🇦🇹 Dieser Beitrag betrifft Österreich. In Deutschland und der Schweiz gelten andere Gesetze (BSIG/SGB V bzw. ISG/DSG).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 27.08.2026

Österreich: NISG 2026 im Bundesgesetzblatt

Mit BGBl. I Nr. 94/2025 vom 23. Dezember 2025 wurde das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) im österreichischen Bundesgesetzblatt kundgemacht. Das Gesetz ändert zugleich das Telekommunikationsgesetz 2021 (TKG 2021) und das Gesundheitstelematikgesetz 2012 (GTelG 2012). Es ist beschlossen und kundgemacht, aber noch nicht in Kraft.

Für CISOs, Informationssicherheitsbeauftragte und IT-Leitungen in Spitälern, Kliniken und anderen Gesundheitseinrichtungen in Österreich stellt sich damit die Frage: Bin ich betroffen — und wenn ja, was ist bis wann zu tun?

Betrifft mich das?

Wer ist gebunden

Das NISG 2026 richtet sich an wesentliche Einrichtungen (§ 24 Abs. 1) und wichtige Einrichtungen (§ 24 Abs. 2).

Wesentliche Einrichtungen sind Einrichtungen der in Anlage 1 genannten Sektoren mit hoher Kritikalität, die ein großes Unternehmen betreiben, sowie Einrichtungen der öffentlichen Verwaltung auf Bundesebene und bestimmte weitere Einrichtungen, die das Gesetz in § 24 Abs. 1 ausdrücklich nennt.

Wichtige Einrichtungen sind nach § 24 Abs. 2 NISG 2026: - Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, - Einrichtungen im Sektor der öffentlichen Verwaltung auf Landesebene gemäß § 24 Abs. 5, - sowie — größenunabhängig — Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen Kommunikationsdiensten, Vertrauensdiensteanbieter und Einrichtungen, die von der Cybersicherheitsbehörde als wichtige Einrichtung eingestuft wurden (§ 26 Abs. 1).

Größenschwellen (§ 25 NISG 2026)

Für Einrichtungen, bei denen die Größe maßgeblich ist, gelten folgende Schwellenwerte:

  • Großes Unternehmen: mindestens 250 Mitarbeiter oder Jahresumsatz über 50 Mio. EUR und Jahresbilanzsumme über 43 Mio. EUR.
  • Mittleres Unternehmen: mindestens 50 Mitarbeiter oder Jahresumsatz über 10 Mio. EUR und Jahresbilanzsumme über 10 Mio. EUR (sofern nicht bereits großes Unternehmen).

Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn die Einrichtung in Bezug auf ihre Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4 NISG 2026).

Gesundheitswesen: Sektor 5 (Anlage 1)

Das NISG 2026 erfasst im Sektor Gesundheitswesen (Anlage 1, Sektor 5) folgende Arten von Einrichtungen:

  • Gesundheitsdienstleister im Sinne des Art. 3 lit. g der Richtlinie 2011/24/EU
  • EU-Referenzlaboratorien im Sinne des Art. 15 der Verordnung (EU) 2022/2371
  • Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel im Sinne des § 1 Abs. 1 AMG ausüben
  • Einrichtungen, die pharmazeutische Erzeugnisse im Sinne des Abschnitts C Abteilung 21 NACE Rev. 2 herstellen
  • Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Art. 22 der Verordnung (EU) 2022/123 eingestuft werden

Krankenhäuser und Kliniken, die als Gesundheitsdienstleister im Sinne der Richtlinie 2011/24/EU tätig sind, fallen unter Sektor 5, wenn sie als wesentliche oder wichtige Einrichtung gelten — in der Regel dann, wenn sie die Größenschwellen des § 25 erreichen.

Sonstige kritische Sektoren (Anlage 2)

Anlage 2 erfasst u. a. die Herstellung von Medizinprodukten und In-vitro-Diagnostika (Sektor 5 lit. a) sowie den Bereich Forschung (Sektor 7). Einrichtungen dieser Sektoren können als wichtige Einrichtungen gelten, wenn sie die Größenschwellen des § 25 erfüllen.

Wer ist ausgenommen

§ 24 Abs. 6 NISG 2026 nimmt folgende Einrichtungen aus dem Anwendungsbereich aus — sie gelten nicht als wesentliche oder wichtige Einrichtungen:

  • Einrichtungen im Sektor der öffentlichen Verwaltung, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen
  • Einrichtungen des Universitäts-, Hochschul- und Schulwesens
  • Einrichtungen der Gerichtsbarkeit einschließlich der kollegialen und monokratischen Justizverwaltung
  • Einrichtungen der Gesetzgebung einschließlich der Parlamentsdirektion
  • Österreichische Nationalbank

Für Vertrauensdiensteanbieter kommt § 24 Abs. 6 ausdrücklich nicht zur Anwendung.

Was ist zu tun?

Inkrafttreten: berechnetes Datum

Das genaue Inkrafttreten des NISG 2026 ergibt sich aus der Kundmachungsformel des Gesetzes. Das Kundmachungsdatum ist durch BGBl. I Nr. 94/2025 (Datum: 23. Dezember 2025) belegt. In den ausgewerteten Quellen (Stand 22. August 2026) findet sich kein wörtliches Zitat des § 51 NISG 2026. Aus dem Kundmachungsdatum und der in den Arbeitsunterlagen dokumentierten Berechnungsformel (neun Monate nach Kundmachung mit dem nächstfolgenden Monatsersten) ergibt sich rechnerisch der 1. Oktober 2026 als voraussichtliches Inkrafttreten. Alle nachfolgenden Fristen sind auf dieser Grundlage berechnet und entsprechend als voraussichtlich zu verstehen.

Registrierung (§ 29 Abs. 2 und 3 NISG 2026)

Wesentliche und wichtige Einrichtungen haben sich bei der Cybersicherheitsbehörde zu registrieren und dabei folgende Angaben strukturiert zu übermitteln:

  1. Name der Einrichtung
  2. Anschrift und aktuelle Kontaktdaten sowie gegebenenfalls den gemäß § 28 Abs. 4 benannten Vertreter
  3. Sektor(en), Teilsektor(en) und Art(en) der Einrichtung gemäß Anlage 1 oder 2
  4. Mitgliedstaaten der EU, in denen Dienste erbracht werden
  5. gegebenenfalls IP-Adressbereiche der Einrichtung
  6. Anschrift der Hauptniederlassung und sonstiger Niederlassungen in der EU oder Anschrift des Vertreters
  7. Informationen zu den Schwellenwerten gemäß § 25 und ob es sich um eine wesentliche oder wichtige Einrichtung handelt

Die Registrierung hat innerhalb von drei Monaten ab Inkrafttreten zu erfolgen — voraussichtlich also bis 1. Januar 2027 (berechnet: Inkrafttreten voraussichtlich 1. Oktober 2026 + drei Monate). Einrichtungen, die erst nach diesem Zeitpunkt die Voraussetzungen erfüllen, haben sich ehestmöglich, in jedem Fall aber innerhalb von drei Monaten ab Erfüllung der jeweiligen Voraussetzungen zu registrieren (§ 29 Abs. 3 NISG 2026).

Risikomanagementmaßnahmen (§ 32 Abs. 1 und 4 NISG 2026)

Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Diese Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen und zumindest folgende Inhalte umfassen (§ 32 Abs. 4 NISG 2026):

  • a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
  • b) Bewältigung von Cybersicherheitsvorfällen
  • c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
  • d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
  • e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
  • f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
  • g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
  • h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
  • i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
  • j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

Pflichten der Leitungsorgane (§ 31 Abs. 1 und 2 NISG 2026)

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen haben die Einhaltung der Risikomanagementmaßnahmen gemäß § 32 sicherzustellen und zu beaufsichtigen. Darüber hinaus müssen die Leitungsorgane wesentlicher und wichtiger Einrichtungen an für diese spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.

Selbstdeklaration (§ 33 Abs. 1 NISG 2026)

Wesentliche und wichtige Einrichtungen haben innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht der Cybersicherheitsbehörde Informationen hinsichtlich umgesetzter Risikomanagementmaßnahmen gemäß § 32 in strukturierter Form zu übermitteln. Da die Registrierungspflicht mit Inkrafttreten des Gesetzes eintritt (voraussichtlich 1. Oktober 2026), ergibt sich daraus eine voraussichtliche Frist bis 1. Oktober 2027 (berechnet: zwölf Monate ab voraussichtlichem Inkrafttreten).

Nachweis durch unabhängige Stelle (§ 33 Abs. 2 NISG 2026)

Wesentliche und wichtige Einrichtungen haben die technische, operative und organisatorische Umsetzung der Risikomanagementmaßnahmen durch eine unabhängige Stelle nachzuweisen:

  • Wichtige Einrichtungen: innerhalb von zwei Jahren nach Aufforderung durch die Cybersicherheitsbehörde.
  • Wesentliche Einrichtungen (operative und organisatorische Umsetzung): innerhalb von zwei Monaten nach Aufforderung.

Die erstmalige Aufforderung kann frühestens nach Ablauf von zwei Jahren ab Inkrafttreten erfolgen — voraussichtlich also frühestens ab Oktober 2028, sofern das Inkrafttreten — wie berechnet — am 1. Oktober 2026 eintritt.

Meldepflichten bei Cybersicherheitsvorfällen (§ 34 NISG 2026)

Wesentliche und wichtige Einrichtungen haben dem für sie zuständigen sektorspezifischen CSIRT unverzüglich jeden erheblichen Cybersicherheitsvorfall zu melden. Die Meldefristen nach § 34 Abs. 2 NISG 2026:

Schritt Frist
Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme
Meldung (inkl. erste Bewertung, Schweregrad, Kompromittierungsindikatoren) innerhalb von 72 Stunden nach Kenntnisnahme
Zwischenbericht auf Ersuchen des CSIRT oder der Cybersicherheitsbehörde
Abschlussbericht spätestens einen Monat nach der Meldung gemäß Z 2

Bei andauerndem Vorfall ist bis dahin ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Sonderregel Gesundheitswesen: Austrian HealthCERT

Wesentliche und wichtige Einrichtungen gemäß §§ 24 ff. NISG 2026, die dem Sektor Gesundheitswesen gemäß § 2 Z 5 NISG 2026 angehören, haben zur Erfüllung ihrer auf den Sektor Gesundheitswesen bezogenen Meldepflichten gemäß §§ 34 und 37 NISG 2026 Meldungen an das Austrian HealthCERT zu erbringen (§ 8a Abs. 3 GTelG 2012 i.d.F. BGBl. I Nr. 94/2025). Für wesentliche und wichtige Einrichtungen im Gesundheitswesen entsteht damit eine sektorspezifische Meldestelle.

Sanktionen

Der Bußgeldrahmen ist in § 45 Abs. 2 und 3 NISG 2026 geregelt:

  • Wesentliche Einrichtungen (§ 24 Abs. 1): bis zu 10.000.000 EUR oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens — je nachdem, welcher Betrag höher ist.
  • Wichtige Einrichtungen (§ 24 Abs. 2): bis zu 7.000.000 EUR oder bis zu 1,4 % des gesamten weltweiten Jahresumsatzes des Unternehmens — je nachdem, welcher Betrag höher ist.
  • Sonstige Verstöße (§ 45 Abs. 4): bis zu 50.000 EUR, im Wiederholungsfall bis zu 100.000 EUR.

Bei der Ergreifung von Durchsetzungsmaßnahmen hat die Cybersicherheitsbehörde gemäß § 39 Abs. 7 NISG 2026 den Umständen des Einzelfalls Rechnung zu tragen und dabei zumindest zu berücksichtigen: Schwere und Dauer des Verstoßes, frühere Verstöße, verursachter Schaden, Vorsatz oder Fahrlässigkeit, umgesetzte Risikomanagementmaßnahmen, Einhaltung genehmigter Verhaltensregeln oder Zertifizierungsverfahren sowie den Umfang der Zusammenarbeit mit der Cybersicherheitsbehörde. Als schwere Verstöße gelten insbesondere: wiederholte Verstöße, unterlassene Meldung oder Behebung erheblicher Cybersicherheitsvorfälle, Nichtbehebung von Mängeln nach verbindlicher Anweisung, willentliche Behinderung von Prüfungen sowie bewusste Übermittlung falscher oder grob verfälschender Informationen.

Checkliste: Sofortmaßnahmen

Betroffenheitsanalyse - Prüfen, ob die Einrichtung unter Anlage 1 (Sektor 5: Gesundheitswesen) oder Anlage 2 fällt. - Größenschwellen nach § 25 NISG 2026 ermitteln (Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme). - Klären, ob eine Ausnahme nach § 24 Abs. 6 NISG 2026 greift. - Einordnung als wesentliche oder wichtige Einrichtung dokumentieren.

Registrierung vorbereiten (§ 29 Abs. 2 NISG 2026) - Pflichtangaben zusammenstellen: Name, Anschrift, Kontaktdaten, Sektorzuordnung, IP-Adressbereiche, Niederlassungsangaben, Größenschwelleninformationen. - Voraussichtliche Frist: bis 1. Januar 2027 (berechnet: drei Monate ab voraussichtlichem Inkrafttreten 1. Oktober 2026).

Risikomanagementmaßnahmen (§ 32 Abs. 4 NISG 2026) - Gap-Analyse gegen die zehn Mindestinhalte lit. a–j durchführen. - Aus Beratungssicht empfehlen wir, bestehende ISMS-Dokumentation auf Vollständigkeit gegenüber den gesetzlichen Mindestinhalten zu prüfen und Lücken zu schließen.

Leitungsorgane einbinden (§ 31 Abs. 1 und 2 NISG 2026) - Leitungsorgane über Aufsichtspflicht und Schulungspflicht informieren. - Cybersicherheitsschulungen für Leitungsorgane planen und dokumentieren.

Selbstdeklaration (§ 33 Abs. 1 NISG 2026) - Informationen zu umgesetzten Risikomanagementmaßnahmen strukturiert aufbereiten. - Voraussichtliche Frist: bis 1. Oktober 2027 (berechnet: zwölf Monate ab voraussichtlichem Inkrafttreten 1. Oktober 2026).

Meldeprozesse (§ 34 NISG 2026) - Internen Meldeprozess für erhebliche Cybersicherheitsvorfälle etablieren, der die 24-Stunden-Frühwarnfrist und die 72-Stunden-Meldefrist einhält. - Für wesentliche und wichtige Einrichtungen im Gesundheitswesen: Meldestelle Austrian HealthCERT als Empfänger verankern (§ 8a Abs. 3 GTelG 2012 i.d.F. BGBl. I Nr. 94/2025). - Aus Beratungssicht empfehlen wir, Meldeprozesse in Tabletop-Übungen zu testen, bevor das Gesetz in Kraft tritt.

Nachweis durch unabhängige Stelle (§ 33 Abs. 2 NISG 2026) - Frühzeitig prüfen, welche unabhängige Stelle für den Nachweis in Frage kommt. - Erstmalige Aufforderung durch die Cybersicherheitsbehörde frühestens ab Oktober 2028 (berechnet, sofern Inkrafttreten am 1. Oktober 2026 eintritt).

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen