Mit dem Inkrafttreten des Resilienz kritischer Einrichtungen-Gesetzes (RKEG) im Frühjahr 2026 und der noch in diesem Jahr erwarteten Zustellung der behördlichen Einstufungsbescheide ist der Schutz unserer Infrastruktur endgültig in der unternehmerischen Realität angekommen.
Das RKEG ist weit mehr als nur ein weiterer regulatorischer Meilenstein in der österreichischen Sicherheitslandschaft. Es markiert einen echten Paradigmenwechsel: den Übergang von isoliertem Notfallmanagement hin zu einer proaktiven, ganzheitlichen Widerstandsfähigkeit.
In einer Zeit, in der extreme Wetterereignisse, geopolitische Spannungen, Lieferkettenausfälle und hybride Bedrohungen zur Normalität werden, greift der reine Fokus auf IT-Sicherheit zu kurz. Das RKEG macht physische und organisatorische Resilienz, den sogenannten All-Gefahren-Ansatz (All-Hazards-Approach), zwingend zur Aufgabe des Managements.
Geschäftsführungen, Vorstände und Aufsichtsorgane müssen sich jetzt einer existenziellen Frage stellen: Wie bleibt unser Unternehmen handlungsfähig, wenn wesentliche Dienste durch Naturgefahren, gezielte Sabotage, technische Störungen oder andere Krisenszenarien unter Druck geraten?
Die Erfüllung der regulatorischen Vorgaben ist dabei nur die Pflicht; die tatsächliche Sicherung der eigenen Handlungs- und Überlebensfähigkeit in der Krise ist die Kür.
Worum es für die Unternehmensführung geht
Das RKEG basiert auf einem europäischen Regulierungsvorhaben, das von der EU-Kommission im Dezember 2020 vorgestellt wurde. Auf EU-Ebene ersetzt es die frühere Richtlinie zum Schutz kritischer Infrastruktur (Europäisches Programm zum Schutz kritischer Infrastrukturen (EPCIP) / Richtlinie 2008/114/EG). In Österreich soll die Umsetzung das bestehende Programm zum Schutz kritischer Infrastrukturen (Austrian Program for Critical Infrastructure Protection, APCIP) komplementieren und die physische, organisatorische und operative Resilienz kritischer Einrichtungen stärken.
Für das Management bedeutet das: Resilienz ist mehr als eine operative oder sicherheitstechnische Aufgabe, sie muss strukturell in Governance, Risikosteuerung, Investitionsentscheidungen, Krisenorganisation und Nachweisfähigkeit verankert werden.
Die zuständigen Behörden sind insbesondere das Bundesministerium für Inneres (BMI) sowie die Direktion Staatsschutz und Nachrichtendienst (DSN). Damit erhält das RKEG eine klare sicherheitsbehördliche Verankerung. Im Zentrum steht die Steigerung der physischen Sicherheit und Widerstandsfähigkeit jener Einrichtungen, deren Ausfall erhebliche Auswirkungen auf zentrale gesellschaftliche oder wirtschaftliche Funktionen haben könnte.
Betroffenheit: Warum Abwarten keine ausreichende Strategie ist
Ob eine Organisation als kritische Einrichtung gilt, wird durch die zuständige Behörde per Bescheid festgestellt. Die Ermittlung erfolgt gemäß § 11 Abs. 1 RKEG anhand zentraler Kriterien:
- Die Einrichtung muss im Inland tätig sein,
- die kritische Infrastruktur muss sich im Inland befinden,
- es muss ein wesentlicher Dienst gemäß § 3 Z 6 RKEG erbracht werden und
- bei der Erbringung dieses Dienstes muss ein Sicherheitsvorfall eintreten können.
Die nähere Konkretisierung erfolgt gemäß dem zweiten Abschnitt der 91. Verordnung des Bundesministers für Inneres zur Durchführung der Resilienz kritischer Einrichtungen-Gesetzes (RKEV). Die Definition orientiert sich dabei an Sektoren und Teilsektoren. Für Geschäftsleitungen ist daher wesentlich, bereits vor einem möglichen Bescheid Transparenz über wesentliche Dienste, kritische Abhängigkeiten, Schwellenwerte und bestehende Resilienzfähigkeiten zu schaffen.
Die zentralen Managementpflichten im Überblick
Aus der behördlichen Einstufung ergeben sich für Geschäftsführungen und Vorstände konkrete Pflichten, die nicht nur organisatorisch umzusetzen, sondern auch steuerbar, dokumentiert und prüfbar zu verankern sind.
Vom Compliance-Projekt zum Resilienzprogramm
Ein zentrales Merkmal des RKEG ist der All-Gefahren-Ansatz. Unternehmen müssen ihre Widerstandsfähigkeit gegenüber Naturgefahren, menschengemachte Gefahren, intentionale Gefahren und technische Gefahren gesamthaft betrachten. Für Führungskräfte entsteht daraus die Aufgabe, bestehende Strukturen aus Business Continuity Management, Krisenmanagement, physischer Sicherheit, Risikomanagement, Standortresilienz, Lieferkettensteuerung und Notfallorganisation zu einem konsistenten Resilienzprogramm zusammenzuführen. Der Mehrwert liegt damit in der regulatorischen Compliance sowie in der deutlich besseren Steuerbarkeit in Krisensituationen.
DSN-Leitfäden: Praktische Orientierung für die Umsetzung
Für die konkrete Ausgestaltung der Resilienzmaßnahmen bieten die Leitfäden der DSN eine wichtige Orientierung. Sie strukturieren die Anforderungen entlang zentraler Themenfelder und helfen Unternehmen, Geeignetheit, Verhältnismäßigkeit und Nachweisfähigkeit ihrer Maßnahmen zu beurteilen.
Rechtlicher Rahmen, Maßstab der Geeignetheit und Verhältnismäßigkeit, Konformitätsvermutung, Normenverhältnis und allgemeine Grundsätze für Resilienzmaßnahmen.
Prävention durch technische, anlagentechnische, betriebliche, organisatorische und personelle Maßnahmen, einschließlich Katastrophenvorsorge und Klimawandelanpassung.
Angemessener Schutz kritischer Infrastruktur und Räumlichkeiten durch bauliche, mechanische, elektronische, organisatorische und personelle Schutzmaßnahmen.
Reaktions- und Führungsfähigkeit, Kommunikation, Wirkungsminimierung und Ressourcensteuerung zur Begrenzung von Auswirkungen.
Sicherstellung der Fortsetzung oder raschen Wiederaufnahme des wesentlichen Dienstes durch Business Continuity Management, Wiederanlaufplanung, Redundanzen und alternative Lieferketten.
Identifikation kritischer Funktionen, Steuerung von Zugangsberechtigungen, Zuverlässigkeitsüberprüfungen sowie Ausbildungs- und Qualifikationsanforderungen.
