Risikomanagement · § 32 NISG 2026
Die zehn Maßnahmen, wie das Gesetz sie nennt
§ 32 Abs. 4 verlangt geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht, die zumindest zehn Inhalte umfassen. Der Maßstab ist der Stand der Technik, einschlägige Normen und die Kosten der Umsetzung (Abs. 2); die Verhältnismäßigkeit richtet sich nach Risikoexposition, Größe und wahrscheinlicher Schwere eines Vorfalls (Abs. 3).
§ 32 Abs. 4 lit. a
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
In der Praxis: Eine dokumentierte Risikoanalyse je Dienst, eine Sicherheitsleitlinie, die die Leitungsorgane unterzeichnen, und ein Verzeichnis der Systeme, die die Dienste tragen.
§ 32 Abs. 4 lit. b
Bewältigung von Cybersicherheitsvorfällen
In der Praxis: Ein Vorfallprozess mit Rollen, Eskalation und der Meldekette an Ihr CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden (§ 34 Abs. 2).
§ 32 Abs. 4 lit. c
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
In der Praxis: Getestete Backups, Wiederanlaufpläne mit Zielzeiten und ein Krisenstab, der auch ohne die betroffenen Systeme erreichbar ist.
§ 32 Abs. 4 lit. d
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
In der Praxis: Ein Lieferantenverzeichnis mit Kritikalität, Sicherheitsanforderungen im Vertrag und eine wiederkehrende Bewertung Ihrer IT-Dienstleister, auch der Managed-Service-Provider.
§ 32 Abs. 4 lit. e
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
In der Praxis: Patch-Zyklen mit Fristen nach Schwere, ein Verfahren für gemeldete Schwachstellen und Sicherheitsanforderungen in der Beschaffung.
§ 32 Abs. 4 lit. f
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
In der Praxis: Kennzahlen je Maßnahme, interne Überprüfungen und ein Jahresbericht an die Leitungsorgane, der zugleich die Selbstdeklaration vorbereitet.
§ 32 Abs. 4 lit. g
Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
In der Praxis: Regeln für Passwörter, Updates und Geräte, dazu Schulungen für Mitarbeiter und die eigene Schulung der Leitungsorgane nach § 31 Abs. 2.
§ 32 Abs. 4 lit. h
Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
In der Praxis: Eine Kryptografierichtlinie: welche Verfahren, wo verschlüsselt wird, wie Schlüssel verwaltet und erneuert werden.
§ 32 Abs. 4 lit. i
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
In der Praxis: Ein- und Austrittsprozesse, Berechtigungen nach dem Prinzip der geringsten Rechte, regelmäßige Rezertifizierung und ein gepflegtes Anlageninventar.
§ 32 Abs. 4 lit. j
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme
In der Praxis: MFA auf allen Fernzugängen und Administrationskonten, verschlüsselte Kommunikationskanäle und ein Notfallkanal, der nicht von Ihrem Netz abhängt.
Warum es hier keinen Katalog gibt
Deutschland hat den IT-Grundschutz, Belgien das CyFun, Italien die Misure ACN. Österreich hat bewusst keinen solchen Katalog ins Gesetz geschrieben. § 32 Abs. 5 ermächtigt die Cybersicherheitsbehörde, nähere Anforderungen durch Verordnung festzulegen, auch sektorweise; am 18. September 2026 war keine solche Verordnung kundgemacht. Bis sie kommt, gelten die zehn Inhalte und der Maßstab der Abs. 2 und 3. Reglyze bildet diese Struktur eins zu eins ab und ergänzt eine Verordnung, sobald sie im Bundesgesetzblatt steht, statt vorher eine zu erfinden.
Der Nachweis in zwei Schritten (§ 33)
Schritt 1 · Selbstdeklaration
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Sie der Behörde strukturierte Informationen zu den umgesetzten Maßnahmen, den genutzten Systemen, der Sicherheit der Lieferketten und den Ergebnissen der Risikoanalyse (§ 33 Abs. 1). Wissentlich falsche Angaben sind strafbar (§ 45 Abs. 4 Z 8).
Schritt 2 · Unabhängige Stelle
Auf Aufforderung der Behörde, frühestens zwei Jahre nach Inkrafttreten, weisen Sie die Umsetzung durch eine Prüfung einer unabhängigen Stelle nach; wesentliche Einrichtungen binnen zwei Monaten, sonst binnen zwei Jahren. Der operative und organisatorische Teil kann auch durch gültige Zertifikate belegt werden (§ 33 Abs. 2). Den Prüfbericht unterzeichnen Leitungsorgane und Prüfer (§ 33 Abs. 3).