# NISG 2026: Scope, Maßnahmen und Nachweise

Arbeitsvorlage von AppWebSeo. Rechtsstand der begleitenden Recherche: 21. Oktober 2026.
Diese Vorlage strukturiert die Vorbereitung. Sie ersetzt keine individuelle Rechtsprüfung, Behördenentscheidung oder unabhängige Prüfung.

## Einrichtung und Verantwortliche

- Rechtsträger/Gesellschaft:
- Verantwortliche Geschäftsleitung:
- Interne Projektleitung und Stellvertretung:
- IT-/Security-Verantwortliche:
- Rechtsberatung / offene Rechtsfragen:
- Erstellungsdatum und nächster Prüftermin:

## Betroffenheit mit Belegen

| Prüffeld | Feststellung | Beleg | Offene Frage | Verantwortlich |
|---|---|---|---|---|
| Zuständigkeit nach § 28 |  |  |  |  |
| Konkrete Einrichtungsart in Anlage 1/2 |  |  |  |  |
| Beschäftigte / Jahresarbeitseinheiten |  |  |  |  |
| Umsatz und Bilanzsumme / Rechnungsperioden |  |  |  |  |
| Partner- und verbundene Unternehmen |  |  |  |  |
| Ausnahme nach § 25 Abs. 4 belegt? |  |  |  |  |
| Größenunabhängige Dienstart / Bescheid |  |  |  |  |
| Domain-Registrierungsdienste |  |  |  |  |
| DORA / gleichwertige Sektorregeln |  |  |  |  |
| Öffentliche Verwaltung / Ausnahmen |  |  |  |  |

Vorläufige Einordnung:

- [ ] Wesentliche Einrichtung
- [ ] Wichtige Einrichtung
- [ ] Eigene Pflichten als Domain-Registrierungsdienst
- [ ] Indirekte Kunden-/Lieferkettenanforderungen
- [ ] Kein Hinweis auf direkte Betroffenheit nach dokumentierter Prüfung
- [ ] Noch offen; keine Freistellung ableiten

Eintritt der Voraussetzungen: ____________________
Fachlich/rechtlich bestätigt durch: ____________________

## Termine und Abgaben

Für am 1. Oktober 2026 bereits betroffene Einrichtungen nennt die BCS-Registrierungsseite den 4. Jänner 2027 als spätesten initialen Registrierungstag. Bei späterem Eintritt grundsätzlich drei Monate ab Erfüllung der Kriterien. Eigene Situation prüfen.

Für initial wesentliche/wichtige Einrichtungen nennt das Bundesamt den 30. September 2027 für die Selbstdeklaration. Bei späterem Eintritt gilt grundsätzlich die Zwölfmonatsfrist ab Eintritt der Registrierungspflicht, nicht ab tatsächlicher Registrierung.

| Aufgabe | Eigener Termin / Auslöser | Owner | Stellvertretung | Abgabebeleg |
|---|---|---|---|---|
| Registrierung und Registerdaten |  |  |  |  |
| USP / ID Austria / Rechte |  |  |  |  |
| Aktualisierung geänderter Angaben |  |  |  |  |
| Governance / Leitungsschulung |  |  |  |  |
| Selbstdeklaration, soweit anwendbar |  |  |  |  |
| Prüfung verordneter Detailanforderungen |  |  |  |  |

## Kritische Systeme und Abhängigkeiten

| System / Dienst | Geschäftliche Funktion | Daten / Abhängigkeiten | Betreiber | Kritische Zugriffe | Wiederherstellungsziel | Nachweisstand |
|---|---|---|---|---|---|---|
|  |  |  |  |  |  |  |
|  |  |  |  |  |  |  |

## Maßnahmenplan

Jede Maßnahme braucht einen konkreten Systembezug und eine überprüfbare Abnahme. Die Beispiele sind technische Arbeitsfelder, keine abschließende gesetzliche Prüfliste.

| Bereich | Risiko / Feststellung | Maßnahme | Nachweis / Test | Owner | Termin | Status |
|---|---|---|---|---|---|---|
| Risikoanalyse / Sicherheitskonzept |  |  |  |  |  |  |
| Vorfallmanagement |  |  |  |  |  |  |
| Backup / Wiederherstellung / Krisenmanagement |  |  |  |  |  |  |
| Lieferkette |  |  |  |  |  |  |
| Beschaffung / Entwicklung / Wartung |  |  |  |  |  |  |
| Wirksamkeitskontrolle |  |  |  |  |  |  |
| Cyberhygiene / Schulungen |  |  |  |  |  |  |
| Kryptografie / Verschlüsselung |  |  |  |  |  |  |
| Personal / Zugriffe / Assets |  |  |  |  |  |  |
| MFA / sichere Kommunikation |  |  |  |  |  |  |

## Vorfallweg üben

- Zuständiges CSIRT und offizieller Meldeweg:
- Entscheidung über Erheblichkeit und anwendbare NISV-/Sektorregeln:
- Wer dokumentiert Zeitpunkt der Kenntnisnahme?
- Wer meldet, wer vertritt?
- Welche Belege werden gesichert?
- Welche Kunden und weiteren Behörden müssen gegebenenfalls informiert werden?
- Wie wird bei Ausfall des USP verfahren? Offizielle Ersatzwege prüfen.

Allgemeines NISG-Schema bei erheblichen Vorfällen: unverzüglich, Frühwarnung spätestens 24 Stunden und Meldung grundsätzlich spätestens 72 Stunden ab Kenntnisnahme. Vertrauensdienste haben eine besondere 24-Stunden-Meldepflicht. Abschlussbericht grundsätzlich binnen eines Monats nach Meldung; bei fortdauernder Behandlung Fortschritts- und Abschlussbericht nach den gesetzlichen Regeln. DORA und andere Meldepflichten gesondert bewerten.

## Technischen Auftrag abgrenzen

- Enthaltene Systeme und Umgebungen:
- Erlaubte Zugriffe und Prüfhandlungen:
- Nicht enthaltene Leistungen:
- Benötigte Mitwirkung und Ansprechpartner:
- Gewünschte Änderungen:
- Abnahmekriterien und Nachweise:
- Übergabe und wiederkehrende Aufgaben:
- Offene juristische Fragen:
- Unabhängige Prüfstelle, falls benötigt:
- Budgetentscheidung und nächste Besprechung:

## Primärquellen

- [NISG 2026 im RIS](https://ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20013065)
- [NISV 2026 im RIS](https://ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20013307)
- [BCS Registrierung](https://www.bundesamt-cybersicherheit.gv.at/303/registrierung.html)
- [BCS Meldefristen](https://www.bundesamt-cybersicherheit.gv.at/303/meldepflicht-und-fristen.html)
- [BCS Nachweise](https://www.bundesamt-cybersicherheit.gv.at/faq/nachweise.html)