NISG 2026 und RKEG

Zwei Regelwerke, ein Ziel: NISG 2026 und RKEG machen digitale, physische und organisatorische Resilienz zur zentralen Managementaufgabe für jene Unternehmen, die essenzielle gesellschaftliche Funktionen oder wirtschaftliche Tätigkeiten erbringen.

Mit dem NISG 2026 und dem RKEG entstehen in Österreich zwei eng miteinander verknüpfte Regulierungsregime. Das NISG 2026 setzt die NIS-2-Richtlinie um und erweitert den Kreis der betroffenen Unternehmen von rund hundert Betreibern wesentlicher Dienste auf mehrere tausend Einrichtungen in 18 Sektoren. Das RKEG ergänzt diesen digitalen Fokus um einen All-Gefahren-Ansatz (All-Hazards-Approach) für kritische Einrichtungen und stärkt insbesondere physische, organisatorische und operative Widerstandsfähigkeit. Für Unternehmen bedeutet das: Resilienz muss künftig ganzheitlich gedacht, gesteuert und nachgewiesen werden.

Beide Regelwerke haben ihren Ursprung in einem europäischen Sicherheitspaket, das von der EU-Kommission im Dezember 2020 vorgestellt wurde. Die NIS-2-Richtlinie wurde am 14. Dezember 2022 verabschiedet und wird in Österreich durch das NISG 2026 umgesetzt, welches das bisherige NISG ersetzen soll. Ziel ist ein hohes gemeinsames Niveau der Cybersicherheit von Netz- und Informationssystemen. Während NIS-1 in Österreich nur sieben Sektoren und rund hundert Betreiber wesentlicher Dienste erfasste, erweitert NIS-2 den Anwendungsbereich auf 18 Sektoren und voraussichtlich mehrere tausend betroffene Unternehmen. Von NIS-2 betroffen sind in Österreich vor allem mittlere und große Einrichtungen, die in besonders wichtigen oder kritischen Bereichen tätig sind. Bestimmte Anbieter, etwa von DSN-, Telekommunikations- oder Vertrauensdiensten, können unabhängig von ihrer Größe erfasst werden. Maßgeblich ist das NISG 2026, dessen zentrale Bestimmungen am 1. Oktober 2026 in Kraft treten. Zuständige Behörde ist insbesondere das Bundesministerium für Inneres mit dem nationalen Cybersicherheitszentrum.

Parallel dazu setzt das RKEG die europäische Richtlinie über die Resilienz kritischer Einrichtungen um und ersetzt auf EU-Ebene den bisherigen Ansatz zum Schutz kritischer Infrastrukturen. In Österreich ergänzt das RKEG das bestehende APCIP-System und richtet den Blick auf kritische Einrichtungen, deren Ausfall erhebliche Auswirkungen auf essenzielle gesellschaftliche Funktionen oder wirtschaftliche Tätigkeiten hätte. Im Zentrum stehen nicht nur Cyberrisiken, sondern ein umfassender All-Gefahren-Ansatz: Naturgefahren, technische Gefahren, menschengemachte Gefahren, intentionale Gefahren und technische Gefahren  müssen gemeinsam betrachtet werden. Zuständig sind insbesondere das BMI sowie DSN. Vom RKEG betroffen sind nicht automatisch alle Unternehmen eines erfassten Sektors. Das Bundesministerium für Inneres stuft Einrichtungen per Bescheid als kritisch ein, wenn sie in Österreich wesentliche Dienste erbringen und ein Sicherheitsvorfall erhebliche Auswirkungen haben könnte. Im Mittelpunkt steht dabei die physische und organisatorische Widerstandsfähigkeit.

Die Grafik veranschaulicht diese Logik: Auf der einen Seite steht das NISG 2026 mit dem Schwerpunkt Cybersicherheit, Netz- und Informationssysteme, 18 Sektoren und mehreren tausend potenziell betroffenen Einrichtungen; auf der anderen Seite das RKEG mit dem Schwerpunkt kritische Einrichtungen, physische Sicherheit, All-Gefahren-Ansatz und einer erwarteten Größenordnung von mehreren hundert betroffenen Einrichtungen. Die verbindende Klammer ist Resilienz: also die Fähigkeit, essenzielle Dienste auch unter außergewöhnlichen Belastungen aufrechtzuerhalten, Störungen zu bewältigen und rasch wieder handlungsfähig zu werden.

Zu den betroffenen Sektoren zählen insbesondere Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum und Lebensmittel. NIS-2 erfasst zusätzlich unter anderem IKT-Dienste, Post- und Kurierdienste, Abfallwirtschaft, Chemie, produzierende Industrie, digitale Dienste und Forschung.

Damit verschiebt sich der Fokus für betroffene Unternehmen deutlich:

• Das NISG 2026 erhöht die Anforderungen an Strukturen, Prozesse, Kooperation und Cyberrisikomanagement.
• Das RKEG erweitert diese Perspektive um physische, organisatorische und operative Resilienz.
• In der Praxis treffen beide Regime häufig dieselben Governance-Strukturen, Krisenorganisationen, Lieferketten, Meldewege und Managemententscheidungen.

Genau deshalb sollte die Umsetzung nicht in zwei getrennten Projekten erfolgen, sondern als integriertes Resilienzprogramm angelegt werden.

Ob ein Unternehmen unter das NISG 2026 fällt, welche Gesellschaften konkret betroffen sind und wie interne Verantwortlichkeiten, Lieferbeziehungen und Meldeprozesse organisiert werden müssen, lässt sich nicht erst kurz vor Inkrafttreten belastbar beantworten.

Gerade bei Konzernstrukturen, ausgelagerten IT-Leistungen und komplexen Dienstleisterbeziehungen entstehen frühzeitig entscheidende Weichenstellungen.

Die folgenden vier Fragen helfen Unternehmen, ihre NISG-2026-Betroffenheit strukturiert zu prüfen und die Vorbereitung auf Governance, Umsetzung und Nachweisfähigkeit gezielt auszurichten.

Während das NISG 2026 vor allem die digitale Resilienz und Cybersicherheit adressiert, verlangt das RKEG einen breiteren Blick auf die physische, organisatorische und operative Widerstandsfähigkeit kritischer Einrichtungen.

Für betroffene Unternehmen geht es daher nicht nur darum, einzelne gesetzliche Anforderungen zu erfüllen, sondern ihre Fähigkeit zur Aufrechterhaltung wesentlicher Dienste belastbar nachzuweisen. Die folgenden fünf Fragen helfen, zentrale Handlungsfelder frühzeitig zu strukturieren, von der Identifikation wesentlicher Dienste über kritische Abhängigkeiten bis hin zu Investitionen, Krisenfähigkeit und behördlicher Nachweisbarkeit.