Bundesamt für Cybersicherheit, CSIRTs und Austrian HealthCERT: an wen sich Unternehmen in Österreich wenden

Problem in der Praxis

Konzern-Playbooks aus Deutschland adressieren die Behörde: Dort läuft die Meldung an die BSI-Meldestelle (Details im nis2-Track). Wer dieses Muster nach Österreich kopiert, adressiert den falschen Empfänger, denn das NISG 2026 legt den Meldeeingang auf die CSIRT-Ebene. Im Gesundheitssektor kommt eine weitere Weiche dazu: Die Meldungen gehen an das Austrian HealthCERT, das nicht im NISG selbst, sondern im Gesundheitstelematikgesetz verankert ist und deshalb leicht übersehen wird.

Zweites Problem: Das Gesetz benennt nicht, welche Organisation nationales CSIRT ist; die Cybersicherheitsbehörde ermächtigt eine Einrichtung dazu (§ 8 Abs. 2), und übergangsweise arbeitet das nach dem NISG 2018 ermächtigte nationale CSIRT weiter (§ 51 Abs. 6). Auch der Aufbaustand des neuen Bundesamts ergibt sich nicht aus dem Normtext. Meldeprozesse müssen deshalb mit einer Übergangs- und Aufbauphase rechnen und die konkreten Adressaten aus den amtlichen Veröffentlichungen beziehen, statt sie aus Gewohnheit anzunehmen.

CISO-Einordnung

Das Bundesamt für Cybersicherheit (§ 3a, § 3b). Das Bundesamt ist die zuständige Behörde im Sinne des Gesetzes. Es ist dem BMI unmittelbar nachgeordnet, organisatorisch außerhalb der Generaldirektion für die öffentliche Sicherheit eingerichtet und österreichweit zuständig (§ 3a Abs. 2); Direktor und Stellvertreter stehen den Ausschüssen des Nationalrats für Auskünfte zur Verfügung (§ 3a Abs. 3). An der Spitze steht ein Direktor mit gesetzlichen Qualifikationserfordernissen (facheinschlägiges Hochschulstudium, fünf Jahre einschlägige Berufserfahrung); Sitz ist Wien, Außenstellen sind möglich; das Personal der bisherigen BMI-Organisationseinheit "Netz- und Informationssystemsicherheit" wird der Behörde zugewiesen (§ 3b).

Die Weisungslage als Unabhängigkeitsmechanismus. Weisungen des Bundesministers für Inneres an den Direktor sind schriftlich zu erteilen, zu begründen und halbjährlich zu veröffentlichen (§ 3b Abs. 6). Das Bundesamt ist damit kein weisungsfreies Organ, aber der Gesetzgeber macht ministerielle Einflussnahme dokumentations- und veröffentlichungspflichtig. Für Unternehmen ist das vor allem ein Einordnungssignal: Die Aufsicht liegt bei einer Behörde im BMI-Ressort, deren ministerielle Steuerung sichtbar gemacht wird.

Das CSIRT-System (§§ 8 bis 11). Die CSIRTs tragen das operative Geschäft: unter anderem Überwachung und Analyse von Bedrohungen, Frühwarnungen, Reaktion und Unterstützung bei Vorfällen, Forensik, Schwachstellenscans auf Ersuchen, Teilnahme am europäischen CSIRTs-Netzwerk und die Entgegennahme der Meldungen nach den §§ 34 und 37 (§ 8 Abs. 1). Die Cybersicherheitsbehörde ermächtigt eine Einrichtung als nationales CSIRT, einschließlich der Befugnis zur proaktiven, nicht intrusiven Überprüfung öffentlich zugänglicher Systeme mit Unterrichtungspflicht (§ 8 Abs. 2). Je Sektor kann sie ein sektorspezifisches CSIRT ermächtigen; solange keines besteht, nimmt das nationale CSIRT dessen Aufgaben wahr (§ 8 Abs. 3). § 9 regelt die Anforderungen an CSIRTs, § 10 die Aufsicht über sie, § 11 die koordinierte Offenlegung von Schwachstellen.

Der Meldeweg im Vergleich. Nach § 34 Abs. 1 melden wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall unverzüglich an das zuständige sektorspezifische CSIRT, in Ermangelung an das nationale CSIRT; von dort geht die Meldung unverzüglich an die Cybersicherheitsbehörde. Die Meldefristen und -inhalte folgen der Richtlinienkaskade und stehen im Pflichtenartikel dieses Tracks; der Punkt hier ist der Adressat: CSIRT statt Behörde. In Deutschland nimmt das BSI die Meldungen entgegen; wer beide Länder bedient, braucht zwei Meldewege mit unterschiedlichen Empfängern.

Austrian HealthCERT für den Gesundheitssektor. Artikel 3 der Kundmachung fügt in das GTelG 2012 den § 8a ein: Das Austrian HealthCERT nimmt die CSIRT-Aufgaben für den Sektor Gesundheitswesen (§ 2 Z 5 NISG 2026) wahr und hat die CSIRT-Voraussetzungen nach § 9 Abs. 1 NISG 2026 mit Ausnahme der Z 8 zu erfüllen; die NISG-Bestimmungen über die Ermächtigung sektorspezifischer CSIRTs kommen insoweit nicht zur Anwendung. Wesentliche und wichtige Einrichtungen des Sektors erbringen ihre Meldungen nach den §§ 34 und 37 NISG 2026 an das Austrian HealthCERT (§ 8a Abs. 3 GTelG). Zusätzlich wird ein Cybersicherheitsausschuss eHealth (CSAeH) eingerichtet. Das ist eine gesetzlich fixierte Sektorstruktur, kein Ermächtigungsakt; mit dem deutschen Krankenhausregime des § 391 SGB V (health-Track) hat sie nichts zu tun.

Übergang und Aufbau. Das nach dem NISG 2018 ermächtigte nationale CSIRT nimmt die Aufgaben nach § 8 Abs. 1 und 3 sowie § 11 bis zur Neu-Ermächtigung wahr, längstens zwei Jahre ab dem 01.10.2026 (§ 51 Abs. 6). Wer die Rolle konkret ausfüllt, steht nicht im Gesetz und ist den amtlichen Veröffentlichungen zu entnehmen. Daneben nennt das Gesetz weitere Strukturen, die Unternehmen nur einordnen müssen: die Aufgaben der Behörde (§ 4), die zentrale Anlaufstelle (§ 5), das Nationale Koordinierungszentrum für Cybersicherheit (§ 6) sowie die Koordinierungsgremien Cyber Sicherheit Steuerungsgruppe, IKDOK und Operative Koordinierungsstruktur (§§ 12 bis 14); eigene Berührungspunkte im Alltag entstehen vor allem mit CSIRT und Behörde.

Umsetzungsperspektive

1. Meldeadressaten je Sektor bestimmen: Gesundheitssektor an das Austrian HealthCERT; übrige Sektoren an das sektorspezifische CSIRT, solange keines ermächtigt ist an das nationale CSIRT.
2. Incident-Response-Playbooks auf den CSIRT-Weg ausrichten: Meldeeingang beim CSIRT, Weiterleitung an die Behörde erfolgt von dort; deutsche BSI-Playbooks nicht kopieren.
3. Adressen und Ermächtigungsstand verifizieren: Die konkreten Stellen und Kontaktwege aus amtlichen Veröffentlichungen übernehmen und die Übergangslage (§ 51 Abs. 6, längstens zwei Jahre ab dem 01.10.2026) im Prozess vermerken.
4. Zuständigkeiten im Unternehmen festlegen: Wer pflegt die Beziehung zu CSIRT und Behörde, wer gibt Meldungen frei, wer hält die Adressdaten aktuell?
5. Konzernweite Meldematrix führen: je Land Empfänger, Rechtsgrundlage und Auslöser; Österreich mit CSIRT-System, Deutschland mit BSI (nis2-Track).

Typische Fehler

1. Die Meldung wird an die Behörde statt an das zuständige CSIRT adressiert.
2. Einrichtungen des Gesundheitssektors übersehen das Austrian HealthCERT, weil es im GTelG 2012 statt im NISG steht.
3. Es wird als gegeben angenommen, welche Organisation nationales CSIRT ist, statt den Ermächtigungs- und Übergangsstand zu prüfen.
4. Das Bundesamt für Cybersicherheit wird mit dem BSI gleichgesetzt und deutsche Prozessmuster werden ungeprüft übernommen.
5. Die Koordinierungsgremien (CSS, IKDOK, OpKoord) werden für meldepflichtrelevante Adressaten gehalten.
6. Meldeprozesse werden erst nach dem 01.10.2026 aufgebaut, obwohl der Adressat und der Prozess vorher feststehen können.

Risiken und Trade-offs

Ein falsch adressierter Meldeweg kostet in der heißen Phase eines Vorfalls Zeit und gefährdet die Fristeneinhaltung; das ist das Hauptrisiko der Behörden-Verwechslung. Wer Kontakte und Prozesse früh fixiert, muss mit der Aufbau- und Übergangslage leben und Adressdaten gegebenenfalls nachziehen; wer wartet, bis alle Ermächtigungen stehen, startet ohne eingeübten Weg in den Anwendungsbeginn. Sinnvoll ist ein Prozess, der den Meldeweg strukturell festlegt (CSIRT-Ebene, Zuständigkeiten, Freigaben) und die konkreten Adressdaten als pflegbaren Baustein behandelt.

Entscheidungspunkte

• Welches CSIRT ist für unsere Sektoren zuständig: das Austrian HealthCERT, ein sektorspezifisches oder das nationale CSIRT?
• Wie stellen wir laufend fest, welche Einrichtung die CSIRT-Rolle jeweils wahrnimmt (Ermächtigungen, Übergangsregel des § 51 Abs. 6)?
• Wer im Unternehmen verantwortet Meldefreigaben und die Pflege der Behörden- und CSIRT-Kontakte?
• Wie integrieren wir den österreichischen CSIRT-Weg in ein konzernweites Incident-Response-Playbook neben dem deutschen BSI-Weg?

Praktische Empfehlungen

1. Legen Sie den Meldeweg vor dem 01.10.2026 fest: Empfänger auf CSIRT-Ebene je Sektor, Weiterleitungslogik, interne Freigaben.
2. Verankern Sie im Gesundheitssektor das Austrian HealthCERT als Meldeadressaten (§ 8a Abs. 3 GTelG 2012).
3. Beziehen Sie die konkreten CSIRT- und Behördenkontakte aus amtlichen Veröffentlichungen und prüfen Sie sie wiederkehrend, statt Annahmen fortzuschreiben.
4. Vermerken Sie die Übergangsregel des § 51 Abs. 6 (bestehendes nationales CSIRT, längstens zwei Jahre ab dem 01.10.2026) als Prüfpunkt im Prozess.
5. Trennen Sie die Meldewege im Konzern sauber: Österreich über das CSIRT-System, Deutschland über das BSI; die deutsche Seite steht im nis2-Track.

Relevante Normreferenzen

• NISG 2026 (Art. 1 BGBl. I Nr. 94/2025, anzuwenden ab dem 01.10.2026): § 3a und § 3b (Bundesamt für Cybersicherheit, Organisation, Weisungen), §§ 8 bis 11 (CSIRT-System), § 34 Abs. 1 (Meldung an das CSIRT mit Weiterleitung an die Behörde), § 51 Abs. 6 (Übergangsregel für das nationale CSIRT).
• GTelG 2012 in der Fassung des Artikels 3 BGBl. I Nr. 94/2025: § 8a (Austrian HealthCERT, Meldungen des Gesundheitssektors, Cybersicherheitsausschuss eHealth).
• Richtlinie (EU) 2022/2555 (NIS2): CSIRT- und Meldearchitektur der Richtlinie im nis2-Track.
• BSIG (Deutschland): BSI-Zuständigkeit und Meldeweg im nis2-Track; das deutsche Krankenhausregime (§ 391 SGB V) im health-Track.