Seit 01.10.2026 gilt das neue Netz- und Informationssystemsicherheitsgesetz (NISG 2026) – nun bekanntlich auch relevant für die Abwasser- und Abfallwirtschaft. Da sich einige Verbände aufgrund der Komplexität der Regelungen immer noch unsicher sind bezüglich ihrer eigenen Betroffenheit, ist es dem ÖWAV ein Anliegen, nochmals über diese Thematik zu informieren und auf die überarbeiteten Praxis-Checklisten hinzuweisen. Die Prüfschritte wurden nun ausgeweitet, um Unklarheiten noch beser auszuschließen:
Folgende Maßnahmen sind umzusetzen:
Ab dem 01.10.2026 sind die Bestimmungen zu den Risikomanagementmaßnahmen, welche in § 32 NISG 2026 zu finden sind, umzusetzen sowie die in § 34 festgesetzten Berichtspflichten einzuhalten. Verantwortlich dafür sind die Leitungsorgane. Auch Aufsichts- und Durchsetzungsmaßnahmen der Behörde inklusive Strafbestimmungen sind ab diesem Zeitpunkt möglich.
1) Risikomanagementmaßnahmen: Wesentliche und wichtige Einrichtungen haben unter Berücksichtigung des Stands der Technik geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Die genauen Inhalte finden sich in § 32 Abs 4.
2) Berichtspflichten: Betroffene Einrichtungen haben dem für sie zuständigen sektorspezifischen CSIRT (Cybersecurity Incident Response Team) unverzüglich jeden erheblichen Cybersicherheitsvorfall (§ 35) zu melden. Meldungen können über die NISG Plattform erfolgen. Dabei gelten folgende Abstufungen:
a) Unverzüglich und innerhalb von 24h: Frühwarnungen
b) Unverzüglich und innerhalb von 72h: Meldung über den Vorfall
c) Spätestens 1 Monat nach Meldung: Abschlussbericht
3) Registrierungspflicht: Bis spätestens zum 31.12.2026 haben sich zudem alle betroffenen Unternehmen im Register gem § 29 zu registrieren.
4) Selbstdeklaration: Bis 01.10.2027 hat die Selbstdeklaration gem § 33 in Form einer Information bezüglich der umgesetzten Risikomanagementmaßnahmen an die Cybersicherheitsbehörde zu erfolgen.
Folgende Einrichtungen sind betroffen:
Für die Anwendbarkeit des NISG 2026 müssen zwei Voraussetzungen gegeben sein:
1) zum Einen die Tätigkeit in einem NIS-Sektor und 2) zum Anderen das Erreichen einer festgelegten Unternehmensgröße.
2) Das NISG 2026 definiert klar die Sektoren, in denen Unternehmen betroffen sein können, darunter
- Abwasser laut Anlage 1 Z 7 (Unternehmen, die Abwasser iSd RL 91/271/EWG sammeln, entsorgen oder behandeln, wenn dies der wesentliche Teil ihrer allgemeinen Tätigkeit ist) und
- die Abfallbewirtschaftung laut Anlage 2 Z 2 (Unternehmen gem § 2 Abs 6 AWG 2002, solange dies die Haupttätigkeit darstellt).
3) Um als wesentliche oder wichtige Einrichtung zu gelten, reicht die Tätigkeit in einem der erfassten Sektoren allein jedoch nicht aus, sondern es ist zusätzlich die Unternehmensgröße gem § 25 NISG 2026 entscheidend, wobei sich die Größe nach Anzahl der Mitarbeiter:innen, dem Jahresumsatz und der Jahresbilanzsumme richtet.
Betroffen sind
- große Unternehmen laut § 25 Abs 2, die zumindest 250 Mitarbeiter beschäftigen ODER wenn sie einen Jahresumsatz von über 50 Millionen Euro erzielen UND sich die Jahresbilanzsumme auf über 43 Millionen Euro beläuft.
- mittlere Unternehmen laut § 25 Abs 3, wenn sie zumindest 50 Mitarbeiter beschäftigen ODER wenn sie einen Jahresumsatz von über zehn Millionen Euro erzielen UND sich die Jahresbilanzsumme auf über zehn Millionen Euro beläuft.
Parallel dazu kann auch eine Betroffenheit aufgrund verbundener Unternehmen oder Partnerunternehmen (laut KMU-Definition der EU) gegeben sein.
Und zugleich existieren gewisse „Rettungsanker“ – wer in die Ausnahmeregelung fällt, ist ebenfalls vom NISG befreit.
3) Zusätzlich gibt es dann noch die größenunabhängige Einstufung als wesentliche Einrichtung per Bescheid. Denn gem § 24 Abs 1 Z 1 lit f NISG 2026 gelten Einrichtungen, die bereits als "kritische Einrichtungen" im Sinne des RKEG eingestuft wurden, automatisch als "wesentliche Einrichtungen" für das NISG 2026. Gem § 26 hat die Cybersicherheitsbehörde zudem die Möglichkeit, Einrichtungen größenunabhängig als wesentliche oder wichtige Einrichtung einzustufen, wenn sich eine Störung des von der Einrichtung erbrachten Dienstes unter anderem wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken kann.
Zur besseren Orientierung nutzen Sie bitte die ÖWAV-Praxischecklisten, die Sie zu Beginn des Artikels als Download finden.
Eine detaillierte Übersicht sowie einen Online-Ratgeber der WKO zur eigenen Betroffenheit finden Sie auf der Website der WKO:
Achtung: Auch wenn eine Einrichtung NICHT unter das NISG 2026 fällt, so wird dringend geraten, dennoch Risikomanagementmaßnahmen bezüglich Cybersicherheitsvorfälle umzusetzen!