Zum Inhalt springen

Wissen

Gesetze & Regulierung

Übersicht der relevanten EU-Richtlinien, EU-Verordnungen und nationalen Umsetzungen — mit Kurzbeschreibung, Anwendungsbereich und Quellen.

Zuletzt aktualisiert:

Diese Seite hält die für österreichische und deutsche Unternehmen wichtigsten Cybersecurity- und Datenschutz-Rechtsakte kompakt zusammen. Pro Eintrag finden sich der Anwendungsbereich, die wesentlichen Pflichten, der Strafrahmen und ein Link zur offiziellen Quelle.

Die Übersicht ersetzt keine Rechtsberatung. Sie soll Geschäftsführung und IT-Verantwortlichen helfen, das jeweils einschlägige Regelwerk schnell einzuordnen.

Zwei Spielarten von Cybersecurity-Regulierung

EU-Cybersecurity-Recht tritt in zwei Formen auf. Wer diese unterscheidet, ordnet jeden neuen Rechtsakt schneller ein und erkennt eine Mehrfach-Betroffenheit früher.

  • Dedizierte Cybersecurity-Regelwerke haben Informationssicherheit als Hauptgegenstand: NIS2 und die NIS2-Durchführungsverordnung für Betreiber, DORA für den Finanzsektor, der Cyber Resilience Act für Produkte mit digitalen Elementen, der EU Cybersecurity Act für die Zertifizierung.
  • Nachbar-Regelwerke verfolgen ein anderes Hauptziel — Produkt-, Maschinen- oder Funksicherheit, Künstliche Intelligenz — und ziehen Cybersecurity als zusätzliches Schutzziel ein. Die Maschinenverordnung fordert Schutz vor Manipulation, die Funkanlagen-Richtlinie (RED) Netz- und Datenschutz für vernetzte Geräte, der AI Act Robustheit von KI-Systemen gegen Angriffe.

In der Praxis ist ein Produkt oder Betrieb oft von beiden Gruppen zugleich betroffen — von einem dedizierten Regelwerk und einem oder mehreren Nachbar-Regelwerken. Die Einträge der zweiten Gruppe sind unten mit „Cybersecurity in einem Nachbar-Regelwerk” gekennzeichnet.

EU-Richtlinien

NIS2-Richtlinie — (EU) 2022/2555

Die zentrale Cybersicherheits-Richtlinie der EU. Sie ersetzt die ursprüngliche NIS-Richtlinie aus 2016 und erweitert den Anwendungsbereich auf 18 Sektoren und mehrere zehntausend zusätzlich verpflichtete Unternehmen.

  • Anwendungsbereich: „Wesentliche” und „wichtige” Einrichtungen ab 50 Mitarbeitenden bzw. 10 Mio. EUR Jahresumsatz in den gelisteten Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, Industrie, öffentliche Verwaltung).
  • Kernpflichten: Risikomanagement nach Art. 21 (zehn Mindestmaßnahmen), Meldepflichten nach Art. 23 (24h-Frühwarnung, 72h-Erstmeldung, 1-Monat-Abschlussbericht), persönliche Verantwortung der Leitungsorgane.
  • Strafrahmen: Art. 34 verpflichtet die Mitgliedstaaten zu einem Höchstrahmen von wenigstens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen) — maßgeblich ist jeweils der höhere Wert.
  • Umsetzungsfrist: 17. Oktober 2024.
  • Im Verfahren: Die Kommission hat am 20. Jänner 2026 eine gezielte Änderung der Richtlinie vorgeschlagen — Details im Eintrag zum EU Cybersecurity Act weiter unten. Geltendes Recht bleibt bis auf Weiteres die Fassung von 2022.
  • Quelle: NIS2-Richtlinie auf EUR-Lex ansehen

CER-Richtlinie — (EU) 2022/2557

Die Critical Entities Resilience-Richtlinie regelt die physische Resilienz kritischer Einrichtungen — Komplementärstück zur NIS2 (digitale Resilienz). Setzt frühere ECI-Richtlinie (2008/114/EG) ab. National in Österreich als RKEG umgesetzt, in Deutschland im Rahmen des KRITIS-Dachgesetzes.

  • Anwendungsbereich: Elf Sektoren — u. a. Energie, Verkehr, Banken, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel.
  • Kernpflichten: Resilienzmaßnahmen gegen physische Bedrohungen (Sabotage, Naturereignisse, Terror, Insider), Meldepflicht für Vorfälle, Hintergrundprüfungen für sensitive Positionen.
  • Umsetzungsfrist: 17. Oktober 2024 (nationale Umsetzung läuft).
  • Quelle: CER-Richtlinie auf EUR-Lex ansehen

CSDDD (Lieferkettengesetz) — (EU) 2024/1760

Die Corporate Sustainability Due Diligence Directive verpflichtet große Unternehmen, Menschenrechts- und Umweltrisiken in der gesamten Wertschöpfungskette zu identifizieren und Gegenmaßnahmen zu ergreifen.

  • Anwendungsbereich: deutlich enger als ursprünglich beschlossen. Die Omnibus-Änderungsrichtlinie (EU) 2026/470 hebt die Schwelle auf 5.000 Beschäftigte und 1,5 Mrd. EUR weltweiten Nettoumsatz an; zuvor lagen sie bei 1.000 Beschäftigten und 450 Mio. EUR.
  • Fristen: Umsetzung in nationales Recht bis 26. Juli 2028, Pflichten für die betroffenen Unternehmen ab 26. Juli 2029. Sanktionen sind mit 3 % des weltweiten Nettoumsatzes gedeckelt.
  • Cybersecurity-Bezug: indirekt — Datenschutz und IKT-Sicherheit in Lieferketten werden als Teil der Sorgfaltspflichten relevant; überschneidet sich mit DORA-Drittparteien-Vorgaben und NIS2-Lieferkettenpflichten.
  • Quellen: CSDDD auf EUR-Lex ansehen · Änderungsrichtlinie (EU) 2026/470 auf EUR-Lex ansehen

CSRD — (EU) 2022/2464

Die Corporate Sustainability Reporting Directive erweitert die Berichtspflicht börsennotierter und großer Unternehmen um detaillierte Nachhaltigkeitsinformationen nach den ESRS-Standards.

  • Anwendungsbereich: ebenfalls durch die Omnibus-Änderungsrichtlinie (EU) 2026/470 zurückgeschnitten (Amtsblatt 26. Februar 2026, in Kraft seit 18. März 2026). Berichtspflichtig sind nur noch Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. EUR Nettoumsatz — beide Kriterien zusammen. Für die neu zugeschnittene Gruppe beginnt die Pflicht mit dem Geschäftsjahr 2027, der erste Bericht erscheint 2028.
  • Cybersecurity-Bezug: indirekt — Cyber-Risiken fallen unter den Governance-Standard ESRS G1 (Unternehmensführung und Geschäftsgebaren), den einzigen G-Standard des ESRS-Sets; Berichtspflichten zu IT-Risiken und Datenschutz-Vorfällen werden in der Praxis aus DSGVO und NIS2 abgeleitet.
  • Quellen: CSRD auf EUR-Lex ansehen · Änderungsrichtlinie (EU) 2026/470 auf EUR-Lex ansehen

RED — Funkanlagen-Richtlinie 2014/53/EU + Delegierte Verordnung (EU) 2022/30

Cybersecurity in einem Nachbar-Regelwerk. Die Funkanlagen-Richtlinie (Radio Equipment Directive) regelt das Inverkehrbringen von Funkanlagen. Die Delegierte Verordnung (EU) 2022/30 aktiviert für internetfähige Funkanlagen erstmals verpflichtende Cybersecurity-Anforderungen.

  • Anwendungsbereich: Hersteller, Importeure und Händler von Funkanlagen, die mit dem Internet kommunizieren können (u. a. IoT-Geräte, Smartphones, Wearables, vernetztes Spielzeug) sowie Geräte, die personenbezogene Daten oder Zahlungsdaten verarbeiten.
  • Cybersecurity-Bezug: Artikel 3 Abs. 3 — (d) Schutz des Netzes vor Beeinträchtigung, (e) Schutz personenbezogener Daten und der Privatsphäre, (f) Schutz vor Betrug. Die Konformität wird über die harmonisierten Normen der EN-18031-Reihe (Teile 1 bis 3) vermutet. Überschneidet sich inhaltlich mit dem CRA.
  • Anwendbar seit: 1. August 2025 (ursprünglich 1. August 2024, durch Delegierte Verordnung (EU) 2023/2444 um ein Jahr verschoben, weil die harmonisierten Normen noch nicht vorlagen).
  • Quelle: Delegierte Verordnung (EU) 2022/30 auf EUR-Lex ansehen

Seveso III — Richtlinie 2012/18/EU

Regelt die Beherrschung der Gefahren bei schweren Unfällen mit gefährlichen Stoffen (Störfallbetriebe). Seveso III nennt Cybersecurity nicht ausdrücklich. Das geforderte Sicherheitsmanagement muss cyber-induzierte Störfall-Auslöser — etwa Angriffe auf Leit- und Sicherheitstechnik (OT) — jedoch als Gefahrenquelle erfassen.

  • Anwendungsbereich: Betriebe der unteren und oberen Klasse, die gefährliche Stoffe über bestimmten Mengenschwellen lagern oder verwenden (Chemie, Lager- und Prozessindustrie).
  • Cybersecurity-Bezug: indirekt — die Resilienz sicherheitskritischer OT- und Leitsysteme ist Voraussetzung dafür, cyber-ausgelöste schwere Unfälle zu verhindern; überschneidet sich operativ mit den NIS2-Pflichten betroffener Industriebetriebe.
  • Anwendbar seit: 1. Juni 2015 (löst die Seveso-II-Richtlinie 96/82/EG ab).
  • Nationale Umsetzung (AT): gewerberechtliche Störfall-Bestimmungen der Gewerbeordnung 1994 (Seveso-III-Novelle BGBl I Nr. 81/2015) und Industrieunfallverordnung 2015 (BGBl II Nr. 229/2015).
  • Quelle: Seveso-III-Richtlinie auf EUR-Lex ansehen

DSGVO — Verordnung (EU) 2016/679

Auch wenn die DSGVO formal eine Verordnung ist, wird sie wegen ihrer prägenden Rolle für Sicherheitsvorfälle hier mitgeführt. Art. 32 verlangt „geeignete technische und organisatorische Maßnahmen” — die meisten NIS2-Pflichten sind hier bereits dem Geist nach angelegt.

  • Relevante Artikel für Cybersecurity: Art. 32 (Sicherheit der Verarbeitung), Art. 33 (Meldepflicht binnen 72h), Art. 34 (Benachrichtigung Betroffener), Art. 35 (Datenschutz-Folgenabschätzung).
  • Strafrahmen: bis 20 Mio. EUR oder 4 % Weltumsatz.
  • Quelle: DSGVO-Volltext auf EUR-Lex ansehen

EU-Verordnungen

NIS2-Durchführungsverordnung — (EU) 2024/2690

Konkretisiert die zehn Mindestmaßnahmen aus Art. 21 NIS2 für bestimmte Sektoren mit hoher Digitalisierungsdichte (u. a. DNS-Diensteanbieter, Cloud-Anbieter, Rechenzentren, Online-Marktplätze, Anbieter elektronischer Kommunikationsdienste).

EU Cybersecurity Act — (EU) 2019/881

Etabliert das Mandat der ENISA als ständige EU-Cybersicherheitsagentur und schafft den Rahmen für EU-weite Cybersecurity-Zertifizierungen (Schemata wie EUCC für Common-Criteria-Produkte, EUCS für Cloud-Dienste).

  • Anwendungsbereich: Hersteller, Diensteanbieter und Konformitätsbewertungsstellen, die freiwillige EU-Cybersecurity-Zertifizierungen anstreben oder anbieten.
  • Bedeutung: Bildet die rechtliche Grundlage für die zukünftig im CRA verpflichtenden Konformitätsbewertungen; schafft einen EU-Binnenmarkt für vertrauenswürdige IKT-Produkte.
  • Anwendbar seit: 27. Juni 2019.
  • Im Verfahren: Die Kommission hat am 20. Jänner 2026 einen Vorschlag vorgelegt, der diese Verordnung ablösen soll („Cybersecurity Act 2”), zusammen mit einem Vorschlag zur gezielten Änderung der NIS2-Richtlinie. Vorgesehen sind unter anderem eine operative statt beratende Rolle der ENISA, eine zentrale Meldeplattform, vereinfachte Zuständigkeitsregeln für grenzüberschreitend tätige Einrichtungen und ausführlichere Ransomware-Meldedaten. Beide Vorschläge sind noch nicht beschlossen.
  • Quelle: EU Cybersecurity Act auf EUR-Lex ansehen

eIDAS / eIDAS 2.0 — Verordnung (EU) 910/2014, geändert durch (EU) 2024/1183

Schafft den EU-Rechtsrahmen für elektronische Identifizierung und Vertrauensdienste (elektronische Signaturen und Siegel, Zeitstempel, Einschreiben, Website-Zertifikate). Die Novelle (EU) 2024/1183 („eIDAS 2.0”) führt die EU Digital Identity Wallet (EUDI-Wallet) ein.

  • Anwendungsbereich: qualifizierte und nicht-qualifizierte Vertrauensdiensteanbieter, öffentliche Stellen mit eID-Schemata sowie künftig Anbieter und Nutzer der EUDI-Wallet.
  • Cybersecurity-Bezug: Vertrauensdiensteanbieter müssen geeignete technische und organisatorische Sicherheitsmaßnahmen treffen und erhebliche Sicherheitsvorfälle binnen 24 Stunden an die Aufsichtsstelle melden; für die EUDI-Wallet gelten erhöhte Anforderungen an Sicherheit und Zertifizierung.
  • Anwendbar: eIDAS seit 1. Juli 2016; eIDAS 2.0 in Kraft seit 20. Mai 2024. Die Mitgliedstaaten müssen bis 31. Dezember 2026 mindestens eine EUDI-Wallet bereitstellen; private Unternehmen trifft die Pflicht, die Wallet zur Anmeldung zu akzeptieren, ab 31. Dezember 2027.
  • Quelle: eIDAS-Änderungsverordnung (EU) 2024/1183 auf EUR-Lex ansehen

DORA — Digital Operational Resilience Act, (EU) 2022/2554

Eigene Cybersicherheits-Regulierung für den Finanzsektor. DORA ist gegenüber NIS2 sektorspezifisch und damit lex specialis für Banken, Versicherungen, Wertpapierfirmen, Krypto-Dienstleister, Zahlungsdienstleister und deren IKT-Drittanbieter.

  • Anwendungsbereich: Praktisch alle regulierten Finanzunternehmen sowie deren als „kritisch” eingestufte IT-Dienstleister.
  • Kernpflichten: IKT-Risikomanagement, Vorfallmeldung, Pflichttests (inkl. TLPT — bedrohungsgeleitete Penetrationstests), Lieferkettenverträge mit Mindestklauseln, Informationsaustausch.
  • Anwendbar seit: 17. Jänner 2025.
  • Quelle: DORA-Volltext auf EUR-Lex ansehen

Cyber Resilience Act (CRA) — (EU) 2024/2847

Verpflichtet Hersteller von „Produkten mit digitalen Elementen” zu Sicherheitsanforderungen über den gesamten Produktlebenszyklus — von Software-Bibliotheken bis vernetzten Geräten.

  • Bedeutung: Erweitert die Cybersicherheits-Regulierung von Betreibern (NIS2) auf Produkte und Hersteller. CE-Kennzeichnung wird um eine Cybersecurity-Konformität erweitert.
  • Meldepflichten ab 11. September 2026: Art. 14 greift deutlich vor dem Rest der Verordnung. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Plattform an das zuständige CSIRT und die ENISA melden — binnen 24 Stunden als Frühwarnung, binnen 72 Stunden als Meldung, danach als Abschlussbericht. Das gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden; einen Bestandsschutz gibt es nicht.
  • Anwendbar ab: schrittweise, vollständige Anwendbarkeit ab 11. Dezember 2027.
  • Quelle: Cyber Resilience Act auf EUR-Lex ansehen

AI Act — (EU) 2024/1689

Cybersecurity in einem Nachbar-Regelwerk. Erste umfassende Regulierung von Künstlicher Intelligenz weltweit. Risiko-basierter Ansatz: verbotene Praktiken, Hochrisiko-KI-Systeme, KI mit Transparenzpflichten, allgemeine Pflichten für GPAI-Modelle.

  • Anwendungsbereich: Anbieter, Betreiber, Einführer und Händler von KI-Systemen mit EU-Bezug.
  • Cybersecurity-Bezug: Hochrisiko-KI-Systeme müssen nach Art. 15 „angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit” gewährleisten — Resilienz gegen Manipulationsversuche, Data Poisoning, Adversarial Examples; Logging und Monitoring sind Pflicht.
  • Strafrahmen: bis 35 Mio. EUR oder 7 % Weltumsatz (verbotene Praktiken).
  • Anwendbar ab: gestaffelt. Verbotene Praktiken gelten seit 2. Februar 2025, die Pflichten für GPAI-Modelle seit 2. August 2025. Die Digital-Omnibus-Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) hat die Pflichten für Hochrisiko-KI-Systeme nach hinten geschoben: eigenständige Systeme nach Anhang III ab 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I ab 2. August 2028. Sie verengt zugleich die Hochrisiko-Definition.
  • Quellen: AI Act auf EUR-Lex ansehen · Digital-Omnibus-Verordnung (EU) 2026/1744 auf EUR-Lex ansehen

Data Governance Act (DGA) — (EU) 2022/868

Schafft den Rechtsrahmen für vertrauenswürdiges Datenteilen in der EU — über Datenintermediäre, „Data Altruism Organizations” und Weiterverwendung von Daten der öffentlichen Hand.

  • Anwendungsbereich: Betreiber von Datenvermittlungsdiensten, datenaltruistische Organisationen, öffentliche Stellen.
  • Cybersecurity-Bezug: Anforderungen an technische, organisatorische und rechtliche Maßnahmen zum Schutz nicht-personenbezogener sensitiver Daten (Geschäftsgeheimnisse, Statistik, geistiges Eigentum); Notifikationspflicht für Datenintermediäre.
  • Anwendbar seit: 24. September 2023.
  • Quelle: Data Governance Act auf EUR-Lex ansehen

EU Data Act — (EU) 2023/2854

Regelt Zugangs- und Nutzungsrechte an Daten aus vernetzten Geräten (IoT, Industrie 4.0) und schafft horizontale Regeln für B2B-, B2C- und B2G-Datenflüsse.

  • Anwendungsbereich: Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Cloud- und Edge-Anbieter; öffentliche Stellen mit Datenzugriffsrecht in Notlagen.
  • Cybersecurity-Bezug: Pflichten zum Cloud-Anbieterwechsel (Switching, Datenportabilität, Schutz vor unrechtmäßigem Drittstaatenzugriff durch Cloud-Anbieter); Anti-CLOUD-Act-Klauseln (Art. 32).
  • Anwendbar ab: 12. September 2025.
  • Quelle: EU Data Act auf EUR-Lex ansehen

Digital Services Act (DSA) — (EU) 2022/2065

Regelt Pflichten von Online-Vermittlungsdiensten — von Hosting-Anbietern bis sehr großen Plattformen (VLOPs) und Suchmaschinen (VLOSEs).

  • Anwendungsbereich: Vermittlungsdienste, Hosting-Anbieter, Online-Plattformen, sehr große Plattformen/Suchmaschinen ab 45 Mio. EU-Nutzenden monatlich.
  • Cybersecurity-Bezug: Notice-and-action-Mechanismen, jährliche Risikoanalysen (für VLOPs/VLOSEs) inkl. Manipulationen, Desinformation, Datenmissbrauch; Vorgaben zu Datenzugriffen für Forschende.
  • Anwendbar seit: 17. Februar 2024.
  • Quelle: Digital Services Act auf EUR-Lex ansehen

Digital Markets Act (DMA) — (EU) 2022/1925

Reguliert „Gatekeeper” — sehr große Plattformen mit hoher Marktmacht — durch konkrete Verhaltenspflichten und Verbote.

  • Anwendungsbereich: Sieben „Gatekeeper” — Alphabet, Amazon, Apple, ByteDance, Booking Holdings, Meta und Microsoft — und ihre als „Core Platform Services” benannten Dienste. Booking Holdings kam am 13. Mai 2024 dazu.
  • Cybersecurity-Bezug: indirekt — Pflicht zur Interoperabilität von Messaging-Diensten und Vorgaben zu Datenportabilität haben Sicherheits- und Datenschutzimplikationen.
  • Anwendbar seit: 2. Mai 2023; volle Pflichten der Gatekeeper ab 6. März 2024.
  • Quelle: Digital Markets Act auf EUR-Lex ansehen

Maschinenverordnung — (EU) 2023/1230

Cybersecurity in einem Nachbar-Regelwerk. Modernisiert die Maschinenrichtlinie 2006/42/EG. Nimmt erstmals Cybersecurity als Schutzziel im Maschinenbau auf — relevant für vernetzte und KI-gesteuerte Maschinen.

  • Anwendungsbereich: Hersteller, Importeure und Händler von Maschinen, Sicherheitsbauteilen, Lastaufnahmemitteln in der EU.
  • Cybersecurity-Bezug: Anhang III erweitert die Sicherheitsanforderungen um „Schutz vor Korruption” und Resilienz gegen Manipulation (Schutzfunktion, Software-Updates, Authentifizierung); überlappt mit CRA bei Maschinen mit digitalen Elementen.
  • Anwendbar ab: 20. Jänner 2027 (Art. 54).
  • Quelle: Maschinenverordnung auf EUR-Lex ansehen

Internationale Abkommen / Drittstaaten-Bezug

EU-US Data Privacy Framework

Adäquanzbeschluss der EU-Kommission vom 10. Juli 2023, der die Übermittlung personenbezogener Daten von der EU in die USA an zertifizierte US-Unternehmen ohne zusätzliche Garantien erlaubt. Nachfolger des durch Schrems II (2020) gekippten Privacy Shield.

  • Anwendungsbereich: US-Unternehmen, die sich beim US-Handelsministerium nach den DPF-Prinzipien zertifizieren lassen.
  • Bedeutung: Praktisch wichtigster Übermittlungsmechanismus für personenbezogene Daten in die USA — relevant bei jeder Cloud-Nutzung mit US-Bezug. Das Gericht der EU hat die Nichtigkeitsklage von Philippe Latombe gegen den Beschluss am 3. September 2025 abgewiesen (T-553/23); das Rechtsmittel dagegen ist seit 31. Oktober 2025 beim EuGH anhängig (C-703/25 P). Bis zu einer Entscheidung gilt der Adäquanzbeschluss unverändert weiter.
  • Quelle: EU-US Data Privacy Framework Adäquanzbeschluss auf EUR-Lex ansehen

US CLOUD Act — Clarifying Lawful Overseas Use of Data Act

US-Bundesgesetz von 2018, das US-Strafverfolgungsbehörden den Zugriff auf Daten ermöglicht, die von US-Unternehmen verarbeitet werden — unabhängig vom physischen Speicherort, also auch in EU-Rechenzentren.

  • Anwendungsbereich: US-Diensteanbieter (auch deren EU-Tochtergesellschaften, sofern „US-controlled”). Betrifft alle großen US-Cloud-Hyperscaler.
  • Cybersecurity-Bezug: Direkter Konflikt mit DSGVO und EU Data Act. Schutzmaßnahmen in der Praxis: Verschlüsselung mit eigenen Schlüsseln (BYOK/HYOK), Cloud-Souveränitätsstrategien, EU-eigene Cloud-Anbieter, Vertragsklauseln mit „Schutz vor Drittstaatenzugriff” (Data-Act-Konformität).
  • Quelle: CLOUD Act auf congress.gov ansehen

Österreichische Umsetzungen

NISG 2026 — Netz- und Informationssystemsicherheitsgesetz

Die nationale Umsetzung der NIS2-Richtlinie in Österreich. Das Gesetz wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht und tritt am 1. Oktober 2026 in Kraft — zeitgleich tritt das NISG 2018 außer Kraft.

  • Anwendungsbereich: rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren gemäß Anlagen 1 und 2 des Gesetzes.
  • Zuständige Behörden: Cybersicherheitsbehörde (für Registrierung, Selbstdeklaration, Prüfaufträge); CSIRT (Computer Security Incident Response Team) für Meldungen von Sicherheitsvorfällen.
  • Besonderheit: Eingrenzung über Sektorenliste und Schwellwerte folgt der Richtlinie nahezu 1:1, ergänzt um österreichische Spezifika (z. B. Ausnahmen für Bundesheer und Nachrichtendienste).
  • Fristenkette: Registrierung bei der Cybersicherheitsbehörde binnen drei Monaten ab Inkrafttreten (§ 29 Abs. 3), also bis 1. Jänner 2027. Selbstdeklaration der umgesetzten Risikomanagementmaßnahmen binnen zwölf Monaten ab Eintritt der Registrierungspflicht (§ 33 Abs. 1), also bis 1. Oktober 2027. Den Nachweis der Wirksamkeit durch eine unabhängige Stelle (§ 33 Abs. 2) darf die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen, also ab 1. Oktober 2028.
  • Strafrahmen: Wesentliche Einrichtungen bis zu 10 Mio EUR oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen bis zu 7 Mio EUR oder 1,4 %; organisatorische Verstöße bis zu 50.000 EUR (im Wiederholungsfall bis zu 100.000 EUR).
  • Quellen: NISG 2026 — Gesetzestext und Anlagen · WKO — NIS2-Übersicht (Praxis-Leitfaden)

Einen praxisnahen Hintergrund zur Betroffenheit, zu den Fristen und den konkreten Pflichten aus dem NISG 2026 bietet der informationale NIS2-Überblick von BlueGravitas.

RKEG — Resilienz Kritischer Einrichtungen Gesetz

Die nationale Umsetzung der CER-Richtlinie (EU) 2022/2557 in Österreich — Komplementärstück zum NISG 2026: NIS2 regelt die digitale, das RKEG die physische Resilienz kritischer Einrichtungen (Sabotage, Naturereignisse, Terror, Insider-Risiken).

  • Anwendungsbereich: kritische Einrichtungen in den elf CER-Sektoren (Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel).
  • Kernpflichten: Resilienzmaßnahmen gegen physische Bedrohungen, Vorfallsmeldung, Hintergrundprüfungen für sensitive Positionen.
  • Kundmachung und Inkrafttreten: BGBl I Nr. 60/2025, ausgegeben am 16. Oktober 2025; in Kraft seit 1. März 2026.
  • Quelle: RKEG — Volltext (BGBl I Nr. 60/2025, PDF)

Zur praktischen Umsetzung hat die zuständige Behörde (DSN/BMI) im Juni 2026 die Leitfäden kritische Einrichtungen veröffentlicht, verfasst von der Hochschule Campus Wien. Sieben Teilleitfäden entlang von § 15 RKEG decken den gesamten Resilienzkreislauf ab — von der Verhinderung von Sicherheitsvorfällen und dem physischen Schutz über die Bewältigung von Vorfällen bis zu Wiederaufnahme, personellen Vorkehrungen und Schulung. NIS2 wird darin explizit referenziert, damit die Anforderungen integriert und nicht redundant umgesetzt werden. Leitfäden kritische Einrichtungen (Hochschule Campus Wien / DSN, Juni 2026) ansehen

DSG — Datenschutzgesetz

Ergänzung zur DSGVO mit den Öffnungsklausel-Regelungen für Österreich (u. a. zur Datenschutzbehörde, zur Verarbeitung im öffentlichen Bereich, zu Bildverarbeitung).

Deutsche Umsetzungen

NIS2UmsuCG — NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

Deutschlands Umsetzung der NIS2-Richtlinie. Nach mehrjähriger Verzögerung wurde das Gesetz am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist seit 6. Dezember 2025 in Kraft — ohne Übergangsfrist. Im Kern novelliert es das BSI-Gesetz (BSIG).

  • Zuständige Behörde: Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Cybersicherheitsbehörde.
  • Kernpflichten: Risikomanagement, Vorfallsmeldung und Registrierung beim BSI, dazu die Aufsichtspflicht der Geschäftsleitung.
  • Wesentliche Erweiterung gegenüber NIS-1: Der Anwendungsbereich wächst von einigen tausend auf rund 29.500 Unternehmen in 18 Sektoren.
  • Quelle: BSI — Bundesamt für Sicherheit in der Informationstechnik (Website)

KRITIS-Dachgesetz

Eigenständiges Gesetz zur physischen Resilienz kritischer Infrastrukturen — flankierend zum NIS2UmsuCG, das die digitale Dimension abdeckt. Die Trennung digital/physisch ist in Deutschland bewusst gewählt; in der EU ergibt sich die Komplementarität aus NIS2 + CER-Richtlinie.

BDSG — Bundesdatenschutzgesetz

Wie das österreichische DSG die nationale Ergänzung zur DSGVO mit deutschen Öffnungsklauseln.

Erstgespräch

Sicherheit braucht ein Gegenüber, kein Tool.

Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.

Termin vereinbaren Kontakt aufnehmen