Österreich legt Anforderungen an Cybersicherheits-Risikomanagement fest und definiert erhebliche Vorfälle
Die österreichische Cybersicherheitsbehörde hat eine Verordnung (NISV 2026) erlassen, die konkrete Anforderungen an die Verwaltung von Cybersicherheitsrisiken durch wesentliche und wichtige Einrichtungen festlegt und definiert, wann ein Cyberanfall als erheblich gilt.
Was sich geändert hat
Die Verordnung legt konkrete Anforderungen an das Risikomanagement für wesentliche und wichtige Einrichtungen fest, wendet EU-Durchführungsbestimmungen auf österreichische Einrichtungen an und benennt neun Kriterien, die automatisch einen Cyberanfall als erheblich einstufen – darunter finanzielle Verluste über 500 000 EUR, Abfluss von Geschäftsgeheimnissen, Tod oder schwere Gesundheitsschädigung, Serviceausfälle für 100 000+ Nutzer oder 10 % der Nutzer (je nachdem, welcher Wert niedriger ist) länger als 24 Stunden, oder geografische Ausfälle in zumindest einem Bundesland länger als 24 Stunden.
Wer ist betroffen
Wesentliche und wichtige Einrichtungen wie Betreiber kritischer Infrastrukturen, Online-Plattformen, Cloud-Anbieter, Rechenzentren, DNS-Anbieter und Vertrauensdiensteanbieter müssen diese Cybersicherheitsregeln des österreichischen Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026) einhalten.
Worauf zu achten ist
Einrichtungen müssen vier Risikokategorien beachten: technologische Risiken, menschliche Risiken, Risiken in der IKT-Lieferkette und standortbezogene Risiken für Netz- und Informationssysteme. Wenn Sie eine Anforderung aufgrund Ihrer Größe oder vorübergehend nicht erfüllen können, müssen Sie kompensierende Maßnahmen umsetzen, diese begründet dokumentieren und deren Wirksamkeit zumindest jährlich überprüfen. Planmäßige Wartungsarbeiten und geplante Betriebsunterbrechungen gelten nicht als erhebliche Vorfälle; wiederholte Vorfälle mit derselben Ursache innerhalb von sechs Monaten, die zusammengenommen die finanziellen oder Auswirkungskriterien erfüllen, zählen jedoch als ein erheblicher Vorfall.