NIS2 im Gesundheitswesen: Krankenhäuser + ambulante Versorgung

Hauptartikel: NIS2-Umsetzung Deutschland — alle Pflichten nach dem BSIG im Überblick: Anwendungsbereich, Maßnahmen, Meldepflichten und Bußgelder.

1. Wer ist betroffen?

Betroffen ist in Deutschland, wer einer Einrichtungsart des Sektors Gesundheit nach Anlage 1 BSIG zuzuordnen ist und die Größenschwellen des § 28 BSIG erreicht — und größenunabhängig jeder Betreiber einer kritischen Anlage (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG). Krankenhäuser, MVZs, Reha-Kliniken und andere Erbringer von Gesundheitsdienstleistungen sind wichtige Einrichtungen, wenn sie mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweisen (§ 28 Abs. 2 Satz 1 Nr. 3 Buchst. a und b BSIG). Die beiden Schwellen gelten alternativ, nicht kumulativ — es genügt bereits die Mitarbeiterzahl allein; beim Finanzkriterium ist neben dem Umsatz auch die Jahresbilanzsumme maßgeblich. Nicht erfasst sind Einrichtungen der Langzeitpflege, die Menschen bei routinemäßigen, alltäglichen Verrichtungen unterstützen: Sie gelten nach der Gesetzesbegründung nicht als Erbringer von Gesundheitsdienstleistungen im Sinne der Anlage 1 Nr. 4.1.1 BSIG (so auch die sektorspezifische NIS-2-FAQ des BSI). Sonderfall: KRITIS-Krankenhäuser (>30k stationäre Fälle/Jahr) zusätzlich.

Ab 250 Mitarbeitern wird aus der wichtigen eine besonders wichtige Einrichtung. Gesundheitsdienstleister sind eine Einrichtungsart der Anlage 1 BSIG (Sektor 4 Gesundheit, „Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU“). Für Anlage-1-Arten gilt daher zusätzlich die höhere Schwelle: mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR — dann besonders wichtige Einrichtung (§ 28 Abs. 1 Satz 1 Nr. 4 Buchst. a und b BSIG). Betreiber kritischer Anlagen sind ohnehin besonders wichtige Einrichtungen (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG). Wichtige Einrichtung ist nur, wer nicht bereits besonders wichtige Einrichtung ist (§ 28 Abs. 2 Satz 2 BSIG). Die Einstufung entscheidet über Aufsichtsintensität und Bußgeldrahmen.

Zwei Punkte entscheiden in der Praxis über die Einordnung eines Trägers. Erstens wirkt auf beiden Stufen eigenständig nur die Mitarbeiterzahl — 250 für die besonders wichtige, 50 für die wichtige Einrichtung; der Umsatz allein genügt nie, weil § 28 Abs. 1 Satz 1 Nr. 4 Buchst. b und § 28 Abs. 2 Satz 1 Nr. 3 Buchst. b BSIG neben dem Umsatz zusätzlich die Jahresbilanzsumme verlangen. Zweitens ist nicht die Bezeichnung des Hauses maßgeblich, sondern die Zuordnung zu einer Einrichtungsart der Anlage 1 oder 2 BSIG; sie ist je Gesellschaft zu prüfen, gerade in Trägerstrukturen mit ausgegliederten Service-, Labor- oder IT-Gesellschaften. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG); Konzernzugehörigkeit kann verbundene Unternehmen einbeziehen. Praxisempfehlung: die Einstufung je Gesellschaft schriftlich festhalten — mit Stichtag, Zahlenbasis und der herangezogenen Nummer des § 28 BSIG.

2. Doppel-Regulierung NIS2 + KRITIS

Großkrankenhäuser sind als Betreiber kritischer Anlagen (KRITIS, >30.000 vollstationäre Fälle/Jahr nach BSI-KritisV) zusätzlich erfasst. Diese müssen die Umsetzung der Maßnahmen nach § 30 BSIG frühestens 3 Jahre nach der erstmaligen Einstufung und danach alle 3 Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Abs. 1 BSIG 2025 — der frühere 2-Jahres-Turnus stammte aus § 8a BSIG a.F.).

Die KRITIS-Eigenschaft wirkt an drei Stellen, die getrennt zu führen sind. Erstens bei der Einstufung: Wer eine kritische Anlage betreibt, ist größenunabhängig besonders wichtige Einrichtung (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG) — auf Mitarbeiterzahl, Umsatz und Bilanzsumme kommt es dann nicht mehr an, und es gilt der höhere Bußgeldrahmen (Abschnitt 9). Zweitens beim Nachweis: § 39 Abs. 1 BSIG lässt Sicherheitsaudit, Prüfung oder Zertifizierung als drei gleichwertige Wege zu; zu übermitteln sind die Ergebnisse einschließlich der aufgedeckten Sicherheitsmängel. Drittens bei der Registrierung: Für Betreiber kritischer Anlagen sieht § 33 Abs. 2 BSIG einen abweichenden Weg über § 8 KRITIS-Dachgesetz vor (Abschnitt 7).

Ein Haus unterhalb der KRITIS-Schwelle ist damit nicht von den Maßnahmen befreit, sondern nur vom turnusmäßigen Nachweisverfahren: Die Maßnahmen nach § 30 BSIG schuldet jede besonders wichtige und wichtige Einrichtung.

3. DSGVO Art. 9-Sondersensibilität

Patientendaten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO — ihre Verarbeitung ist grundsätzlich untersagt und nur über die engen Ausnahmen des Art. 9 Abs. 2 DSGVO zulässig, etwa die ausdrückliche Einwilligung. Ist ein erheblicher Sicherheitsvorfall zugleich eine Verletzung des Schutzes personenbezogener Daten, wird doppelt gemeldet — an die gemeinsame Meldestelle von BSI und BBK und an die Datenschutz-Aufsicht (Abschnitt 7). Aus der Einstufung als besondere Kategorie folgen drei weitere Pflichten, die neben den NIS2-Pflichten laufen und von ihnen unabhängig sind:

• Datenschutz-Folgenabschätzung: bei umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO ist eine DSFA vorab durchzuführen (Art. 35 Abs. 1 und 3 DSGVO) — für ein Krankenhausinformationssystem ist deshalb zu prüfen und zu dokumentieren, ob die Schwelle der umfangreichen Verarbeitung erreicht ist.
• Datenschutzbeauftragter: Er ist zu benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Art. 37 Abs. 1 Buchst. c DSGVO); in Deutschland kommt die Schwelle des § 38 Abs. 1 BDSG hinzu, in Österreich gilt keine zusätzliche zahlenmäßige Schwelle (§ 5 DSG). Einzelheiten in der FAQ.
• Auftragsverarbeitung: Für ausgelagerte Verarbeitungen — KIS-Hosting, Radiologie-Archiv, Abrechnungsdienstleister — gilt Art. 28 DSGVO mit dem gesetzlich vorgegebenen Mindestinhalt des Vertrags (Abschnitt 5).

Aufsicht führen dabei nicht dieselben Behörden wie bei NIS2: In Deutschland überwachen die nach Landesrecht zuständigen Datenschutzbehörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Die doppelte Meldelage bei einem Vorfall steht mit Fristen und Adressaten in Abschnitt 7.

4. Spezifische Maßnahmen

Einen gesonderten Maßnahmenkatalog für Krankenhäuser enthält § 30 Abs. 2 BSIG nicht — die zehn Bereiche gelten sektorneutral; sektorspezifisch ist nicht der Katalog, sondern das, worauf er im Haus angewendet wird: Medizingeräte-Cybersecurity, OP-Saal-IT, Laborinformationssysteme, Patienten-Apps.

Die Maßnahmen sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen (§ 30 Abs. 2 Satz 1 BSIG); die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 BSIG). Die zehn Bereiche des § 30 Abs. 2 BSIG sind: Konzepte für Risikoanalyse und Sicherheit von Informationssystemen (Nr. 1), Bewältigung von Sicherheitsvorfällen (Nr. 2), Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung und Krisenmanagement (Nr. 3), Sicherheit der Lieferkette (Nr. 4), Sicherheit bei Erwerb, Entwicklung und Wartung (Nr. 5), Wirksamkeitsbewertung (Nr. 6), Cyberhygiene und Schulungen (Nr. 7), Kryptografie und Verschlüsselung (Nr. 8), Personalsicherheit und Zugriffskontrolle (Nr. 9) sowie Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und gesicherte Kommunikation (Nr. 10).

Vier dieser Bereiche seien für den Krankenhausbetrieb ausgeführt; die übrigen sechs stehen im verlinkten Hauptartikel. Nr. 3 meint für ein Haus den Wiederanlauf der Versorgung, nicht nur ein Backup-Konzept; in der Praxis gehören dazu ein Business-Continuity-Plan mit RTO und RPO je Prozess, Backup nach dem 3-2-1-Prinzip oder gleichwertig, eine getestete Wiederherstellungsroutine und ein Krisenmanagement-Plan mit interner und externer Kommunikation. Nr. 5 betrifft Erwerb, Entwicklung und Wartung — der Bereich, unter den die Beschaffung und die Fernwartung medizintechnischer Systeme fallen, soweit sie zu den IT-Systemen des Hauses zählen; praktisch gehört dazu ein Schwachstellenmanagement mit einem Prozess für die koordinierte Offenlegung. Nr. 9 verlangt Personalsicherheit und Zugriffskontrolle; praktisch heißt das: Berechtigungskonzept nach Need-to-know, dokumentierter Entzug bei Stationswechsel und Austritt, turnusmäßige Überprüfung. Nr. 10 verlangt Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung; als Praxisempfehlung gilt sie für alle Administrationskonten und alle externen Zugänge (VPN, Cloud) als Mindeststandard, für reine Office-Nutzung ist der Umfang risikobasiert zu begründen. Praxisempfehlung: die vier oben genannten Anlagenklassen in ein Asset-Inventar aufnehmen und je Klasse festhalten, wer sie wartet, über welchen Zugang und mit welcher Kennung — ohne dieses Inventar bleiben Nr. 5, Nr. 9 und Nr. 10 unprüfbar. In Österreich steht der gleichlaufende Katalog in § 32 Abs. 4 lit. a bis j NISG 2026 und gilt ab dem 01.10.2026.

5. Lieferanten-Audit-Spezifika

Medizingeräte-Hersteller und Cloud-Dienstleister für das Krankenhausinformationssystem (KIS) prioritär auditieren (Praxisempfehlung). Maßstab ist in Deutschland § 30 Abs. 2 Nr. 4 BSIG (Sicherheit der Lieferkette), in Österreich ab dem 01.10.2026 § 32 Abs. 4 lit. d NISG 2026; ein häufiger Schwachpunkt in der Praxis sind fehlende Cybersecurity-Klauseln in den Lieferantenverträgen (Praxiseinschätzung, keine amtliche Auswertung).

Vier Bausteine gehören in das Lieferantenprogramm eines Hauses:

• Lieferanten-Bewertung mit Risikoklassifizierung — sie entscheidet, wer überhaupt vertieft geprüft wird; das Kriterium mit der größten Wirkung ist der Zugriff auf versorgungsrelevante Systeme und der Fernwartungszugang.
• Cybersecurity-Klauseln in den Standard-Verträgen statt Einzelverhandlung je Beschaffung.
• Right-to-Audit für kritische Lieferanten — ohne vertragliche Grundlage bleibt jede Prüfung eine Bitte statt eines Rechts.
• Vorfallsmeldung des Lieferanten an Sie, üblich binnen 24 Stunden. Die 24-Stunden-Vorgabe folgt aus dem Vertrag, nicht aus § 30 Abs. 2 Nr. 4 BSIG; sie schafft erst die Grundlage dafür, die eigene 24-Stunden-Meldung fristgerecht abgeben zu können (Abschnitt 7).

Beim KIS-Hosting läuft ein zweiter, davon unabhängiger Strang: Soweit der Dienstleister Patientendaten im Auftrag verarbeitet, darf das Haus nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und muss die Zusammenarbeit über einen Vertrag nach Art. 28 Abs. 3 DSGVO regeln — mit Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechten des Verantwortlichen. Die Lieferkettenpflicht des § 30 Abs. 2 Nr. 4 BSIG ersetzt diesen Vertrag nicht, und der Auftragsverarbeitungsvertrag ersetzt die Lieferkettenprüfung nicht. Praxisempfehlung: beide Stränge in einer Lieferantenakte je Dienstleister führen, damit bei einer Prüfung nicht zwei Ablagen mit unterschiedlichen Ständen nebeneinanderstehen.

6. Österreich: Gesundheitswesen unter dem NISG 2026

Die Abschnitte oben beschreiben die deutsche Rechtslage (BSIG 2025, BSI-KritisV, Aufsicht durch das BSI). In Österreich gilt ab dem 01.10.2026 mit dem NISG 2026 (BGBl. I Nr. 94/2025) ein eigener Rahmen: Das Gesundheitswesen ist ebenfalls als hochkritischer Sektor der Anlage 1 erfasst. Die Risikomanagementmaßnahmen richten sich nach § 32 NISG, die Meldung erheblicher Vorfälle (24 h / 72 h / 1 Monat) erfolgt an das zuständige CSIRT (§ 34 NISG), die Registrierung nach § 29 NISG bei der Cybersicherheitsbehörde. Auch dort entscheidet die Unternehmensgröße über die Klasse: Anlage-1-Einrichtungen, die ein großes Unternehmen betreiben (ab 250 Mitarbeitern bzw. über 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Jahresbilanzsumme), sind wesentliche Einrichtungen, mittlere Unternehmen (ab 50 Mitarbeitern bzw. über 10 Mio. EUR Umsatz und über 10 Mio. EUR Bilanzsumme) wichtige Einrichtungen (§ 24, § 25 NISG). Der Strafrahmen entspricht der Richtlinie: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche, bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen (§ 45 Abs. 2 und 3 NISG); verhängt werden die Verwaltungsstrafen von der Bezirksverwaltungsbehörde. Der Datenschutz für Gesundheitsdaten (Art. 9 DSGVO) gilt EU-weit identisch; Aufsicht in Österreich ist die Datenschutzbehörde.

Der Zeitpunkt ist der wesentliche Unterschied zu Deutschland. Das NISG 2026 wurde am 23.12.2025 kundgemacht und wird am 01.10.2026 anwendbar — neun Monate nach der Kundmachung, mit dem nächstfolgenden Monatsersten (§ 51 Abs. 1 und 2). Erst ab diesem Tag greifen die Risikomanagement-Pflichten des § 32 NISG 2026; die daran anschließenden Fristen für Registrierung, Selbstdeklaration und Nachweis stehen in Abschnitt 7. Für ein österreichisches Haus heißt das: Vor diesem Tag begründet das NISG 2026 selbst noch keine Registrierungs- oder Meldepflicht; es ersetzt mit seinem Inkrafttreten das NISG 2018 samt NISV und QuaSteV (§ 51 Abs. 1 und 2). Die verbleibende Vorbereitungszeit ist der Unterschied gegenüber deutschen Häusern, für die das BSIG bereits seit dem 06.12.2025 gilt.

Zwei weitere Unterschiede sind für Träger mit Häusern in beiden Ländern relevant. Erstens die Behördenlandschaft: Zuständig ist in Österreich das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit Sitz in Wien (§ 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026); Aufsicht und Durchsetzung liegen bei ihr (§§ 38 und 39), Vorfallsmeldungen gehen dagegen an das zuständige sektorspezifische, sonst an das nationale CSIRT (§ 34 Abs. 1). Zweitens die Nachweislogik: Österreich verlangt von allen wesentlichen und wichtigen Einrichtungen eine strukturierte Selbstdeklaration und — auf Aufforderung — einen Nachweis durch eine unabhängige Stelle (§ 33 NISG 2026), während in Deutschland die turnusmäßige Nachweispflicht des § 39 BSIG primär die Betreiber kritischer Anlagen trifft. Konzernstrukturen mit Häusern in Deutschland und Österreich registrieren in beiden Ländern separat.

7. Fristen, Meldewege und Nachweise im Überblick (DE und AT)

Die folgende Übersicht enthält ausschließlich gesetzliche Fristen und Pflichten — jede Zeile nennt die Norm, aus der sie folgt, und die Einrichtungen, für die sie gilt. Praxisempfehlungen stehen nicht in dieser Tabelle, sondern gekennzeichnet im Fließtext und in Abschnitt 10. Die österreichischen Zeilen greifen erst ab dem 01.10.2026.

Die Melde-Uhr läuft erst, wenn der Vorfall erheblich ist. Erheblich ist ein Sicherheitsvorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Quantitative Schwellen dazu enthält die EU-Durchführungsverordnung 2024/2690, allerdings nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, Cloud- und Rechenzentrumsdienste oder Managed (Security) Service Provider — nicht für Einrichtungen des Gesundheitswesens. Für alle übrigen Einrichtungen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG allein die Definition des § 2 Nr. 11 BSIG. In Österreich steht die inhaltlich entsprechende Schwelle ab dem 01.10.2026 in § 35 Abs. 1 NISG 2026; dort müssen auch die finanziellen Verluste schwerwiegend sein.

8. Geschäftsleitung: Umsetzung, Überwachung, Schulung

Die Geschäftsleitung eines Hauses schuldet die Risikomanagementmaßnahmen persönlich: Sie muss die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG) — die Verantwortung dafür trifft die Geschäftsleitung selbst und ist nicht delegierbar. Verletzt sie diese Pflichten, haftet sie ihrem eigenen Haus für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG); nach dem BSIG selbst haftet die Geschäftsleitung dabei nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Hinzu kommt die eigene Schulungspflicht: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

In Österreich haben die Leitungsorgane ab dem 01.10.2026 die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen, und sie müssen an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 1 und 2 NISG 2026). Eine ausdrückliche Innenhaftungs-Regel wie § 38 Abs. 2 BSIG enthält § 31 NISG 2026 nicht — das ist der Punkt, an dem sich beide Rechtsordnungen unterscheiden und an dem ein für Deutschland geschriebenes Geschäftsführungs-Briefing für die österreichische Schwestergesellschaft nicht wörtlich passt. Praxisempfehlung: die Billigung der Maßnahmen und die Teilnahme an den Schulungen protokollieren; ohne Protokoll ist die Überwachung im Sinne des § 38 Abs. 1 BSIG in einer Prüfung nicht darstellbar.

9. Bußgeldrahmen und Verhältnis zur DSGVO

Der Bußgeldrahmen richtet sich nach der Einstufung: bis 10 Mio. EUR gegen besonders wichtige und bis 7 Mio. EUR gegen wichtige Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 Buchst. a und b BSIG). Die Umsatzvariante von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greift erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße; Gesamtumsatz ist dabei die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Für die meisten Häuser bedeutet das: Maßgeblich ist der feste Höchstbetrag, nicht der Prozentsatz.

Das Verhältnis zum Datenschutzrecht ist dabei kein Nebenschauplatz, weil ein Angriff auf ein Krankenhausinformationssystem regelmäßig beide Regime auslöst. Ein DSGVO-Bußgeld nach Art. 83 DSGVO kann grundsätzlich hinzutreten — bis 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes bei Verstößen unter anderem gegen die Art. 25 bis 39 DSGVO und bis 20 Mio. EUR bzw. 4 % bei Verstößen gegen die Verarbeitungsgrundsätze und die Betroffenenrechte, je nachdem, welcher Betrag höher ist. Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, ist eine zusätzliche Geldbuße nach dem BSIG allerdings ausgeschlossen (§ 65 Abs. 11 BSIG). Für Österreich gilt ab dem 01.10.2026 der in Abschnitt 6 genannte Rahmen, wobei dort jeweils der höhere Betrag maßgeblich ist; sonstige Übertretungen sind mit bis zu 50.000 EUR und im Wiederholungsfall mit bis zu 100.000 EUR bedroht (§ 45 Abs. 4 NISG 2026).

10. Praxis-Rhythmen für Häuser

Keine der folgenden Zeilen ist eine gesetzliche Frist. Es sind durchgängig Praxisempfehlungen zur Taktung der Arbeit; verlangt sind geeignete, verhältnismäßige und wirksame Maßnahmen (§ 30 Abs. 1 BSIG) bzw. — ab dem 01.10.2026 — geeignete und verhältnismäßige Risikomanagementmaßnahmen (§ 32 Abs. 1 NISG 2026), und die Tiefe der Umsetzung skaliert mit dem Risiko. Die verbindlichen Termine stehen ausschließlich in der Tabelle in Abschnitt 7. Die Spalte „Bezug zum Pflichtenbereich" nennt die deutschen Fundstellen; die österreichischen Entsprechungen stehen in § 32 Abs. 4 lit. a bis j NISG 2026 (Abschnitt 4).