NIS2 in Wasser + Abfall: Kommunalwerke + Versorger

Hauptartikel: NIS2-Umsetzung Deutschland — dort stehen Anwendungsbereich, Maßnahmen nach § 30 BSIG, Geschäftsleiterhaftung nach § 38 BSIG, Meldepflichten und Bußgelder im Einzelnen.

1. Wer ist betroffen?

Betroffen ist jede Einrichtung des Trinkwasser-, Abwasser- und Abfallbereichs, die mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist — und unabhängig von der Größe jeder Betreiber einer kritischen Anlage (§ 28 Abs. 1 und Abs. 2 BSIG). Wasser (Trinkwasser und Abwasser) gehört zu den Sektoren der Anlage 1, Abfallbewirtschaftung zu den Sektoren der Anlage 2 des BSIG 2025; welche der beiden Kategorien daraus folgt, zeigt die Tabelle unten. KRITIS-Schwelle Wasser: ab 22 Mio. m³ Trinkwasser pro Jahr (Sektor Wasser, Anhang 2 der BSI-KritisV) — das entspricht dem Regelschwellenwert von rund 500.000 versorgten Personen (Schwelle bezieht sich auf die Trinkwassermenge, nicht auf die Zahl versorgter Bürger). Abwasser- und Abfallanlagen haben eigene Anlagenkategorien und Schwellenwerte; sie stehen in den Anhängen der BSI-KritisV zu Sektor Wasser bzw. Siedlungsabfallentsorgung und sind hier nicht beziffert. Wer als Betreiber einer kritischen Anlage gilt, richtet sich nach § 2 Nr. 22 BSIG i. V. m. dem KRITIS-Dachgesetz — bis zum Geltungsbeginn der dortigen Rechtsverordnung bleibt nach § 66 BSIG die bis 16.03.2026 geltende Fassung (BSI-KritisV) maßgeblich.

Die Anlagen-Zuordnung entscheidet über die Kategorie, nicht nur über die Betroffenheit: § 28 Abs. 1 Nr. 4 BSIG erfasst ausschließlich Einrichtungsarten der Anlage 1. Eine Einrichtungsart der Anlage 2 — etwa die Abfallbewirtschaftung — wird deshalb allein durch ihre Größe nie besonders wichtige Einrichtung, sofern sie nicht zugleich Betreiber einer kritischen Anlage ist; eine Mitarbeiter-Obergrenze gibt es bei den wichtigen Einrichtungen nicht (Rechenbeispiel in der FAQ). Umgekehrt genügt der Umsatz allein nie: § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt über 50 Mio. EUR Jahresumsatz und zusätzlich über 43 Mio. EUR Jahresbilanzsumme; nur die Mitarbeiterzahl ab 250 wirkt als eigenständiges Kriterium. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG). Zur Terminologie: Das BSIG spricht von besonders wichtigen und wichtigen Einrichtungen, die NIS-2-Richtlinie von wesentlichen und wichtigen Einrichtungen.

Die Einstufung als wichtige Einrichtung greift nach § 28 Abs. 2 BSIG nur, soweit die Einrichtung nicht bereits besonders wichtige Einrichtung ist.

Praxisempfehlung für die Reihenfolge der Umsetzung: Einstufung je rechtlich selbständiger Einheit dokumentieren (Abschnitt 1) → Registrierung prüfen und nachholen (Abschnitt 6) → meldeberechtigte Rolle und Meldeweg hinterlegen (Abschnitt 5) → Erheblichkeits-Playbook (Abschnitt 4) → Fernwartungszugänge und Netztrennung (Abschnitt 2) → Lieferantenregister und Klauseln (Abschnitt 3) → Geschäftsleitungsschulung dokumentieren (Abschnitt 6).

2. Wie sichern Sie Leittechnik und SCADA ab?

Leittechnik und SCADA sichern Sie über drei Hebel ab: Trennung von Prozessnetz und Büro-IT, kontrollierte Fernwartungszugänge und einen Business-Continuity-Plan mit RTO und RPO je versorgungskritischem Prozess — den rechtlichen Rahmen setzt § 30 BSIG. Verlangt sind dort geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten; die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 BSIG). Pumpensteuerung, Chlor-Dosierung und Rohrnetz-Monitoring sind die versorgungskritischen Prozesse; sie gehören in den Business-Continuity-Plan (§ 30 Abs. 2 Nr. 3 BSIG); Praxisempfehlung: je Prozess eigene RTO- und RPO-Werte festlegen und je Prozess festhalten, ob und wie lange ein Handbetrieb als Rückfallebene möglich ist. Auf der OT/SCADA-Ebene ist ISA/IEC 62443 der Standard für Industrial Control Systems; rechtlich greift er über § 30 Abs. 2 Satz 1 BSIG — die Maßnahmen sollen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Drei Bereiche aus dem Katalog des § 30 Abs. 2 BSIG betreffen die Leittechnik unmittelbar:

• Aufrechterhaltung des Betriebs § 30 Abs. 2 Nr. 3 BSIG — Business-Continuity-Plan, Backup-Konzept, getesteter Disaster-Recovery-Plan, Krisenmanagement-Plan samt interner und externer Kommunikation. Praxisempfehlung: je Prozess eigene RTO- und RPO-Werte festlegen. Praxisempfehlung für die Backups: 3-2-1-Prinzip oder gleichwertig.
• Personalsicherheit, Zugriffskontrolle und Authentifizierung § 30 Abs. 2 Nr. 9 BSIG § 30 Abs. 2 Nr. 10 BSIG — Berechtigungskonzept nach Need-to-know, Onboarding- und Offboarding-Workflow, Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation. Praxisempfehlung: MFA zuerst auf allen Administrations- und externen Zugängen, insbesondere bei der Fernwartung der Leittechnik; den Offboarding-Workflow auch auf die Konten externer Wartungsfirmen und Integratoren anwenden, nicht nur auf eigene Beschäftigte.
• Cyberhygiene und Schulungen § 30 Abs. 2 Nr. 7 BSIG — grundlegende Schulungen und Sensibilisierungsmaßnahmen. Die folgenden Intervalle sind Praxisempfehlungen und Erfahrungswerte, keine Fristen aus dem BSIG: jährliche Schulung aller Mitarbeitenden, Onboarding-Schulung in den ersten vier Wochen, quartalsweise Phishing-Simulation und eine sektorspezifische SCADA-Schulung für das Leitwartenpersonal und die Instandhaltung.

IT/OT-Trennung: Prozessnetz, Fernwartung, Patches

Die folgenden drei Punkte sind Praxisempfehlungen für die Umsetzung im Wasser- und Abfallbetrieb: Das Gesetz benennt die Maßnahmenbereiche, die technische Ausgestaltung bleibt risikobasiert und verhältnismäßig (§ 30 Abs. 1 und Abs. 2 BSIG).

• Prozessnetz von der Büro-IT trennen. Leitwarte, Fernwirktechnik und Außenstationen in eigene Netzsegmente legen, den Übergang zur Büro-IT auf definierte Verbindungen begrenzen und diese protokollieren. Das Berechtigungskonzept (§ 30 Abs. 2 Nr. 9 BSIG) sollte für das Prozessnetz eigene Rollen führen — ein Büro-Konto ist kein Leitwarten-Konto.
• Fernwartung der SCADA-Lieferanten über einen zentralen, protokollierten Zugang. Freischaltung zeitlich befristet und auf Anforderung, Multi-Faktor-Authentifizierung verpflichtend (§ 30 Abs. 2 Nr. 10 BSIG), Sitzungen aufzeichnen. Der Zugang gehört zugleich in die Lieferantenbewertung nach Abschnitt 3 — er ist das schärfste Kriterium für die Risikoklasse eines Lieferanten.
• Patch-Fenster an die Wartungsstillstände koppeln. Für Leittechnik, die im laufenden Betrieb nicht patchbar ist, den Zeitpunkt vorab planen und bis dahin eine kompensierende Maßnahme dokumentieren (Segmentierung, Zugriffssperre, verschärfte Überwachung). Das gehört zum Schwachstellenmanagement bei Erwerb, Entwicklung und Wartung (§ 30 Abs. 2 Nr. 5 BSIG).

3. Was verlangt die Lieferketten-Sorgfalt nach § 30 Abs. 2 Nr. 4 BSIG?

§ 30 Abs. 2 Nr. 4 BSIG macht die Sicherheit der Lieferkette zu einem eigenen Pflichtbereich; in Österreich steht der gleichlaufende § 32 Abs. 4 lit. d NISG 2026. Im Wasser- und Abfallbetrieb betrifft das vor allem SCADA-Hersteller (Siemens Water, Schneider Electric, Endress+Hauser), IT-Dienstleister und Wartungs-Firmen. Praxisempfehlung für den Einstieg: Erfassen Sie zuerst alle Lieferanten mit Zugriff auf die Leittechnik oder mit Fernwartungsfähigkeit — diese Gruppe wird zuerst vertraglich nachgezogen, alle übrigen bei der nächsten Vertragsverlängerung. Vier Bausteine strukturieren den Bereich:

• Lieferanten-Bewertung mit Risikoklassifizierung. Praxisempfehlung für die Kriterien: Zugriff auf die Leittechnik, Fernwartungsfähigkeit und Ersetzbarkeit des Lieferanten. Praxisempfehlung für die Zuordnung in drei Klassen: Klasse A = schreibender oder Fernwartungszugriff auf die Leittechnik, Klasse B = Zugriff auf die Büro-IT mit Datenbezug, Klasse C = ohne IT-Zugriff. Je Klasse eine Konsequenz — A: Klausel, Auditrecht und MFA-Zugang; B: Klausel; C: Registereintrag.
• Cybersecurity-Klauseln in den Standard-Verträgen. Praxisempfehlung für die Mindestinhalte: Meldefrist bei eigenen Vorfällen, Weitergabe der Pflichten an Subunternehmer, Nachweis- und Auditrecht, Patch- und Schwachstellenpflichten sowie eine Regelung für den Ausstieg. Praxisempfehlung für die Meldepflicht des Lieferanten bei eigenen Vorfällen: vertraglich binnen 24 Stunden. Das ist Vertragsgestaltung, keine gesetzliche Frist des Lieferanten.
• Right-to-Audit für kritische Lieferanten. Praxisempfehlung: Turnus und Vorlauffrist vertraglich festlegen und die Vorlage eines gültigen Zertifikats als Alternative zum Vor-Ort-Audit zulassen — für Klasse A jährlich, mit einer Vorlauffrist von 4 Wochen.
• Vertragsregister. Praxisempfehlung für die Felder: Lieferant, Risikoklasse, Klausel-Status sowie Vertragsende und Nachverhandlungstermin.

Nach Praxiseinschätzung ist die Sicherheit der Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG eine häufige Schwachstelle — typischerweise fehlen Cybersecurity-Klauseln in den Verträgen. Praxisempfehlung für Altverträge, die vor der Verlängerung nicht angefasst werden können: bis zur Nachverhandlung eine kompensierende technische Maßnahme dokumentieren, in der Regel den kontrollierten Fernwartungszugang aus Abschnitt 2. Den Stand halten Sie am einfachsten im Vertragsregister fest. Unmittelbar daneben steht die Sicherheit beim Erwerb, bei der Entwicklung und bei der Wartung von IT-Systemen (§ 30 Abs. 2 Nr. 5 BSIG) — praktisch ein dokumentiertes Schwachstellenmanagement mit definiertem Prozess für die koordinierte Offenlegung von Schwachstellen (CVD).

4. Wann ist ein Vorfall meldepflichtig? Die Erheblichkeitsschwelle

Meldepflichtig wird ein Vorfall erst, wenn er die Erheblichkeitsschwelle erreicht — maßgeblich sind dafür die in § 2 Nr. 11 BSIG genannten Auswirkungen. Ein erheblicher Sicherheitsvorfall liegt nach § 2 Nr. 11 BSIG vor, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann — oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert diese Schwelle mit quantitativen Kriterien, betrifft aber nur bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, Cloud- und Rechenzentrumsdienste oder Online-Marktplätze. Für Wasser- und Abfallbetriebe bleibt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG maßgeblich. In Österreich steht die entsprechende Schwelle in § 35 Abs. 1 NISG 2026; dort müssen die finanziellen Verluste ausdrücklich schwerwiegend sein. Praxisempfehlung: die Erheblichkeitsbewertung vorab im Incident-Response-Playbook festlegen — die 24-Stunden-Frist läuft ab Kenntnis des Vorfalls, nicht ab dessen Beginn (§ 32 Abs. 1 Nr. 1 BSIG).

Weil eine sektorspezifische Konkretisierung für Wasser und Abfall bisher fehlt, muss der Betrieb die Subsumtion selbst leisten. Praxisempfehlung für das Playbook: Legen Sie vorab fest, welche Ereignisse Ihres Betriebs Sie an den beiden Tatbestandsalternativen des § 2 Nr. 11 BSIG messen. Kandidaten aus dem Wasser- und Abfallbetrieb:

• Erste Alternative — schwerwiegende Betriebsstörung der Dienste oder finanzielle Verluste der Einrichtung: Ausfall oder Manipulation der Pumpensteuerung oder der Chlor-Dosierung, Verlust der Leitwarten-Sicht auf das Rohrnetz, erzwungener Handbetrieb über die im Business-Continuity-Plan festgelegte Dauer hinaus, Ausfall von Waage- und Tourenplanungssystemen in der Abfallentsorgung.
• Zweite Alternative — Beeinträchtigung Dritter durch erhebliche materielle oder immaterielle Schäden: Versorgungsunterbrechung bei angeschlossenen Haushalten und Betrieben, Anordnung des Abkochens von Trinkwasser, unkontrollierte Einleitung von Abwasser, ausbleibende Entsorgung bei Dritten.

Legen Sie je Ereignis vorab fest, ab welchem Ausmaß und ab welcher Dauer Sie die Schwelle als erreicht ansehen, und dokumentieren Sie die Bewertung im Vorfall — auch dann, wenn sie gegen eine Meldung ausfällt.

Praxisempfehlung für drei häufige Ereignisse — die Schwellenvorschläge sind betriebsinterne Festlegungen, keine rechtlich vorgegebenen Schwellen:

Für Standorte in Österreich führen Sie diese Liste getrennt: § 35 Abs. 1 NISG 2026 verlangt bei den finanziellen Verlusten ausdrücklich schwerwiegende Verluste, und die Meldung geht dort nicht an BSI und BBK, sondern an das zuständige CSIRT (§ 34 Abs. 1 NISG 2026).

5. Meldekette: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle melden Sie in bis zu vier Stufen an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) — § 32 Abs. 1 Nr. 1 bis 4 BSIG; dauert der Vorfall nach einem Monat noch an, tritt die Fortschrittsmeldung nach § 32 Abs. 2 BSIG hinzu. Die Meldekette nach § 32 BSIG:

Praxisempfehlung zum Meldeweg: Klären Sie den Zugang zur gemeinsamen Meldestelle von BSI und BBK vor dem Ernstfall und hinterlegen Sie ihn samt Zugangsdaten im Incident-Response-Playbook — in der 24-Stunden-Frist ist keine Zeit, den Meldeweg erst zu suchen. Benennen Sie eine meldeberechtigte Rolle samt Vertretung und halten Sie einen Ersatzweg bereit, falls die eigene Infrastruktur zum Meldezeitpunkt selbst betroffen ist (Kontaktdaten und Meldevorlagen außerhalb der betroffenen Systeme, etwa in Papierform in der Leitwarte).

Neben dem BSI kann die zuständige Wasserbehörde beteiligt sein; wasserrechtliche Melde- und Anzeigepflichten aus dem Landesrecht können hinzutreten und sind hier nicht dargestellt. Praxisempfehlung: Klären Sie die zuständige Wasserbehörde und deren Meldeweg einmalig vorab und hinterlegen Sie beides im Incident-Response-Playbook.

6. Registrierung, Nachweis und Geschäftsleitung: was Kommunalwerke in Deutschland tun müssen

Zwei Pflichten treffen jede betroffene Einrichtung in Deutschland — die Registrierung und die Verantwortung der Geschäftsleitung; hinzu kommt für Betreiber kritischer Anlagen der Nachweis nach § 39 Abs. 1 BSIG. Die Registrierung erfolgt nach § 33 Abs. 1 BSIG über eine gemeinsam vom BSI und vom BBK eingerichtete Registrierungsmöglichkeit — praktisch über das Portal Mein Unternehmenskonto — spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt; dieselbe Pflicht trifft Domain-Name-Registry-Diensteanbieter (§ 33 Abs. 1 BSIG). Zu übermitteln sind Name samt Rechtsform und gegebenenfalls Handelsregisternummer, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail, öffentlicher IP-Adressbereiche und Telefonnummern, der relevante Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten mit Diensterbringung sowie die zuständigen Aufsichtsbehörden des Bundes und der Länder; Änderungen dieser Angaben sind nachzumelden (§ 33 Abs. 5 BSIG, Frist in der Tabelle unten). Zentrale Aufsichtsbehörde ist dabei das BSI; welche Landesbehörde einzutragen ist, ist hier nicht dargestellt. Betreiber kritischer Anlagen registrieren sich abweichend nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG); bleibt die Registrierung aus, kann das BSI sie selbst vornehmen (§ 33 Abs. 3 BSIG).

Der Nachweis nach § 39 Abs. 1 BSIG trifft Betreiber kritischer Anlagen: Sie weisen die Umsetzung der Maßnahmen nach § 30 Abs. 1 i. V. m. § 31 BSIG zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel. Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den für die Rechtsform geltenden Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Hinzu kommt die Pflicht zur regelmäßigen Schulungsteilnahme (§ 38 Abs. 3 BSIG). Bei Verstößen gegen Risikomanagement- und Meldepflichten reicht der Bußgeldrahmen bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG); erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße treten 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes an deren Stelle. Gesamtumsatz ist die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein Bußgeld nach der DSGVO, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

Kommunale Rechtsformen und Querverbund

Betroffenheit und Registrierung knüpfen an die einzelne Einrichtung an, nicht an den kommunalen Verbund. Praxisempfehlung: Prüfen Sie die Schwellen des § 28 BSIG für jede rechtlich selbständige Einheit gesondert — Eigenbetrieb, Anstalt des öffentlichen Rechts, Zweckverband und Stadtwerke-GmbH sind unterschiedlich aufgestellt; für die Größenbestimmung ist nach § 28 Abs. 4 BSIG die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs anzuwenden; die Konzernzugehörigkeit kann dabei verbundene Unternehmen einbeziehen.

Beim Mehrspartenbetrieb — ein Stadtwerk mit Energie und Wasser, teils zusätzlich Abfall — verlangt § 33 Abs. 1 BSIG die Angabe des relevanten Sektors nach Anlage 1 oder 2. Praxisempfehlung: alle einschlägigen Sektoren angeben; intern gilt die höchste einschlägige Einstufung (Abschnitt 1).

Für die Geschäftsleitung verweist § 38 Abs. 2 BSIG auf die für die Rechtsform geltenden Regeln des Gesellschaftsrechts; enthält das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung, haftet die Geschäftsleitung nach § 38 Abs. 2 Satz 2 BSIG subsidiär nach dem BSIG selbst. Welche Regeln das für einen Eigenbetrieb, eine Anstalt des öffentlichen Rechts oder einen Zweckverband sind, ist hier nicht dargestellt. Weil die subsidiäre Haftung nach § 38 Abs. 2 Satz 2 BSIG gerade dann greift, wenn das einschlägige Organisationsrecht keine Haftungsregel enthält, ist die schriftliche Zuweisung der Pflichten nach § 38 BSIG für Eigenbetrieb, Anstalt des öffentlichen Rechts und Zweckverband praktisch die entscheidende Absicherung. Praxisempfehlung: Halten Sie schriftlich fest, wer die Pflichten nach § 38 BSIG wahrnimmt — Werkleitung, Vorstand oder Geschäftsführung — und dokumentieren Sie die Schulungsteilnahme (§ 38 Abs. 3 BSIG).

7. Österreich: NISG 2026 statt BSIG

In Österreich fallen Wasser (Anlage 1) und Abfallbewirtschaftung (Anlage 2) ab dem 01.10.2026 unter das NISG 2026 (BGBl. I Nr. 94/2025), nicht unter das BSIG: Aufsicht durch die Cybersicherheitsbehörde, Risikomanagement nach § 32, Meldung erheblicher Vorfälle an das zuständige CSIRT nach § 34 (24 Stunden / 72 Stunden / 1 Monat) und Registrierung nach § 29 (Termine in der Tabelle unten). Die BSI-KritisV und die Registrierung bei BSI und BBK sind demgegenüber rein deutsches Recht. Die Bußgeldrahmen entsprechen mit bis zu 10 Mio. EUR / 2 % (wesentliche) bzw. 7 Mio. EUR / 1,4 % (wichtige Einrichtungen) der Richtlinie (§ 45 Abs. 2 und 3 NISG 2026; verhängt werden die Verwaltungsstrafen durch die Bezirksverwaltungsbehörde). Auch der Nachweisweg unterscheidet sich: Der 3-Jahres-Nachweis nach § 39 Abs. 1 BSIG betrifft nur deutsche Betreiber kritischer Anlagen; in Österreich gilt stattdessen § 33 NISG 2026 — Selbstdeklaration der umgesetzten Risikomanagementmaßnahmen (Frist in der Tabelle unten) und, auf Aufforderung, Nachweis durch eine unabhängige Stelle binnen zwei Jahren. Wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach der Aufforderung nachweisen.

Zeitlich liegt Österreich hinter Deutschland. Das NISG 2026 ist kundgemacht (BGBl. I Nr. 94/2025, ausgegeben am 23.12.2025) und wird nach § 51 Abs. 1 und 2 mit Ablauf von neun Monaten nach der Kundmachung zum nächstfolgenden Monatsersten anwendbar. Größenschwellen: großes Unternehmen ab zumindest 250 Mitarbeitern oder über 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Bilanzsumme, mittleres Unternehmen ab zumindest 50 Mitarbeitern oder über 10 Mio. EUR Jahresumsatz und über 10 Mio. EUR Bilanzsumme (§ 25 Abs. 2 und 3 NISG 2026). Große Unternehmen der Anlage-1-Arten sind wesentliche Einrichtungen, Anlage-1- und Anlage-2-Arten mit großem oder mittlerem Unternehmen wichtige Einrichtungen, soweit sie nicht bereits wesentliche Einrichtung sind (§ 24 Abs. 1 und 2 NISG 2026). Zwei Abweichungen gegenüber Deutschland sind für die Umsetzung wesentlich: Vorfallsmeldungen gehen an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT (§ 34 Abs. 1) — die Weiterleitung an die Cybersicherheitsbehörde erfolgt von dort; und für die Leitungsorgane gilt § 31 NISG 2026 mit Sicherstellungs-, Aufsichts- und Schulungspflicht, aber ohne eine explizite Innenhaftungs-Regel analog § 38 Abs. 2 BSIG. Im Sektor öffentliche Verwaltung erfasst das NISG 2026 Bund und Länder (§ 24 Abs. 4 und 5); Gemeinden und Gemeindeverbände sind dort ausgenommen (§ 24 Abs. 3 letzter Satz NISG 2026).