Branchenbezogene Umsetzungshinweise

Besonderheiten für öffentliche Einrichtungen

Auch Einrichtungen des Sektors der öffentlichen Verwaltung können nach § 24 NISG 2026 als wesentliche oder wichtige Einrichtungen eingestuft werden. Die Zuordnung richtet sich nach der jeweiligen Verwaltungsebene sowie den gesetzlichen Vorgaben des § 24 NISG 2026. Gemeinden und Gemeindeverbände sind jedoch ausdrücklich vom Begriff der „Einrichtungen des Sektors der öffentlichen Verwaltung“ im Sinne des NISG 2026 ausgenommen. • [Fußnote: NISG 2026, § 24 Abs 1 Z 1 lit d, § 24 Abs 2 Z 2 und § 24 Abs 3 bis 5.] 

Für öffentliche Einrichtungen gelten grundsätzlich dieselben materiellen Cybersicherheitspflichten wie für private Einrichtungen. Erfasste Behörden und sonstige Einrichtungen der öffentlichen Verwaltung haben daher insbesondere die Anforderungen an die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach § 32 NISG 2026 umzusetzen, erhebliche Cybersicherheitsvorfälle nach § 34 NISG 2026 zu melden sowie die Registrierungs-, Selbstdeklarations- und Nachweispflichten nach §§ 29 und 33 NISG 2026 zu erfüllen, sofern keine gesetzliche Ausnahme eingreift. Die Besonderheiten bei Durchsetzung und Sanktionen ergeben sich aus § 46 NISG 2026.

Gesundheitswesen

Im Gesundheitswesen kommt der Gewährleistung der Verfügbarkeit, Integrität und Wiederherstellbarkeit von Netz- und Informationssystemen besondere Bedeutung zu. Der Ausfall klinischer IT-Systeme kann die unmittelbare Patientenversorgung beeinträchtigen und damit nicht nur wirtschaftliche, sondern auch erhebliche gesundheitliche Folgen nach sich ziehen. Vor diesem Hintergrund gehören Einrichtungen des Gesundheitswesens zu den besonders schutzbedürftigen Sektoren des NISG 2026.

Ein Cyberangriff, insbesondere durch Ransomware, kann gleichzeitig eine Vielzahl zentraler Krankenhausprozesse beeinträchtigen. Betroffen sein können unter anderem die Termin- und Ressourcenplanung, Labor- und Radiologiesysteme, elektronische Medikations- und Verordnungssysteme, die medizinische Dokumentation, Verwaltungs- und Abrechnungssysteme sowie weitere für die Patientenversorgung erforderliche Anwendungen. Führt ein solcher Vorfall zu schwerwiegenden Betriebsstörungen oder ist er geeignet, erhebliche materielle oder immaterielle Schäden für andere natürliche oder juristische Personen zu verursachen, kann ein erheblicher Cybersicherheitsvorfall iSd § 35 Abs 1 NISG 2026 vorliegen und die gesetzlichen Meldepflichten auslösen.

Die nach § 32 NISG 2026 umzusetzenden Risikomanagementmaßnahmen umfassen im Gesundheitsbereich insbesondere technische und organisatorische Vorkehrungen zur Erhöhung der Resilienz kritischer klinischer Systeme. Hierzu zählen regelmäßig Netzwerksegmentierung, starke Authentifizierungsverfahren einschließlich Multi-Faktor-Authentifizierung, rollenbasierte Zugriffskonzepte, Datensicherungen mit regelmäßigen Wiederherstellungstests, Notfall- und Wiederanlaufverfahren, Maßnahmen zur Absicherung vernetzter Medizinprodukte sowie ein risikoorientiertes Lieferantenmanagement. Ergänzend sind Melde- und Eskalationsprozesse vorzusehen, um Sicherheitsvorfälle zeitnah zu erkennen, zu bewerten und entsprechend den gesetzlichen Vorgaben zu melden.

Neben den Meldepflichten nach dem NISG 2026 ist im Gesundheitssektor insbesondere zu beachten, welches Computer Notfallteam (CSIRT) für die Meldung zuständig ist. Für Einrichtungen des Sektors Gesundheitswesen erfolgt die Meldung nach den NIS Vorgaben regelmäßig über das Austrian HealthCERT als sektorspezifisches CSIRT. Die NISG Meldung wird damit über den vorgesehenen Meldekanal eingebracht; das zuständige CSIRT leitet sie anschließend an die Cybersicherheitsbehörde weiter. • [Fußnote: NISG 2026, § 34 Abs 1; GTelG 2012, § 8a; Erläuterungen zur Änderung des GTelG 2012 betreffend Meldungen nach §§ 34 und 37 NISG 2026.]  Daher empfiehlt sich eine abgestimmte Incident Response Organisation, die Meldewege, Zuständigkeiten und Fristen konsistent abbildet und sicherstellt, dass alle erforderlichen Inhalte fristgerecht an den richtigen Empfänger übermittelt werden – ohne widersprüchliche Angaben oder Informationsverluste.

Energie

Im Energiesektor stehen insbesondere die Sicherheit und Resilienz industrieller Steuerungs- und Leitsysteme (Operational Technology – OT) im Mittelpunkt der Cybersicherheitsmaßnahmen. Von besonderer Bedeutung ist dabei die Trennung sowie die kontrollierte Kommunikation zwischen der klassischen Büro-IT und betriebskritischen Leitsystemen. Eine unzureichende Segmentierung dieser Bereiche kann dazu führen, dass Angriffe auf administrative Systeme auf betriebliche Steuerungsanlagen übergreifen und dadurch die Versorgungssicherheit beeinträchtigen.

Ein erhöhtes Risikopotenzial besteht insbesondere bei Fernwartungszugängen, externen Dienstleistern für Betrieb und Wartung von Energieanlagen, Lieferanten von Hard- und Softwarekomponenten sowie der Notfall- und Krisenkommunikation. Diese Bereiche sind regelmäßig Bestandteil der Lieferkette und daher in die Risikoanalyse sowie die Risikomanagementmaßnahmen nach § 32 NISG 2026 einzubeziehen. Darüber hinaus verlangt das Gesetz ausdrücklich, dass die Cybersicherheitsmaßnahmen auch physische Komponenten sowie die physische Umgebung von Netz- und Informationssystemen berücksichtigen. Der Schutz kritischer Infrastrukturen beschränkt sich daher nicht auf informationstechnische Maßnahmen, sondern umfasst auch die physische Sicherheit der Anlagen und ihrer Betriebsumgebung.

Ein erheblicher Cybersicherheitsvorfall iSd § 35 Abs 1 NISG 2026 kann bereits dann vorliegen, wenn ein Sicherheitsvorfall geeignet ist, eine schwerwiegende Betriebsstörung zu verursachen. Ein tatsächlich eingetretener längerfristiger Ausfall der Energieversorgung ist für die Qualifikation als erheblicher Cybersicherheitsvorfall nicht zwingend erforderlich. Maßgeblich ist vielmehr die konkrete Eignung des Vorfalls, die Verfügbarkeit oder Sicherheit der betroffenen Dienste erheblich zu beeinträchtigen.

Vor diesem Hintergrund sollten Energieunternehmen bereits im Rahmen ihres Incident-Response- und Krisenmanagements klare Schwellenwerte, Eskalationskriterien und Entscheidungsprozesse für die Bewertung von Sicherheitsvorfällen festlegen. Dies gilt insbesondere für Angriffe auf industrielle Steuerungs- und Leittechnik, den Ausfall oder die Kompromittierung von Fernwartungszugängen, Sicherheitsvorfälle mit Auswirkungen auf zentrale Identitäts- und Zugriffsmanagementsysteme sowie koordinierte Angriffe auf mehrere Anlagen oder Standorte. Eine frühzeitige Definition dieser Kriterien erleichtert die Einhaltung der gesetzlichen Meldepflichten und unterstützt eine zeitnahe Reaktion auf sicherheitsrelevante Ereignisse.

Auch für den Sektor Energie existiert eine sektorspezifische Meldeplattform (AEC/Austrian Energy CERT).

IKT-Dienste

Bei Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten (Managed Services) und verwalteten Sicherheitsdiensten (Managed Security Services) ergeben sich besondere Cybersicherheitsrisiken aus der Mehrmandantenarchitektur (Multi-Tenancy). Sicherheitsvorfälle können sich aufgrund gemeinsam genutzter Infrastruktur, zentraler Verwaltungsfunktionen oder gemeinsamer Dienste gleichzeitig auf eine Vielzahl von Kunden auswirken und dadurch erhebliche Kaskadeneffekte verursachen. Dies ist bei der Risikoanalyse und der Auswahl geeigneter Risikomanagementmaßnahmen nach § 32 NISG 2026 besonders zu berücksichtigen.

Im Mittelpunkt stehen insbesondere Maßnahmen zur wirksamen Trennung der Mandantenumgebungen, zur Absicherung privilegierter Administrationszugänge, zur Protokollierung sicherheitsrelevanter Vorgänge, zum Schwachstellen- und Patchmanagement sowie zur Steuerung von Risiken innerhalb der Lieferkette. Von besonderer Bedeutung sind ferner Regelungen über den Einsatz von Subunternehmern, Verfahren zur Information betroffener Kunden im Fall eines Sicherheitsvorfalls sowie dokumentierte Wiederherstellungsziele und Wiederanlaufverfahren. Aufgrund der hohen Abhängigkeit der Kunden von den angebotenen Diensten kommt einer nachvollziehbaren Dokumentation dieser Maßnahmen im Rahmen der Nachweis- und Prüfungspflichten nach § 33 NISG 2026 besondere Bedeutung zu.

Für international tätige Anbieter ist darüber hinaus zu prüfen, welche nationale Behörde für die Aufsicht nach dem NISG 2026 zuständig ist. Für bestimmte Anbieter digitaler und kommunikationsbezogener Dienste knüpft § 28 NISG 2026 die Zuständigkeit insbesondere an den Ort der Hauptniederlassung, an einen benannten Vertreter innerhalb der Europäischen Union oder – abhängig von der jeweiligen Fallkonstellation – an die Erbringung der Dienste in Österreich an. Diese Zuständigkeitsregelungen dienen der Vermeidung von Aufsichtslücken bei grenzüberschreitend tätigen Unternehmen und setzen die entsprechenden unionsrechtlichen Vorgaben der NIS-2-Richtlinie um.

Für international organisierte Unternehmensgruppen folgt daraus, dass die Umsetzung der Anforderungen des NISG 2026 eng mit der Konzernorganisation abgestimmt werden muss. Insbesondere sollten die tatsächlichen Entscheidungsstrukturen für das Cybersicherheitsrisikomanagement, konzernweite Sicherheitsrichtlinien sowie die Verantwortlichkeiten zwischen Muttergesellschaften, Tochtergesellschaften und ausgelagerten Dienstleistern eindeutig dokumentiert sein, um die Einhaltung der gesetzlichen Pflichten gegenüber der zuständigen Cybersicherheitsbehörde nachweisen zu können.