Am 01.10.2026 ist es nun soweit – das neue Netz- und Informationssystemsicherheitsgesetz (NISG 2026) tritt schlussendlich in Kraft und löst zeitgleich das NISG 2018 ab, dieses tritt damit gänzlich außer Kraft. Da das NISG 2026 unter anderem die Abwasser- und Abfallverbände betrifft, möchte der ÖWAV erneut seine Mitglieder an die umzusetzenden Pflichten erinnern:
Folgende Maßnahmen sind umzusetzen:
Ab dem 01.10.2026 sind die Bestimmungen zu den Risikomanagementmaßnahmen, welche in § 32 NISG 2026 zu finden sind, umzusetzen sowie die in § 34 festgesetzten Berichtspflichten einzuhalten. Verantwortlich dafür sind die Leitungsorgane. Auch Aufsichts- und Durchsetzungsmaßnahmen der Behörde inklusive Strafbestimmungen sind ab diesem Zeitpunkt möglich.
1) Risikomanagementmaßnahmen: Wesentliche und wichtige Einrichtungen haben unter Berücksichtigung des Stands der Technik geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Die genauen Inhalte finden sich in § 32 Abs 4.
2)
Berichtspflichten: Betroffene Einrichtungen haben dem für sie zuständigen sektorspezifischen CSIRT (Cybersecurity Incident Response Team) unverzüglich jeden erheblichen Cybersicherheitsvorfall (§ 35) zu melden. Meldungen können über die
NISG Plattform erfolgen. Dabei gelten folgende Abstufungen:
a) Unverzüglich und innerhalb von 24h: Frühwarnungen
b) Unverzüglich und innerhalb von 72h: Meldung über den Vorfall
c) Spätestens 1 Monat nach Meldung: Abschlussbericht
3) Registrierungspflicht: Bis spätestens zum 31.12.2026 haben sich zudem alle betroffenen Unternehmen im Register gem § 29 zu registrieren.
4) Selbstdeklaration: Bis 01.10.2027 hat die Selbstdeklaration gem § 33 in Form einer Information bezüglich der umgesetzten Risikomanagementmaßnahmen an die Cybersicherheitsbehörde zu erfolgen.
Folgende Einrichtungen sind betroffen:
Für die Anwendbarkeit des NISG 2026 müssen zwei Voraussetzungen gegeben sein:
1) zum Einen die Tätigkeit in einem NIS-Sektor und 2) zum Anderen das Erreichen einer festgelegten Unternehmensgröße.
1) Das NISG 2026 definiert klar die Sektoren, in denen Unternehmen betroffen sein können, darunter
- Abwasser laut Anlage 1 Z 7 (Unternehmen, die Abwasser iSd RL 91/271/EWG sammeln, entsorgen oder behandeln, wenn dies der wesentliche Teil ihrer allgemeinen Tätigkeit ist) und
- die Abfallbewirtschaftung laut Anlage 2 Z 2 (Unternehmen gem § 2 Abs 6 AWG 2002, solange dies die Haupttätigkeit darstellt).
2) Um als wesentliche oder wichtige Einrichtung zu gelten, reicht die Tätigkeit in einem der erfassten Sektoren allein jedoch nicht aus, sondern es ist zusätzlich die Unternehmensgröße gem § 25 NISG 2026 entscheidend, wobei sich die Größe nach Anzahl der Mitarbeiter:innen, dem Jahresumsatz und der Jahresbilanzsumme richtet.
Betroffen sind
- große Unternehmen laut § 25 Abs 2, die zumindest 250 Mitarbeiter beschäftigen ODER wenn sie einen Jahresumsatz von über 50 Millionen Euro erzielen UND sich die Jahresbilanzsumme auf über 43 Millionen Euro beläuft.
- mittlere Unternehmen laut § 25 Abs 3, wenn sie zumindest 50 Mitarbeiter beschäftigen, ODER wenn sie einen Jahresumsatz von über zehn Millionen Euro erzielen UND sich die Jahresbilanzsumme auf über zehn Millionen Euro beläuft.
3) Zusätzlich gibt es dann noch die größenunabhängige Einstufung als wesentliche Einrichtung per Bescheid. Denn gem § 24 Abs 1 Z 1 lit f NISG 2026 gelten Einrichtungen, die bereits als "kritische Einrichtungen" im Sinne des RKEG eingestuft wurden, automatisch als "wesentliche Einrichtungen" für das NISG 2026. Gem § 26 hat die Cybersicherheitsbehörde zudem die Möglichkeit, Einrichtungen größenunabhängig als wesentliche oder wichtige Einrichtung einzustufen, wenn sich eine Störung des von der Einrichtung erbrachten Dienstes unter anderem wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken kann.
Eine detaillierte Übersicht sowie einen Online-Ratgeber zur eigenen Betroffenheit finden Sie auf der Website der WKO:
Achtung: Auch wenn eine Einrichtung NICHT unter das NISG 2026 fällt, so wird dringend geraten, dennoch Risikomanagementmaßnahmen bezüglich Cybersicherheitsvorfälle umzusetzen!