Risikomanagement · § 32 NISG 2026
Die zehn Maßnahmen, wie das Gesetz sie nennt
§ 32 Abs. 4 verlangt geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht, die zumindest zehn Inhalte umfassen. Der Maßstab ist der Stand der Technik, einschlägige Normen und die Kosten der Umsetzung (Abs. 2); die Verhältnismäßigkeit richtet sich nach Risikoexposition, Größe und wahrscheinlicher Schwere eines Vorfalls (Abs. 3).
§ 32 Abs. 4 lit. a
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
In der Praxis: Eine dokumentierte Risikoanalyse je Dienst, eine Sicherheitsleitlinie, die die Leitungsorgane unterzeichnen, und ein Verzeichnis der Systeme, die die Dienste tragen.
§ 32 Abs. 4 lit. b
Bewältigung von Cybersicherheitsvorfällen
In der Praxis: Ein Vorfallprozess mit Rollen, Eskalation und der Meldekette an Ihr CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden (§ 34 Abs. 2).
§ 32 Abs. 4 lit. c
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
In der Praxis: Getestete Backups, Wiederanlaufpläne mit Zielzeiten und ein Krisenstab, der auch ohne die betroffenen Systeme erreichbar ist.
§ 32 Abs. 4 lit. d
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
In der Praxis: Ein Lieferantenverzeichnis mit Kritikalität, Sicherheitsanforderungen im Vertrag und eine wiederkehrende Bewertung Ihrer IT-Dienstleister, auch der Managed-Service-Provider.
§ 32 Abs. 4 lit. e
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
In der Praxis: Patch-Zyklen mit Fristen nach Schwere, ein Verfahren für gemeldete Schwachstellen und Sicherheitsanforderungen in der Beschaffung.
§ 32 Abs. 4 lit. f
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
In der Praxis: Kennzahlen je Maßnahme, interne Überprüfungen und ein Jahresbericht an die Leitungsorgane, der zugleich die Selbstdeklaration vorbereitet.
§ 32 Abs. 4 lit. g
Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
In der Praxis: Regeln für Passwörter, Updates und Geräte, dazu Schulungen für Mitarbeiter und die eigene Schulung der Leitungsorgane nach § 31 Abs. 2.
§ 32 Abs. 4 lit. h
Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
In der Praxis: Eine Kryptografierichtlinie: welche Verfahren, wo verschlüsselt wird, wie Schlüssel verwaltet und erneuert werden.
§ 32 Abs. 4 lit. i
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
In der Praxis: Ein- und Austrittsprozesse, Berechtigungen nach dem Prinzip der geringsten Rechte, regelmäßige Rezertifizierung und ein gepflegtes Anlageninventar.
§ 32 Abs. 4 lit. j
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme
In der Praxis: MFA auf allen Fernzugängen und Administrationskonten, verschlüsselte Kommunikationskanäle und ein Notfallkanal, der nicht von Ihrem Netz abhängt.
Kein eigener Katalog, aber ein verbindlicher Maßstab: die NISV 2026
Deutschland hat den IT-Grundschutz, Belgien das CyFun, Italien die Misure ACN. Österreich hat keinen eigenen Katalog geschrieben. Die Cybersicherheitsbehörde hat die Verordnungsermächtigung des § 32 Abs. 5 am 1. Oktober 2026 genutzt: Nach § 2 der NISV 2026 (BGBl. II Nr. 290/2026) gelten die näheren Anforderungen von Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auch für alle in den Anlagen 1 und 2 des NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen, die diese Durchführungsverordnung nicht ohnehin erfasst.
Dazu kommen zwei Pflichten der Verordnung selbst. Die Risikoanalyse hat sich zumindest an vier Risikokategorien zu orientieren: technologische und menschliche Risiken, Risiken in der IKT-Lieferkette und standortbezogene Risiken für Netz- und Informationssysteme (§ 3). Kann eine Einrichtung einer Anforderung vorübergehend oder aufgrund ihrer Größe nicht entsprechen, setzt sie kompensierende Maßnahmen um, dokumentiert sie nachvollziehbar und begründet und überprüft ihre Wirksamkeit zumindest jährlich; für Anforderungen, denen ausdrücklich nur soweit angemessen, anwendbar oder durchführbar zu entsprechen ist, besteht diese Pflicht nicht (§ 4).
Reglyze bildet die zehn Inhalte des § 32 Abs. 4 eins zu eins ab und bewertet auf dem NIS2-Substrat. Den Anhang der Durchführungsverordnung (EU) 2024/2690 führt Reglyze noch nicht als eigene Prüfliste.
Der Nachweis in zwei Schritten (§ 33)
Schritt 1 · Selbstdeklaration
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Sie der Behörde strukturierte Informationen zu den umgesetzten Maßnahmen, den genutzten Systemen, der Sicherheit der Lieferketten und den Ergebnissen der Risikoanalyse (§ 33 Abs. 1). Wissentlich falsche Angaben sind strafbar (§ 45 Abs. 4 Z 8).
Schritt 2 · Unabhängige Stelle
Auf Aufforderung der Behörde, frühestens zwei Jahre nach Inkrafttreten, weisen Sie die Umsetzung durch eine Prüfung einer unabhängigen Stelle nach; wesentliche Einrichtungen binnen zwei Monaten, sonst binnen zwei Jahren. Der operative und organisatorische Teil kann auch durch gültige Zertifikate belegt werden (§ 33 Abs. 2). Den Prüfbericht unterzeichnen Leitungsorgane und Prüfer (§ 33 Abs. 3).