1.4.9 Überblick DSGVO und NISG 2026

Zwischen den Anforderungen der DSGVO und des DSG an die Sicherheit personenbezogener Daten und jenen der NIS-2-Richtlinie und des Netz- und Informationssicherheitsgesetzes 2026 (NISG 2026) besteht eine enge Verbindung. Datenschutz und Netz- oder Informationssicherheit sind jedoch zwei getrennte Rechtsregime. Die NIS-2-Richtlinie lässt die Zuständigkeiten, Aufgaben und Befugnisse der Datenschutzbehörde gem DSGVO und DSG unberührt (vgl ErwGr 14 NIS-2-Richtlinie; § 21 Abs 1 NISG 2024). Jede Verarbeitung personenbezogener Daten im Rahmen des NISG 2026 unterliegt auch der DSGVO. In der Praxis können daher beide Regelwerke gleichzeitig zur Anwendung kommen. So sind zB bei einem Cyberangriff auf eine Gesundheitseinrichtung, bei der Patientendaten verschlüsselt werden, sowohl die Bestimmungen der DSGVO als auch des NISG 2026 anzuwenden.

Der österreichische Gesetzgeber hat am 23. Dezember 2025 das NISG 2026 zur Umsetzung der NIS-2-Richtlinie kundgemacht. Dies hätte gemäß NIS-2-Richtlinie bereits bis 18. Oktober 2024 erfolgen sollen, jedoch scheiterte der erste Entwurf des NISG 2024 im Parlament, da die erforderliche Zweidrittelmehrheit nicht zustande kam. Das NISG 2026 sieht – trotz langem Verzug in der Umsetzung der Richtlinie – eine gestaffelte Regelung zum Geltungsbeginn vor. Ab dem Tag nach der Kundmachung (konkret dem 24. Dezember 2025) haben die Republik Österreich und die betroffenen Unternehmen vorbereitende Maßnahmen zu setzen, die für die zeitgerechte Umsetzung der Anforderungen erforderlich sind. Die Hauptbestimmungen des NISG 2026 gelten ab 1. Oktober 2026.

Die DSGVO hat zum Ziel, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. Gem Art 5 Abs 1 lit f DSGVO müssen personenbezogene Daten von den jeweils Verantwortlichen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“). Der oder die Verantwortliche für die Verarbeitung personenbezogener Daten hat gem Art 24 iVm Art 25 und 32 DSGVO geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen, dass die Verarbeitung personenbezogener Daten gemäß der DSGVO erfolgt und ein dem Risiko angemessenes Schutzniveau gewährleistet wird.

Das NISG 2026 und die zugrunde liegende NIS-2-Richtlinie verfolgen einen sektorspezifischen Ansatz auf Organisationsebene, der darauf abzielt, ein hohes Cybersicherheitsniveau kritischer Infrastrukturen und wichtiger Dienste zu erreichen. Daher sind nicht alle Unternehmen vom Anwendungsbereich des NISG 2026 erfasst, sondern nur solche, die in ausgewählten kritischen Sektoren tätig sind oder eine bestimmte Art von Diensten erbringen. Das NISG 2026 unterscheidet dabei zwei Kategorien von Sektoren, Sektoren mit hoher Kritikalität gemäß Anlage 1 NISG 2026 einerseits und sonstige kritische Sektoren gemäß Anlage 2 NISG 2026. Relevante Sektoren sind zB Energie, Verkehr, Bankwesen, Wasser, Gesundheitswesen, öffentliche Verwaltung aber auch Produktion, Herstellung und Handel mit chemischen Stoffen oder Lebensmittel oder Verarbeitendes Gewerbe und Herstellung von Waren. Dieser sektorspezifische Ansatz wird durch Größenkriterien ergänzt.

Gem § 32 NISG 2026 (Art 21 NIS-2-Richtlinie) haben wesentliche und wichtige Einrichtungen iSd NISG 2026 geeignete und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen umzusetzen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Cybersicherheitsvorfällen auf die Empfänger und Empfängerinnen ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.

Übersicht

	DSGVO	NISG 2026
Sachlicher Anwendungsbereich	Verantwortliche und Auftragsverarbeiter einer Verarbeitung personenbezogener Daten iSd Art 4 Z 1, 2, 7 und 8 DSGVO	Wesentliche und wichtige Einrichtungen iSd § 24 iVm Anlage 1 und 2 NISG 2026
Schutzobjekt	Personenbezogene Daten	Informations- und Kommunikationssysteme und Netzwerke, die diese Systeme verbinden
Schutzziele	Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere des Rechts auf Privatsphäre, bei der Verarbeitung der sie betreffenden personenbezogenen Daten	Sicherheit der Netz- und Informationssysteme samt deren physischen Komponenten, die wesentliche und wichtige Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen sowie Verhinderungen bzw Minimierung von Auswirkungen von Cybersicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste Cybersicherheit bei der Erbringung von Diensten Resilienz kritischer Infrastrukturen
Risikoanalyse und Risikomanagement-maßnahmen	Analyse der Risiken für betroffene Personen Datenschutz-Folgenabschätzung für Datenverarbeitungen, die voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge haben (Art 35 DSGVO) Umsetzung geeigneter technischer und organisatorischer Maßnahmen, um ein angemessenes Schutzniveau für betroffene Personen zu gewährleisten (Art 32 DSGVO)	Analyse der Risiken für die Sicherheit der Netz- und Informationssysteme, die die Einrichtung für den Betrieb oder die Erbringung von Diensten nutzen (§ 32 NISG 2026) Umsetzung geeigneter und verhältnismäßiger technischer, operativer und organisatorischer Risikomanagementmaßnahmen (§ 32 NISG 2026)
Meldeverpflichtungen	Meldung der Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der Verletzung an die Datenschutzbehörde, wenn voraussichtlich ein oder ein hohes Risiko für betroffene Personen besteht (Art 33 DSGVO)	Frühwarnung binnen 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls an die zuständige CSIRT Meldung über den erheblichen Cybersicherheitsvorfall binnen 72 Stunden nach Kenntnisnahme an die CSIRT Ggf Zwischenbericht auf Ersuchen der CSIRT Abschlussbericht spätestens ein Monat nach Übermittlung der Meldung des Cybersicherheitsvorfalls (§ 34 NIS 2026)
Offenlegung	Benachrichtigung der betroffenen Personen durch den Verantwortlichen, wenn der Sicherheitsvorfall voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat (Art 34 DSGVO)	Offenlegung des Cybersicherheitsvorfalls zur Sensibilisierung der Öffentlichkeit durch die Cybersicherheitsbehörde (§ 34 Abs 6 NISG 2026)
Zusammenarbeit	Cybersicherheitsbehörde und Datenschutzbehörde arbeiten bei der Bearbeitung und der Anordnung von Abwehr- und Abhilfemaßnahmen von Cybersicherheitsvorfällen, die zur Verletzung des Schutzes personenbezogener Daten führen, eng zusammen und tauschen relevante Informationen aus (§ 21 Abs 1 NISG 2026). Die Datenschutzbehörde hat zu diesem Zweck Zugang zum Register der NISG-Einrichtungen (§ 21 Abs 1 NISG 2026). Information der Cybersicherheitsbehörde an die Datenschutzbehörde, möglichst binnen 72 Stunden, wenn ein Verstoß einer Einrichtung gegen die Verpflichtung, Risikomanagementmaßnahmen zu treffen (§ 32 NISG 2026) bzw gegen Berichtspflichten (§ 34 NISG 2026) voraussichtlich eine Verletzung des Schutzes personenbezogener Daten zur Folge hat (§ 21 Abs 2 NISG 2026)
Verwaltungsstrafen	Geldbuße bis zu EUR 10 Mio bzw EUR 20 Mio oder bis zu 2 bzw 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs	Geldstrafe bis zu EUR 10 Mio oder 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes der wesentlichen Einrichtung Geldstrafe bis zu EUR 7 Mio oder 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes der wichtigen Einrichtung
Verwaltungsstrafen	Verhängt die Datenschutzbehörde gegen eine wesentliche oder wichtige Einrichtung aufgrund eines Cybersicherheitsvorfalles, der zur Verletzung des Schutzes personenbezogener Daten geführt hat, eine Geldbuße, hat sie das Bundesministerium zu informieren und das Straferkenntnis zu übermitteln. Für den Fall, dass die Verwaltungsübertretung bereits von der Bezirksverwaltungsbehörde verfolgt wird, informiert die Cybersicherheitsbehörde die Bezirksverwaltungsbehörde über diesen Umstand (§ 21 Abs 3 NISG 2026). Hat die Datenschutzbehörde bereits eine Geldbuße für einen Verstoß verhängt, darf die Bezirksverwaltungsbehörde keine Geldstrafe nach dem NISG 2026 verhängen, wenn dem Verstoß dasselbe Verhalten zugrunde liegt, das Gegenstand der Datenschutz-Geldbuße war (§ 44 Abs 6 NISG 2026).
Behörden	Datenschutzbehörde Rechtsmittel: Bundesverwaltungsgericht	Cybersicherheitsbehörde/zuständiges Computer-Notfallteam (CSIRT) Strafverfolgungsbehörde ist die Bezirksverwaltungsbehörde Rechtsmittel: Bundesverwaltungsgericht

Maßgeschneidert für Ihren Erfolg: Profitieren Sie von der FORUM Media Online-Welt mit fundiertem Fachwissen, Top Suchergebnissen und vielen aktuellen Themenschwerpunkten.

Als Abonnent melden Sie sich bitte mit Ihren Zugangsdaten an, um auf den Inhalt zuzugreifen.
Oder bestellen Sie jetzt das OnlineBuch Unterweisungsvorlagen Datenschutz in unserem Shop! Zum Shop