Cybersecurity Database

Länder · Europa

Österreich

Zuständige nationale Behörde: Bundesamt für Cybersicherheit

Mit anderen Ländern vergleichen Aktualisierungen verfolgen

Geltende nationale Strategie

Dokumente nach Art

Aktions- / Umsetzungsplan (1)

Gesetz (2)

Verordnung (1)

Fristen

Künftige Fristen

  1. Letzte Frist für die Erstregistrierung wesentlicher und wichtiger Einrichtungen
    NISG 2026 (österreichisches NIS-2-Gesetz)
Vergangene Fristen (3)

Fristen für Österreich zusammen mit denen der EU-Rechtsvorschriften →

Umsetzung der NIS 2-Richtlinie

Umgesetzt, in Kraft · In Kraft seit 1. Oktober 2026

Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) (BGBl. I Nr. 94/2025) · Amtliche Quelle

Details und Fortschritt

Behörden: Zuständige Behörde und zentrale Anlaufstelle: Bundesamt für Cybersicherheit, beim Bundesministerium für Inneres. CSIRT: GovCERT Austria für die öffentliche Verwaltung, das bis zur Ermächtigung eines nationalen CSIRT durch das Bundesamt auch als nationales CSIRT fungiert; auch CERT.at und Austrian HealthCERT sind Mitglieder des CSIRTs-Netzwerks der EU.

Am 23. Dezember 2025 veröffentlicht, gilt es ab dem 1. Oktober 2026; das NISG 2018 blieb bis dahin in Kraft. Die Risikomanagementmaßnahmen und die Kriterien für erhebliche Sicherheitsvorfälle sind in der Verordnung NISV 2026 (BGBl. II Nr. 290/2026) des Bundesamts für Cybersicherheit präzisiert. Die Erstregistrierung ist innerhalb von drei Monaten nach Inkrafttreten fällig; die Frist fiele auf den 1. Januar 2027, einen Feiertag, und verschiebt sich daher auf den 4. Januar 2027.

Fortschritt der Durchführung

Die wichtigsten Etappen, vergangene und künftige: die von der Richtlinie für alle Mitgliedstaaten festgelegten und die des nationalen Gesetzes.

  1. 16. Januar 2023 · Inkrafttreten der RichtlinieEU
  2. 17. Oktober 2024 · Umsetzungsfrist für die MitgliedstaatenEU
  3. 17. April 2025 · Die Mitgliedstaaten erstellen die Liste der wesentlichen und wichtigen EinrichtungenEU
  4. 12. Dezember 2025 · Annahme des nationalen GesetzesNational
  5. 1. Oktober 2026 · Inkrafttreten des nationalen GesetzesNational
  6. 4. Januar 2027 · Letzte Frist für die Erstregistrierung wesentlicher und wichtiger EinrichtungenNational
  7. 17. April 2027 · Erste zweijährliche Aktualisierung der Listen der wesentlichen und wichtigen Einrichtungen und Übermittlung der Zahlen an die KommissionEU
  8. 17. Oktober 2027 · Erste Überprüfung der Richtlinie durch die KommissionEU

Stand in allen EU-Mitgliedstaaten

Umsetzung der CER-Richtlinie

Umgesetzt, in Kraft · In Kraft seit 1. März 2026

Bundesgesetz über die Resilienz kritischer Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG) (BGBl. I Nr. 60/2025) · Amtliche Quelle

Details und Fortschritt

Gilt ab dem 1. März 2026. Zuständige Behörde ist das Bundesministerium für Inneres; die Durchführungsverordnung (RKEV, BGBl. II Nr. 91/2026) gilt ab dem 15. April 2026. Im Januar 2026 stellte das Ministerium die nationale Strategie für die Resilienz kritischer Einrichtungen (ÖSRKE 2026, Stand 16. Januar 2026) zusammen mit der nationalen Risikobewertung vor. Kritische Einrichtungen, die per Bescheid ermittelt werden, müssen innerhalb von neun Monaten ihre eigene Risikoanalyse durchführen; nach zehn Monaten gelten der Resilienzplan und die Pflicht, Vorfälle innerhalb von 24 Stunden zu melden.

Fortschritt der Durchführung

Die wichtigsten Etappen, vergangene und künftige: die von der Richtlinie für alle Mitgliedstaaten festgelegten und die des nationalen Gesetzes.

  1. 16. Januar 2023 · Inkrafttreten der RichtlinieEU
  2. 17. Oktober 2024 · Umsetzungsfrist für die MitgliedstaatenEU
  3. 16. Oktober 2025 · Veröffentlichung des nationalen GesetzesNational
  4. 17. Januar 2026 · Nationale Strategie und Risikobewertung der MitgliedstaatenEU
  5. 1. März 2026 · Inkrafttreten des nationalen GesetzesNational
  6. 17. Juli 2026 · Die Mitgliedstaaten ermitteln die kritischen EinrichtungenEU
  7. 17. Juli 2027 · Bericht der Kommission über die Umsetzungsmaßnahmen der MitgliedstaatenEU
  8. 17. Juli 2028 · Erster Bericht der zentralen Anlaufstellen über Meldungen von Sicherheitsvorfällen (danach alle zwei Jahre)EU
  9. 17. Juni 2029 · Erster Überprüfungsbericht der Kommission über das Funktionieren der RichtlinieEU

Stand in allen EU-Mitgliedstaaten

Durchführung der CRA-Verordnung

Entwurf in Vorbereitung

Titel noch nicht veröffentlicht · Amtliche Quelle

Details und Fortschritt

Behörden: Notifizierende Behörde: Bundeskanzleramt. Marktüberwachung: noch zu benennen.

Das Bundeskanzleramt gibt an, dass die notifizierende Behörde bei ihm angesiedelt ist und die übrigen Zuständigkeiten in den kommenden Monaten durch Durchführungsvorschriften festgelegt werden; ein Gesetzentwurf wurde noch nicht veröffentlicht.

Fortschritt der Durchführung

Die wichtigsten Etappen, vergangene und künftige: die von der Verordnung für alle Mitgliedstaaten festgelegten und die des nationalen Rechtsakts.

  1. 10. Dezember 2024 · Inkrafttreten der VerordnungEU
  2. 11. Dezember 2025 · Frist für den Durchführungsrechtsakt über die Kategorien wichtiger und kritischer Produkte (angenommen als Verordnung 2025/2392)EU
  3. 11. Juni 2026 · Die Vorschriften über Konformitätsbewertungsstellen geltenEU
  4. 11. September 2026 · Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle über die zentrale Meldeplattform der ENISAEU
  5. 11. Dezember 2026 · Die Mitgliedstaaten bemühen sich um eine ausreichende Zahl notifizierter StellenEU
  6. 11. Dezember 2027 · Die Verordnung gilt vollständigEU
  7. 11. Juni 2028 · Nach anderen Unionsvorschriften ausgestellte EU-Baumusterprüfbescheinigungen zur Cybersicherheit laufen abEU
  8. 11. September 2028 · Bericht der Kommission über die Wirksamkeit der zentralen MeldeplattformEU
  9. 11. Dezember 2030 · Erster Bewertungs- und Überprüfungsbericht über die Verordnung (danach alle vier Jahre)EU
  10. Nationale Durchführungsmaßnahmen noch nicht vollständig

Stand in allen EU-Mitgliedstaaten

Beziehungen zwischen Dokumenten (7)

Aktualisierungen verfolgen