Mit dem nationalen Netz- und Informationssystemsicherheitsgesetz 2026 setzt Österreich die EU-Richtlinie NIS-2 um. Der Zweck ist die Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus und der Schutz wesentlicher und wichtiger Einrichtungen vor Sicherheitsvorfällen und Cyberbedrohungen. Das NISG 2026 sieht ab 1. Oktober 2026 eine Reihe an Berichts- und Meldepflichten im Bereich der Cybersecurity vor. Gemeinden sind davon häufig ausgenommen, aber nicht immer. Worauf Gemeinden jetzt achten sollten, zeigt die neue Folge unserer Serie über die fiktive Gemeinde Schönhaus.
Am Montagmorgen legt Bürgermeisterin Anna ein Schreiben zum NISG 2026 auf den Tisch von Hans, dem IT-Verantwortlichen. „Sag mir bitte, dass das nur große Energieversorger betrifft.“
Hans überfliegt das Schreiben. „Das dachte ich zuerst auch. Aber unser Pumpwerk wird aus der Ferne gesteuert, und mehrere Einrichtungen nutzen unsere IT. Wir sollten prüfen, ob wir betroffen sind.“
Betroffene Sektoren
„Wo beginnen wir?“, fragt Anna. „Bei den Bereichen Trinkwasser, Abwasser und Abfallwirtschaft“, erklärt Hans. „Entscheidend ist, wer die Leistungen tatsächlich betreibt oder verantwortlich ist: die Gemeinde, ein Verband oder eine Tochtergesellschaft.“
Anna denkt an den Ausfall des Pumpwerks im vergangenen Winter. Fast zwei Stunden hatte es gedauert, bis der richtige Techniker erreichbar war: „Wenn das an einem Sonntag passiert: Wer meldet was – und an wen?“
„Genau das müssen wir klären“, sagt Hans. „Und nicht nur beim Pumpwerk. Auch unsere IT-Dienstleistungen können relevant sein.“
Anna ist überrascht: „Welche IT-Dienstleistungen? Wir sind doch kein Rechenzentrum.“
„Aber unser Server wird auch vom Musikschul- und vom Abwasserverband genutzt“, erklärt Hans. „Dazu kommen das elektronische Schließsystem im Feuerwehrhaus und externe Zugänge zur Anlagensteuerung.“
Größenmerkmale
„Sind wir dafür nicht viel zu klein?“, fragt Anna. „In der IT bist schließlich nur du tätig.“
„Für die Größenmerkmale zählt grundsätzlich die gesamte Organisation“, erklärt Hans. „Mit den Gemeindebetrieben liegen wir bei über 50 Beschäftigten. Deshalb müssen wir genauer hinsehen.“
„Dann betrifft das womöglich mehr Gemeinden, als man zunächst denkt“, sagt Anna.
Nicht jede Gemeinde ist gleich, aber jede sollte hinschauen
Hans schlägt ein pragmatisches Vorgehen vor: „Ich erfasse zunächst, welche Leistungen betroffen sein könnten und wer sie betreibt. Für rechtliche Detailfragen holen wir gezielt Unterstützung.“ Anna stimmt zu: „Bis Freitag reicht mir dazu eine übersichtliche Seite. Auf dieser Grundlage führen wir eine Bestandsaufnahme der kritischen Leistungen und Systeme durch.“
„Das ist ein sehr guter Vorschlag“, erwidert Hans. „Wir sollten dann jedenfalls folgende Informationen erheben …“
- Erfassen der Dienstleister
- Bewertung der Auswirkungen möglicher Ausfälle
- Festlegen von Zuständigkeiten
- Überprüfen bestehender Verträge auf Sicherheits- und Meldeklauseln
Impulse für Ihre Gemeinde:
KPMG unterstützt Ihre Gemeinde – praxisnah und wirkungsvoll:
Als KPMG Expert:innen für kommunale Einrichtungen begleiten wir Sie u. a. mit folgenden Maßnahmen bei der Umsetzung:
- Risikomanagement: Identifizierung und Steuerung wesentlicher Risiken
- Managementverantwortung und Governance: Unterstützung bei der Erstellung von Notfall- und Wiederherstellungsplänen und Definition der Verantwortlichkeiten
- Sicherheitsmaßnahmen nach aktuellem Stand der Technik: Implementierung strenger Zugriffskontrollen und Authentifizierungsmechanismen und Umsetzung von Verschlüsselungstechnologien
- Registrierungs- und Meldepflichten an die Behörden: Unterstützung bei der Erfüllung der Meldeverpflichtungen und Meldung von Cybersicherheitsvorfällen i. d. R. innerhalb von 24 Stunden nach Feststellung
- Schwachstellenmanagement und Security-Monitoring: Unterstützung bei der Identifizierung, Bewertung und Behebung von Schwachstellen
