Aufsicht, Durchsetzung und Strafen: wie Österreich das NISG 2026 vollzieht

Problem in der Praxis

Wer das österreichische Sanktionsregime aus deutscher Gewohnheit liest, unterschätzt drei Dinge.

Erstens die Rollenverteilung: Die Cybersicherheitsbehörde beaufsichtigt und zeigt an, gestraft wird von den Bezirksverwaltungsbehörden. Wer im Vorfall- oder Prüfungsfall nur die Fachbehörde auf dem Radar hat, übersieht, dass das Strafverfahren vor einer allgemeinen Verwaltungsbehörde läuft; wie Deutschland den Vollzug organisiert, steht im nis2-Track und ist nicht übertragbar.

Zweitens die persönliche Dimension: Das NISG 2026 kennt keine ausdrückliche zivilrechtliche Haftungsnorm für Leitungsorgane, aber eine härtere Bühne, nämlich das vorübergehende Leitungsverbot für Leitungsorgane einschließlich rechtlicher Vertreter mit Eintragung im Firmenbuch. Ein solcher Eintrag ist öffentlich sichtbar und wirkt über den Einzelfall hinaus.

Drittens die Anreizarchitektur: Der Ordnungskatalog des § 45 Abs. 4 bestraft gerade die Verfahrens- und Mitwirkungsverstöße (verspätete Registrierung, verspätete oder wissentlich falsche Selbstdeklaration, fehlender Prüfbericht, Behinderung von Kontrollen), während ehrlich deklarierte Umsetzungslücken privilegiert sind. Wer Formalpflichten schleifen lässt und zugleich Lücken schönt, wählt genau die Kombination, die das Gesetz am schärfsten sanktioniert.

CISO-Einordnung

• Abgestufte Aufsicht (§ 38): Wesentliche Einrichtungen unterliegen proaktiver Aufsicht ohne Anlass, mit Kontrollen vor Ort und aus der Ferne, Begleitung von Prüfungen unabhängiger Stellen, Sicherheitsscans, Informations- und Zugangsanforderungen sowie Ad-hoc-Prüfungen, auch zur Überprüfung der Selbstdeklaration (Abs. 1). Wichtige Einrichtungen werden nur anlassbezogen beaufsichtigt, bei begründeten Hinweisen auf Pflichtverstöße (Abs. 2). Es gilt ein Schonungsgebot (Abs. 3). Die Kategorie entscheidet also, ob jederzeit Prüfungsfähigkeit nötig ist; Österreich verwendet dabei die Richtlinien-Begriffe wesentlich und wichtig, während das deutsche BSIG von besonders wichtigen und wichtigen Einrichtungen spricht (nis2-Track).
• Durchsetzungsleiter (§ 39): Zuerst Aufforderung mit Fristsetzung, dann Bescheid; ergänzend kann die Behörde die Unterrichtung potenziell Betroffener und die öffentliche Bekanntmachung von Verstößen anordnen, gegenüber wesentlichen Einrichtungen auch einen Überwachungsbeauftragten bestellen (Abs. 1 bis 3). Bleibt ein Bescheid gegen eine wesentliche Einrichtung fruchtlos, sieht Abs. 4 das Ersuchen um vorübergehende Aussetzung von Zertifizierungen oder Genehmigungen sowie das vorübergehende Verbot der Wahrnehmung von Leitungsaufgaben vor, Letzteres mit Eintragung in das Firmenbuch.
• Zertifizierte IKT-Produkte (§ 40): Die Behörde kann Einrichtungen verpflichten, IKT-Produkte, -Dienste und -Prozesse zu verwenden, die nach europäischen Schemata gemäß Art. 49 der VO (EU) 2019/881 zertifiziert sind. Das ist ein Eingriff in die Beschaffungsfreiheit, den die Architektur- und Einkaufsplanung kennen sollte.
• Strafzuständigkeit (§ 44): Die Bezirksverwaltungsbehörden strafen auf Anzeige der Cybersicherheitsbehörde. Geldstrafen treffen juristische Personen und eingetragene Personengesellschaften, wenn Führungspersonen die Tat selbst begehen oder mangelnde Überwachung oder Kontrolle sie ermöglicht hat (Abs. 3 und 4). Doppelbestrafung ist zweifach ausgeschlossen: keine Geldstrafe gegen die juristische Person neben der Bestrafung des Verantwortlichen nach § 9 VStG (Abs. 5), und keine NISG-Geldstrafe, wenn die Datenschutzbehörde für dasselbe Verhalten bereits eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO verhängt hat (Abs. 7).
• Strafrahmen (§ 45): Der Katalog des Abs. 1 umfasst die Schulungspflichten der Leitungsorgane und gegenüber Mitarbeitern, die Nichtumsetzung der Maßnahmen nach § 32 (soweit der Behörde nicht nur aufgrund einer Selbstdeklaration bekannt geworden), Meldepflichtverstöße, die unterlassene Unterrichtung von Dienstempfängern und die Missachtung von Durchsetzungsanordnungen. Rahmen: bis 10 Mio. Euro oder bis 2 Prozent des gesamten weltweiten Vorjahresumsatzes für wesentliche (Abs. 2), bis 7 Mio. Euro oder bis 1,4 Prozent für wichtige Einrichtungen (Abs. 3), jeweils der höhere Betrag. Daneben steht der Ordnungskatalog des Abs. 4 mit bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro, unter anderem für Registrierungs- und Änderungsmeldeverstöße, die nicht fristgerechte oder wissentlich falsche Selbstdeklaration, den fehlenden Prüfbericht, die fehlende Prüfplan-Anzeige und die Behinderung von Kontrollen, Scans, Ad-hoc-Prüfungen oder des Überwachungsbeauftragten.
• Öffentliche Verwaltung (§ 46): Statt Geldstrafen gilt für Behörden und sonstige Stellen der öffentlichen Verwaltung ein Anzeige-, Feststellungs- und Fristsetzungsmechanismus der Bezirksverwaltungsbehörde; nach fruchtlosem Fristablauf ist die Nichteinhaltung zu veröffentlichen (Abs. 2, als Verfassungsbestimmung beschlossen, mit Stellungnahmerecht und Schutzklauseln). Öffentliche Auftraggeber und Verwaltungskunden können sich also nicht auf ein Bußgeldrisiko berufen; ihr Druckmittel ist die öffentliche Feststellung.

Umsetzungsperspektive

• Prüfungsfähigkeit nach Kategorie ausrichten: Als wesentliche Einrichtung ist mit anlassloser Aufsicht bis hin zu Sicherheitsscans und Ad-hoc-Prüfungen zu rechnen; Nachweise müssen aus dem Regelbetrieb abrufbar sein. Als wichtige Einrichtung zählt vor allem, bei begründeten Hinweisen schnell auskunftsfähig zu sein.
• Die Behördenlandschaft ins Playbook aufnehmen: Cybersicherheitsbehörde als Aufsichts- und Anzeigestelle, Bezirksverwaltungsbehörde als Straforgan, CSIRT als Meldeadressat (nisg-at-003 und nisg-at-004). Zuständigkeiten und Ansprechpartner je Rolle dokumentieren.
• Die Eskalationsleiter ernst nehmen, solange sie unten steht: Auf eine Aufforderung mit Frist nach § 39 Abs. 1 gehört eine belastbare, terminierte Reaktion; wer erst beim Bescheid reagiert, hat die günstigste Ausstiegsstufe verpasst, und für wesentliche Einrichtungen stehen dahinter Überwachungsbeauftragter, Zertifikatsaussetzung und Leitungsverbot.
• Die Leitungsebene briefen: Teilnahmepflichtige Schulungen (§ 31, strafbewehrt), die Anknüpfung der Verbandsgeldstrafe an Führungsverhalten (§ 44 Abs. 3 und 4) und das Leitungsverbot mit Firmenbucheintrag (§ 39 Abs. 4) gehören in die Governance-Unterlage der Geschäftsführung, nicht nur ins CISO-Reporting.
• Schnittstelle Datenschutz klären: Bei Vorfällen mit Datenschutzbezug entscheidet die Verfahrenslage mit über das Sanktionsrisiko (§ 44 Abs. 7); Melde- und Verteidigungslinien mit dem Datenschutzbeauftragten koordinieren.

Typische Fehler

1. Das Strafverfahren wird bei der Cybersicherheitsbehörde verortet, obwohl die Bezirksverwaltungsbehörden strafen; Zuständigkeiten und Fristen im Verfahren werden dadurch falsch geplant.
2. Die proaktive Aufsicht über wesentliche Einrichtungen wird wie eine anlassbezogene behandelt; Nachweise entstehen erst auf Anfrage statt im Regelbetrieb.
3. Das Leitungsverbot mit Firmenbucheintrag wird der Geschäftsführung nicht berichtet, obwohl es die persönlich härteste Konsequenz des Gesetzes ist.
4. Formal- und Mitwirkungspflichten (Registrierung, Selbstdeklaration, Prüfplan-Anzeige) werden als Nebensache behandelt, obwohl der Ordnungskatalog des § 45 Abs. 4 genau sie sanktioniert.
5. Bei Stellen der öffentlichen Verwaltung wird mit Geldstrafen argumentiert, obwohl § 46 dort Feststellung, Fristsetzung und Veröffentlichung vorsieht.

Risiken und Trade-offs

Wer intern nur mit den Maximalrahmen von 10 bzw. 7 Mio. Euro argumentiert, gewinnt kurzfristig Aufmerksamkeit und verliert Glaubwürdigkeit, wenn die realen Verfahren differenzierter ausfallen; wer umgekehrt auf das Selbstdeklarations-Privileg und das Schonungsgebot verweist, darf daraus keine Entwarnung machen, denn Meldepflichtverstöße und Durchsetzungsmissachtung bleiben voll strafbewehrt. Ein zweiter Trade-off betrifft die Transparenz gegenüber der Behörde: Offenheit (Selbstdeklaration, kooperative Aufsicht) senkt das Strafrisiko und erhöht zugleich die Sichtbarkeit von Schwächen; die Balance gehört als bewusste Entscheidung in die Governance, nicht in die Improvisation des Einzelfalls. Drittens der Zeithorizont: Bis zum 30.09.2026 gilt noch das NISG 2018; wer die Übergangszeit nutzt, baut Prüfungs- und Reaktionsfähigkeit auf, bevor das neue Vollzugsregime greift.

Entscheidungspunkte

• Ist die Organisation wesentlich oder wichtig eingestuft, und ist die Prüfungsfähigkeit auf proaktive oder anlassbezogene Aufsicht ausgelegt?
• Kennt die Geschäftsführung das Leitungsverbot mit Firmenbucheintrag und die Anknüpfung der Verbandsgeldstrafe an Führungsverhalten?
• Wer reagiert auf eine Aufforderung nach § 39 Abs. 1, in welcher Frist und mit welcher Eskalationsroute?
• Sind die Formal- und Mitwirkungspflichten (Registrierung, Selbstdeklaration, Prüfplan-Anzeige, Duldung von Kontrollen) mit Verantwortlichen hinterlegt?
• Ist die Schnittstelle zur Datenschutzorganisation für Vorfälle mit Doppelbezug (NISG und DSGVO) geregelt?

Praktische Empfehlungen

1. Dokumentieren Sie die eigene Kategorie (wesentlich oder wichtig) und richten Sie die Nachweis- und Prüfungsfähigkeit am zugehörigen Aufsichtsregime des § 38 aus.
2. Nehmen Sie die drei Rollen der österreichischen Vollzugslandschaft (Cybersicherheitsbehörde, Bezirksverwaltungsbehörde, CSIRT) mit Ansprechpartnern in Ihr Incident- und Behörden-Playbook auf.
3. Briefen Sie Geschäftsführung und Leitungsorgane zu Leitungsverbot, Firmenbucheintrag und Verbandsgeldstrafe und protokollieren Sie deren strafbewehrte Schulungen.
4. Behandeln Sie Registrierung, Selbstdeklaration und Prüfplan-Anzeige als sanktionsbewehrte Kernpflichten mit eigenen Verantwortlichen und Fristenkontrolle.
5. Definieren Sie eine Reaktionsroutine für Aufforderungen nach § 39 Abs. 1, bevor die erste eintrifft, inklusive Rechtsbeistand und Eskalationsweg.

Relevante Normreferenzen

• NISG 2026 (Art. 1 BGBl. I Nr. 94/2025): § 38 (Aufsicht), § 39 (Durchsetzung), § 40 (zertifizierte IKT-Produkte), § 44 (Strafzuständigkeit und Doppelbestrafungsverbote), § 45 (Strafrahmen und Ordnungskatalog), § 46 (öffentliche Verwaltung), § 51 (Anwendungsbeginn 01.10.2026). Österreichisches Bundesrecht ist ein freies Werk und mit Fundstelle frei zitierbar.
• VO (EU) 2019/881 (Cybersecurity Act): europäische Zertifizierungsschemata, auf die § 40 verweist.
• Richtlinie (EU) 2022/2555 und deutsche Umsetzung im BSIG: Aufsichts- und Sanktionslogik der Richtlinie sowie der deutsche Vollzug im nis2-Track (dort nis2-006).