Gesetzestext]</ref> - im Folgenden '''NISG'''), welches am 23.12.2025 im Bundesgesetzblatt kundgemacht wurde (BGBl. I Nr. 94/2025)<ref>Abrufbar im RIS unter https://www.ris.bka.gv.at/eli/bgbl/I/2025/94</ref> und am 1.10.2026 in Kraft tritt.</mark>

	<!--T:10-->		<!--T:10-->
Zeile 65:		Zeile 65:

	<!--T:11-->		<!--T:11-->
	Der Nationalrat konnte in einer im Juli 2024 abgehaltenen Sitzung zwar eine einfache Mehrheit für das Umsetzungsgesetz (NISG-E) erreichen, da das Gesetz jedoch Verfassungsbestimmungen enthält, bedarf es einer breiteren Zweidrittelmehrheit welche nicht erreicht werden konnte. Hauptgrund für die Absage der Opposition war die Ansiedelung der nationalen Cybersicherheitsbehörde beim Innenministerium.<ref>https://www.parlament.gv.at/aktuelles/pk/jahr_2024/pk0785</ref> Die Autoren erwarten keine wesentlichen Änderungen der unstrittigen Regelungspunkte in allfälligen Folgeentwürfen weshalb im Folgenden auf den Regelungsinhalten des vorliegenden Entwurfs (Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME)<ref>Bundesgesetz, mit dem ein Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024) erlassen wird und das Telekommunikationsgesetz 2021 und das Gesundheitstelematikgesetz 2012 geändert werden.https://www.parlament.gv.at/dokument/XXVII/ME/326/fname_1621118.pdf</ref> - im Folgenden '''NISG''') aufgebaut wird.		== Anwendungsbereich ==

	~~== Anwendungsbereich ==~~ <!--T:12-->		<!--T:12-->
			=== NIS2-Richtlinie ===

	~~=== NIS2-Richtlinie ===~~ <!--T:13-->		<!--T:13-->
			==== Persönlicher/Sachlicher Anwendungsbereich ====

	~~==== Persönlicher/Sachlicher Anwendungsbereich ====~~ <!--T:14-->		<!--T:14-->
			-

	<!--T:15-->		<!--T:15-->
Zeile 162:		Zeile 165:

	<!--T:43-->		<!--T:43-->
	Regelungsgegenstand des NISG sind gemäß § 2 NISG wesentliche und wichtige Einrichtungen in den definierten Sektoren. Die Sektoren entsprechen denen der NIS2-RL und werden durch die Definition von '''Teilsektoren''' in den Anlagen 1<ref>~~326/ME XXVII. GP - Ministerialentwurf - Anlage_1~~ https://www.parlament.gv.at/dokument/~~XXVII~~/ME/~~326~~/~~fname_1621120~~.pdf</ref> und 2<ref>~~326/ME XXVII. GP - Ministerialentwurf - Anlage_2~~ https://www.parlament.gv.at/dokument/~~XXVII~~/ME/~~326~~/~~fname_1621121~~.pdf</ref> zum NISG ergänzt.		Regelungsgegenstand des NISG sind gemäß § 2 NISG wesentliche und wichtige Einrichtungen in den definierten Sektoren. Die Sektoren entsprechen denen der NIS2-RL und werden durch die Definition von '''Teilsektoren''' in den Anlagen 1<ref>https://www.parlament.gv.at/dokument/XXVIII/I/308/imfname_1723249.pdf</ref> und 2<ref>https://www.parlament.gv.at/dokument/XXVIII/I/308/imfname_1723250.pdf</ref> zum NISG ergänzt.

	<!--T:44-->		<!--T:44-->
	Eine "'''Einrichtung'''" iSd NISG ist gemäß § 3 ~~Abs~~ 10 NISG "eine natürliche Person oder nach dem an ihrem Sitz geltenden nationalen Recht geschaffene und anerkannte juristische Person oder eingetragene Personengesellschaft, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann".		Eine "'''Einrichtung'''" iSd NISG ist gemäß § 3 <mark>Z</mark> 10 NISG "eine natürliche Person oder nach dem an ihrem Sitz geltenden nationalen Recht geschaffene und anerkannte juristische Person oder eingetragene Personengesellschaft, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann".

	<!--T:45-->		<!--T:45-->
Zeile 175:		Zeile 178:
	[[Datei:Nis ii wesentliche einrichtungen ri.png\|mini\|Wesentliche Einrichtungen - CC BY 4.0]][[Special:MyLanguage/Großes oder mittleres Unternehmen iSd NISG\|<translate><!--T:47--> Große oder mittlere Unternehmen</translate>]]		[[Datei:Nis ii wesentliche einrichtungen ri.png\|mini\|Wesentliche Einrichtungen - CC BY 4.0]][[Special:MyLanguage/Großes oder mittleres Unternehmen iSd NISG\|<translate><!--T:47--> Große oder mittlere Unternehmen</translate>]]
	<translate><!--T:48-->		<translate><!--T:48-->
	, die in den in den Anlagen 1 und 2 NISG genannten Sektoren tätig sind, gelten jedenfalls als wichtige Einrichtungen im Sinne des § 42 Abs 2 NISG.		, die in den in den Anlagen 1 und 2 NISG genannten Sektoren tätig sind, gelten jedenfalls als wichtige Einrichtungen im Sinne des § 24 Abs 2 NISG.

	<!--T:49-->		<!--T:49-->
Zeile 181:		Zeile 184:

	<!--T:50-->		<!--T:50-->
	Von der Möglichkeit, bei der Umsetzung der NIS2-RL die bisherigen „Betreiber wesentlicher Dienste“ pauschal als wesentliche Einrichtungen einzustufen, oder Gemeinden und Bildungseinrichtungen in den Anwendungsbereich aufzunehmen, wurde abgesehen.<ref>ErlRV ~~326/ME XXVII~~. GP https://www.parlament.gv.at/dokument/~~XXVII~~/ME/~~326~~/~~fname_1621119~~.pdf</ref>		Von der Möglichkeit, bei der Umsetzung der NIS2-RL die bisherigen „Betreiber wesentlicher Dienste“ pauschal als wesentliche Einrichtungen einzustufen, oder Gemeinden und Bildungseinrichtungen in den Anwendungsbereich aufzunehmen, wurde abgesehen.<ref>ErlRV 308 d.B. XXVIII. GP https://www.parlament.gv.at/dokument/XXVIII/I/308/fname_1723246.pdf</ref>

	====== Größenunabhängiger Anwendungsbereich ====== <!--T:51-->		====== Größenunabhängiger Anwendungsbereich ====== <!--T:51-->

	<!--T:52-->		<!--T:52-->
	Unabhängig von der Größe der Einrichtung gelten gemäß § 24 Abs 1 Z 1 NISG qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe (TLD Namenregister), Domänennamensystem-Diensteanbieter, Einrichtungen im Sektor der öffentlichen Verwaltung auf Bundesebene, Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs 1) sowie Einrichtungen, die als kritische Einrichtungen iSd Richtlinie (EU) 2022/2557 ([[Special:MyLanguage/Critical Entities‘ Resilience Directive (CER)\|CER-RL]]) ermittelt wurden gelten als wesentliche Einrichtungen.		Unabhängig von der Größe der Einrichtung gelten gemäß § 24 Abs 1 Z 1 NISG qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe (TLD Namenregister), Domänennamensystem-Diensteanbieter, Einrichtungen im Sektor der öffentlichen Verwaltung auf Bundesebene, Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs 1 NISG) sowie Einrichtungen, die als kritische Einrichtungen iSd Richtlinie (EU) 2022/2557 ([[Special:MyLanguage/Critical Entities‘ Resilience Directive (CER)\|CER-RL]]) ermittelt wurden, gelten als wesentliche Einrichtungen.

	<!--T:53-->		<!--T:53-->
	Darüber hinaus fallen öffentliche Stellen unter die in § 25 Abs 3 NISG genannten Kriterien. Vereinfacht ~~ausgedrückt~~ sind dies Bundes- und Landeseinrichtungen ohne gewerblichen Auftrag, deren Entscheidungen individuelle Rechte im grenzüberschreitenden Verkehr berühren.		Darüber hinaus <mark>fallen öffentliche Stellen unter die wesentlichen Einrichtungen, wenn sie die in § 24 Abs 3 NISG genannten Kriterien erfüllen</mark>. Vereinfacht <mark>zusammengefasst</mark> sind dies Bundes- und Landeseinrichtungen ohne gewerblichen Auftrag, deren Entscheidungen individuelle Rechte im grenzüberschreitenden Verkehr berühren.

	====== Ausnahmen ====== <!--T:54-->		====== Ausnahmen ====== <!--T:54-->

	<!--T:55-->		<!--T:55-->
	Einrichtungen welche aufgrund sektorspezifischer unionsrechtlicher Rechtsakte verpflichtet sind, entweder eigene Risikomanagementmaßnahmen zu ergreifen oder erhebliche Cybersicherheitsvorfälle zu melden, hiernach zumindest ein gleichwertiges Cybersicherheitsniveau gewährleisten müssen, und die Gleichwertigkeit per Verordnung festgestellt wurde (§ 27 NISG). Das könnte etwa auf Einrichtungen zutreffen welche der [[Special:MyLanguage/Digital Operational Resilienec Act (DORA)\|DORA]] unterworfen sind.		Einrichtungen welche aufgrund sektorspezifischer unionsrechtlicher Rechtsakte verpflichtet sind, entweder eigene Risikomanagementmaßnahmen zu ergreifen oder erhebliche Cybersicherheitsvorfälle zu melden, hiernach zumindest ein gleichwertiges Cybersicherheitsniveau gewährleisten müssen, und die Gleichwertigkeit per Verordnung festgestellt wurde (§ 27 NISG). Das könnte etwa auf Einrichtungen zutreffen welche der [[Special:MyLanguage/Digital Operational Resilienec Act (DORA)\|DORA]] unterworfen sind.

	<!--T:56-->		<!--T:56-->
	Einrichtungen im Sektor der öffentlichen Verwaltung, deren ~~Tätigkeiten~~ überwiegend ~~in den Bereichen~~ nationale Sicherheit, öffentliche Sicherheit~~, militärische Landesverteidigung~~ oder Strafverfolgung ~~ausgeübt werden~~ sowie Einrichtungen des Universitäts-, Hochschul- und Schulwesens, Einrichtungen der Gerichtsbarkeit, Einrichtungen der Gesetzgebung, einschließlich der Parlamentsdirektion sowie ~~der~~ Österreichische Nationalbank gelten nicht als wesentliche oder wichtige Einrichtungen (§ 24 Abs 6 NISG).		<mark>Einrichtungen im Sektor der öffentlichen Verwaltung, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen, sowie Einrichtungen des Universitäts-, Hochschul- und Schulwesens, Einrichtungen der Gerichtsbarkeit einschließlich der kollegialen und monokratischen Justizverwaltung, Einrichtungen der Gesetzgebung einschließlich der Parlamentsdirektion, sowie die Österreichische Nationalbank, gelten nicht als wesentliche oder wichtige Einrichtungen (§ 24 Abs 6 NISG).</mark>

	====== Abgrenzungen ====== <!--T:57-->		====== Abgrenzungen ====== <!--T:57-->
Zeile 218:		Zeile 221:

	<!--T:64-->		<!--T:64-->
	Die NIS2-RL ~~ist zum aktuellen Bearbeitungszeitpunkt noch nicht~~ in nationales österreichisches Recht umgesetzt ~~worden~~.		<mark>Die NIS2-RL wurde mit einiger Verspätung durch Kundmachung in Bundesgesetzblatt am 23.12.2025 in nationales österreichisches Recht umgesetzt. Ab dem 01.10.2026 tritt das Gesetz gemäß§ 51 NISG in Kraft. Wesentliche und wichtige Einrichtungen haben in der Folge 3 Monate (also bis 31.12.2026) Zeit, sich bei der Cybersicherheitsbehörde auf elektronischem Weg zu registrieren (§ 29 NISG). Außerdem müssen wesentliche und wichtige Einrichtungen gemäß § 33 NISG innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht, also bis spätestens 31.12.2027, der Cybersicherheitsbehörde Informationen hinsichtlich umgesetzter Risikomanagementmaßnahmen (§ 32 NISG), insbesondere betreffend die genutzten Netz- und Informationssysteme und die Sicherheit der Lieferketten sowie die Ergebnisse der durchgeführten Risikoanalyse, nach den Vorgaben der Cybersicherheitsbehörde in strukturierter Form übermitteln (Selbstdeklaration).</mark>

	== Zentrale Inhalte == <!--T:65-->		== Zentrale Inhalte == <!--T:65-->

CT am 23. Januar 2026 um 13:48 Uhr

2026-01-23T13:48:27Z

← Nächstältere Version		Version vom 23. Januar 2026, 13:48 Uhr
Zeile 153:		Zeile 153:
	Einrichtungen, die in der EU ansässig sind oder ihre Dienste in der EU erbringen (Art 2 NIS2-RL).		Einrichtungen, die in der EU ansässig sind oder ihre Dienste in der EU erbringen (Art 2 NIS2-RL).

	=== ~~Nationaler Umsetzungsentwurf~~ (NISG) === <!--T:40-->		=== <mark>Nationale Umsetzung (NISG)</mark> === <!--T:40-->

	</translate>		</translate>

CT am 23. Januar 2026 um 13:44 Uhr

2026-01-23T13:44:05Z

← Nächstältere Version		Version vom 23. Januar 2026, 13:44 Uhr
Zeile 51:		Zeile 51:

	<!--T:7-->		<!--T:7-->
	Bereits durch die erste NIS-RL und deren nationale Umsetzung im NISG wurden bestimmte Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet. Mit der Nachfolgeregelung, der NIS2-RL, wird der '''Anwendungsbereich''' deutlich erweitert, um auch große Teile der bisher nicht erfassten Unternehmen zu bedarfsgerechten Sicherheitsmaßnahmen zu verpflichten. Darüber hinaus werden insbesondere konkrete Vorgaben für ein '''Meldesystem''' bei Sicherheitsvorfällen gemacht und neue '''Haftungstatbestände''' geschaffen. Die NIS-RL wurde in Österreich im Netz- und Informationssystemsicherheitsgesetz (kurz: „NISG“) umgesetzt. <mark>Die Frist zur nationalen Umsetzung der NIS2-RL (17. Oktober 2024) wurde von Österreich nicht eingehalten. Ein erster Gesetzesentwurf (NISG 2024) fand im Juli 2024 im Nationalrat nicht die erforderliche Zweidrittelmehrheit, da er Verfassungsbestimmungen enthielt. Als Konsequenz der Verzögerung hat die Europäische Kommission ein Vertragsverletzungsverfahren gegen Österreich eingeleitet. Die Novellierung des NISG zur Umsetzung der NIS2-RL ist weiterhin im parlamentarischen Prozess und wird voraussichtlich 2026 in Kraft treten und anwendbar sein. Der Artikel baut im Folgenden auf dem zuletzt diskutierten Entwurf des NISG 2024 auf. Es ist zu beachten, dass sich die nationalen Regelungen im finalen Gesetzgebungsverfahren noch ändern können.<ref>Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME)		Bereits durch die erste NIS-RL und deren nationale Umsetzung im NISG wurden bestimmte Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet. Mit der Nachfolgeregelung, der NIS2-RL, wird der '''Anwendungsbereich''' deutlich erweitert, um auch große Teile der bisher nicht erfassten Unternehmen zu bedarfsgerechten Sicherheitsmaßnahmen zu verpflichten. Darüber hinaus werden insbesondere konkrete Vorgaben für ein '''Meldesystem''' bei Sicherheitsvorfällen gemacht und neue '''Haftungstatbestände''' geschaffen. Die NIS-RL wurde in Österreich im Netz- und Informationssystemsicherheitsgesetz (kurz: „NISG“) umgesetzt. <mark>Die Frist zur nationalen Umsetzung der NIS2-RL (17. Oktober 2024) wurde von Österreich nicht eingehalten. Ein erster Gesetzesentwurf (NISG 2024).<ref>Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME)

	<!--T:8-->		<!--T:8-->
	https://www.parlament.gv.at/gegenstand/XXVII/ME/326</ref></mark> Daneben ist die Durchführungsverordnung (EU) 2024/2690<ref>Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter als erheblich gilt.		https://www.parlament.gv.at/gegenstand/XXVII/ME/326</ref> fand im Juli 2024 im Nationalrat nicht die erforderliche Zweidrittelmehrheit, da er Verfassungsbestimmungen enthielt. Hauptgrund für die Absage der Opposition war die Ansiedelung der nationalen Cybersicherheitsbehörde beim Innenministerium.<ref>https://www.parlament.gv.at/aktuelles/pk/jahr_2024/pk0785</ref> Als Konsequenz der Verzögerung hat die Europäische Kommission ein Vertragsverletzungsverfahren gegen Österreich eingeleitet. Die Novellierung des NISG zur Umsetzung der NIS2-RL erfolgte nach weiteren Verhandlungen mit der erforderlichen Zweidrittelmehrheit durch Beschluss des Nationalrats im Dezember 2025 (NISG 2026)<ref>Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026, Telekommunikationsgesetz 2021 und Gesundheitstelematikgesetz 2012 (126/BNR) \| Parlament Österreich, https://www.parlament.gv.at/gegenstand/XXVIII/BNR/126</ref></mark> Daneben ist die Durchführungsverordnung (EU) 2024/2690<ref>Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter als erheblich gilt.

	<!--T:9-->		<!--T:9-->
	https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402690</ref> beachtlich.		https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402690</ref> beachtlich.

			<mark>Im Vergleich zum Gesetzesvorschlag aus 2024 enthält das finale NISG 2026 in allen Punkten, welche die Rechte und Pflichten der betroffenen wesentlichen oder wichtigen Einrichtungen regeln, keine wesentlichen Änderungen mehr. Sofern Einrichtungen also bereits auf Basis des Entwurfs aus 2024 Vorbereitungshandlungen gesetzt haben, sind diese auch für die nunmehr final geltende Rechtslage unverändert nützlich. Der folgende Text basiert auf den Regelungsinhalten des Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026, Telekommunikationsgesetz 2021 und Gesundheitstelematikgesetz 2012 (126/BNR)<ref>Bundesgesetz, mit dem das Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026) erlassen wird und das Telekommunikationsgesetz 2021 und das Gesundheitstelematikgesetz 2012 geändert werden.[https://www.parlament.gv.at/dokument/XXVIII/BNR/126/fnameorig_1729726.html 308 der Beilagen XXVIII. GP - Beschluss NR - Gesetzestext]</ref> - im Folgenden '''NISG'''), welches am 23.12.2025 im Bundesgesetzblatt kundgemacht wurde (BGBl. I Nr. 94/2025)<ref>Abrufbar im RIS unter https://www.ris.bka.gv.at/eli/bgbl/I/2025/94</ref>.</mark>

	<!--T:10-->		<!--T:10-->

Jhospes am 27. November 2025 um 22:15 Uhr

2025-11-27T22:15:06Z

Änderungen zeigen

Jhospes am 20. Oktober 2025 um 15:18 Uhr

2025-10-20T15:18:22Z

@@ Zeile 307: / Zeile 307: @@
 Einrichtungen können verpflichtet werden, der Cybersicherheitsbehörde eine Liste der implementierten Risikomanagementmaßnahmen zu übermitteln. Einrichtungen können verpflichtet werden, eine Prüfung durch eine unabhängige Stelle nachzuweisen, deren Prüfbericht durch ein Leitungsorgan zu zeichnen ist. Für wichtige Einrichtungengilt dies nur unter bestimmten Voraussetzungen (§ 33 NISG).
 Die Richtlinie (EU) 2022/2555 (NIS2-RL) wird durch die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 in zwei Schlüsselbereichen präzisiert:
-. Technische und methodische Anforderungen an das Risikomanagement
+===== Technische und methodische Anforderungen an das Risikomanagement =====
 Die Verordnung legt detaillierte technische und methodische Mindestanforderungen für die Cybersicherheits-Risikomanagementmaßnahmen (Art. 21 Abs. 2 NIS2-RL) fest, die von den betroffenen Einrichtungen umzusetzen sind. Diese Konkretisierung ist wesentlich, um einen gemeinsamen hohen Sicherheitsstandard in der gesamten Union zu gewährleisten.
@@ Zeile 322: / Zeile 323: @@
 Schutz des Umfelds und der physischen Sicherheit (z. B. gegen Bedrohungen des Umfelds).
-. Präzisierung der "Erheblichkeit" von Sicherheitsvorfällen
+===== Präzisierung der "Erheblichkeit" von Sicherheitsvorfällen =====
 Ein weiterer Schwerpunkt liegt in der Präzisierung der Kriterien, wann ein Sicherheitsvorfall als "erheblich" im Sinne der NIS2-RL gilt, was die Meldepflicht (Art. 23 NIS2-RL) auslöst.
 Diese Konkretisierung gilt sektorspezifisch, insbesondere für folgende Einrichtungen im Sektor Digitale Infrastruktur/Dienste:
 DNS-Diensteanbieter
@@ Zeile 579: / Zeile 580: @@
 <!--T:165-->
 Die Risikomanagementanforderungen der DSGVO und NIS2-RL überschneiden sich in Bezug auf die Notwendigkeit, Risiken zu bewerten und angemessene Schutzmaßnahmen zu implementieren, insbesondere wenn personenbezogene Daten durch Sicherheitsvorfälle oder Cyberangriffe bedroht sind. Unternehmen, die sowohl unter die DSGVO als auch unter NIS2 fallen, müssen ihre Risikomanagementstrategien so gestalten, dass sie beiden Regelwerken gerecht werden. Während die DSGVO den Schutz von personenbezogenen Daten betont, legt NIS2 den Fokus auf die Resilienz der IT-Systeme und die allgemeine Cybersicherheit. Dennoch ist eine Schnittmenge der Risiken in beiden Bereichen einschlägig. So ist es zu prüfen, ob in einem Bereich erhobene Risiken auch im anderen Bereich relevant sein können.
 == Sanktionen == <!--T:166-->

Jhospes am 20. Oktober 2025 um 15:09 Uhr

2025-10-20T15:09:53Z

@@ Zeile 54: / Zeile 54: @@
 <!--T:8-->
-https://www.parlament.gv.at/gegenstand/XXVII/ME/326</ref> novelliert wird. Daneben ist die Durchführungsverordnung (EU) 2024/2690<ref>Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter als erheblich gilt.
+https://www.parlament.gv.at/gegenstand/XXVII/ME/326</ref> Daneben ist die Durchführungsverordnung (EU) 2024/2690<ref>Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter als erheblich gilt.
 <!--T:9-->
@@ Zeile 306: / Zeile 306: @@
 <!--T:88-->
 Einrichtungen können verpflichtet werden, der Cybersicherheitsbehörde eine Liste der implementierten Risikomanagementmaßnahmen zu übermitteln. Einrichtungen können verpflichtet werden, eine Prüfung durch eine unabhängige Stelle nachzuweisen, deren Prüfbericht durch ein Leitungsorgan zu zeichnen ist. Für wichtige Einrichtungengilt dies nur unter bestimmten Voraussetzungen (§ 33 NISG).
 === Governance-Verpflichtung und Haftung der Leitungsorgane === <!--T:89-->

Jhospes am 20. Oktober 2025 um 15:07 Uhr

2025-10-20T15:07:12Z

← Nächstältere Version		Version vom 20. Oktober 2025, 15:07 Uhr
Zeile 51:		Zeile 51:

	<!--T:7-->		<!--T:7-->
	Bereits durch die erste NIS-RL und deren nationale Umsetzung im NISG wurden bestimmte Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet. Mit der Nachfolgeregelung, der NIS2-RL, wird der '''Anwendungsbereich''' deutlich erweitert, um auch große Teile der bisher nicht erfassten Unternehmen zu bedarfsgerechten Sicherheitsmaßnahmen zu verpflichten. Darüber hinaus werden insbesondere konkrete Vorgaben für ein '''Meldesystem''' bei Sicherheitsvorfällen gemacht und neue '''Haftungstatbestände''' geschaffen. Die NIS-RL wurde in Österreich im Netz- und Informationssystemsicherheitsgesetz (kurz: „NISG“) umgesetzt~~, das derzeit~~ (~~Stand:~~ Oktober 2024) zur Umsetzung der NIS2<ref>Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME)		Bereits durch die erste NIS-RL und deren nationale Umsetzung im NISG wurden bestimmte Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet. Mit der Nachfolgeregelung, der NIS2-RL, wird der '''Anwendungsbereich''' deutlich erweitert, um auch große Teile der bisher nicht erfassten Unternehmen zu bedarfsgerechten Sicherheitsmaßnahmen zu verpflichten. Darüber hinaus werden insbesondere konkrete Vorgaben für ein '''Meldesystem''' bei Sicherheitsvorfällen gemacht und neue '''Haftungstatbestände''' geschaffen. Die NIS-RL wurde in Österreich im Netz- und Informationssystemsicherheitsgesetz (kurz: „NISG“) umgesetzt. Die Frist zur nationalen Umsetzung der NIS2-RL (17. Oktober 2024) wurde von Österreich nicht eingehalten. Ein erster Gesetzesentwurf (NISG 2024) fand im Juli 2024 im Nationalrat nicht die erforderliche Zweidrittelmehrheit, da er Verfassungsbestimmungen enthielt. Als Konsequenz der Verzögerung hat die Europäische Kommission ein Vertragsverletzungsverfahren gegen Österreich eingeleitet. Die Novellierung des NISG zur Umsetzung der NIS2-RL ist weiterhin im parlamentarischen Prozess und wird voraussichtlich 2026 in Kraft treten und anwendbar sein. Der Artikel baut im Folgenden auf dem zuletzt diskutierten Entwurf des NISG 2024 auf. Es ist zu beachten, dass sich die nationalen Regelungen im finalen Gesetzgebungsverfahren noch ändern können.<ref>Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME)

	<!--T:8-->		<!--T:8-->

Jhospes: Diese Seite wurde zum Übersetzen freigegeben

2025-06-03T10:32:43Z

Diese Seite wurde zum Übersetzen freigegeben

Änderungen zeigen

Jhospes: Bereitete die Seite zur Übersetzung vor

2025-06-03T08:03:40Z

Bereitete die Seite zur Übersetzung vor

Änderungen zeigen