Selbstdeklaration und unabhängige Prüfung: das österreichische Nachweisregime ohne deutsches Gegenstück

Problem in der Praxis

Der häufigste Fehler ist die deutsche Brille: "Wir betreiben keine kritische Anlage, also trifft uns keine Nachweispflicht." Diese Logik stimmt in Deutschland und ist in Österreich falsch, denn § 33 adressiert alle wesentlichen und wichtigen Einrichtungen, unabhängig von einer KRITIS-Eigenschaft.

Der zweite Fehler ist die Fehldeutung der Selbstdeklaration als Selbstbelastung oder als Formalie. Wer sie als Selbstbelastung fürchtet, übersieht das Privileg des § 45 Abs. 1: Ehrlich deklarierte Lücken begründen für sich genommen keine Geldstrafe wegen Nichtumsetzung. Wer sie als Formalie abtut, übersieht die Kehrseite: Die nicht fristgerechte Abgabe und wissentlich falsche Angaben sind eigene Straftatbestände (§ 45 Abs. 4), und bei wesentlichen Einrichtungen kann die Behörde die Selbstdeklaration durch Ad-hoc-Prüfungen kontrollieren (§ 38 Abs. 1 Z 5).

Der dritte blinde Fleck ist das Prüfwesen: Wer soll prüfen? Das NISG 2026 baut ein eigenes Zulassungsregime für unabhängige Stellen und Prüfer auf (§ 7), startet aber mit einer Übergangsbrücke aus dem NISG 2018. Wer eine Prüfung plant, ohne diese Übergangslage zu kennen, sucht nach einem Markt, den es in der Zielform noch nicht gibt.

CISO-Einordnung

Das Nachweisregime hat zwei Stufen und ein Ökosystem:

• Stufe 1, Selbstdeklaration (§ 33 Abs. 1): Alle wesentlichen und wichtigen Einrichtungen übermitteln binnen zwölf Monaten nach Eintritt ihrer Registrierungspflicht strukturierte Informationen zu den umgesetzten Maßnahmen, einschließlich der Netz- und Informationssysteme, der Lieferkettensicherheit und der Ergebnisse der Risikoanalyse, nach den Vorgaben der Behörde. Die Frist hängt an der Registrierungspflicht (§ 29, dazu nisg-at-004), nicht an einem festen Kalendertag.
• Stufe 2, Nachweis auf Aufforderung (§ 33 Abs. 2): Binnen zwei Jahren nach Aufforderung ist die technische, operative und organisatorische Umsetzung durch die Prüfung einer unabhängigen Stelle nachzuweisen; die Prüfung darf nicht älter als zwei Jahre sein. Der operative und organisatorische Teil kann auch durch einschlägige gültige Zertifikate nachgewiesen werden; welche Zertifikate einschlägig sind, benennt § 33 nicht näher. Wesentliche Einrichtungen müssen den operativen und organisatorischen Teil abweichend schon binnen zwei Monaten nach Aufforderung nachweisen. Die erstmalige Aufforderung ist frühestens zwei Jahre ab dem 01.10.2026 zulässig; Aufforderungen an wichtige Einrichtungen setzen wie deren Aufsicht begründete Hinweise auf Pflichtverstöße voraus (§ 38 Abs. 2 sinngemäß).
• Prüfbericht und Verfahren (§ 33 Abs. 3 bis 5): Der Prüfbericht ist von den Leitungsorganen und den Prüfern zu unterzeichnen und enthält festgestellte Mängel samt Maßnahmenplan; die Prüfkosten trägt die Einrichtung; der geplante Prüftermin ist der Behörde spätestens einen Monat vorher anzuzeigen. Die Behörde kann Prüfungen unabhängiger Stellen begleiten (§ 38 Abs. 1).
• Das Prüfer-Ökosystem (§ 7): Unabhängige Stellen sind juristische Personen oder eingetragene Personengesellschaften mit Niederlassung in Österreich oder der EU und zumindest einem zugelassenen Prüfer, oder selbstständige Prüfer. Prüfer werden von der Behörde zugelassen; verlangt werden unter anderem eine mindestens dreijährige einschlägige Berufserfahrung und eine bestandene Eignungsprüfung, die Behörde führt eine Prüferliste (§ 7 Abs. 1 bis 4).
• Die Übergangsbrücke (§ 51 Abs. 7 und 8): Die qualifizierten Stellen nach dem NISG 2018 gelten ab dem 01.10.2026 als unabhängige Stellen, und zwar bis zwölf Monate nach Inkrafttreten der Verordnung nach § 7 Abs. 6; sie müssen sich dabei der Prüfer nach § 4 QuaSteV bedienen. Anträge auf die neue Prüferzulassung sind erst ab Inkrafttreten dieser Verordnung möglich. Stand 03.08.2026 ist keine solche Verordnung kundgemacht; das Prüfwesen startet also mit dem übergeleiteten Bestand des Altregimes.

Die Anreizlage verdient einen eigenen Blick: Das Selbstdeklarations-Privileg des § 45 Abs. 1 schützt vor der Geldstrafe wegen Nichtumsetzung, soweit die Behörde davon nur durch die Selbstdeklaration erfährt. Es schützt nicht vor den Aufsichts- und Durchsetzungsinstrumenten der §§ 38 und 39 und nicht vor Strafen, wenn derselbe Verstoß auf anderem Weg bekannt wird. Ehrlichkeit ist damit die risikoärmste Strategie: Lücken benennen, Maßnahmenplan zeigen, Fristen halten.

Umsetzungsperspektive

• Termin ableiten: Aus dem Eintritt der eigenen Registrierungspflicht die Zwölf-Monats-Frist der Selbstdeklaration bestimmen und als Programm-Meilenstein direkt nach der Registrierung führen.
• Datenlage vorbereiten: Die Selbstdeklaration verlangt strukturierte Angaben bis hin zu Risikoanalyse-Ergebnissen und Lieferkettensicherheit. Das ISMS-Reporting so aufsetzen, dass diese Angaben aus dem Regelbetrieb entstehen, statt sie kurz vor der Frist zu rekonstruieren; die Formatvorgaben der Behörde beobachten.
• Ehrlichkeitslinie festlegen: Wer entscheidet, wie Lücken dargestellt werden? Die rechtliche Anreizlage spricht für offene Deklaration mit Maßnahmenplan; geschönte Angaben schaffen einen eigenen Straftatbestand.
• Prüfungsfähigkeit aufbauen, besonders als wesentliche Einrichtung: Der operative und organisatorische Nachweis muss binnen zwei Monaten nach Aufforderung gelingen; das setzt voraus, dass Prüfevidenz laufend entsteht. Vorhandene Zertifizierungen als möglichen Baustein bewerten, ohne ihnen ungeprüft Erfüllungswirkung zuzuschreiben; der technische Teil bleibt in jedem Fall bei der unabhängigen Stelle.
• Prüfpartner früh klären: In der Übergangszeit kommen die übergeleiteten qualifizierten Stellen des NISG 2018 in Frage; mit der Verordnung nach § 7 Abs. 6 entsteht das neue Zulassungsregime. Die Anzeigepflicht für den Prüfplan (ein Monat Vorlauf) in die Auditjahresplanung aufnehmen.

Typische Fehler

1. Die Nachweispflicht wird mit deutscher Logik verneint, weil keine kritische Anlage betrieben wird; § 33 trifft aber alle wesentlichen und wichtigen Einrichtungen.
2. Die Selbstdeklaration wird geschönt; wissentlich falsche Angaben sind ein eigener Straftatbestand, während ehrlich deklarierte Lücken privilegiert sind.
3. Die Zwölf-Monats-Frist wird nicht aus dem eigenen Registrierungszeitpunkt abgeleitet und läuft unbemerkt ab; die verspätete Abgabe ist strafbewehrt.
4. Wesentliche Einrichtungen beginnen die Nachweisdokumentation erst nach der Aufforderung, obwohl für den operativen und organisatorischen Teil nur zwei Monate bleiben.
5. Ein Zertifikat wird als Vollersatz des Nachweises verstanden, obwohl es nur den operativen und organisatorischen Teil abdecken kann und § 33 nicht näher benennt, welche Zertifikate einschlägig sind.

Risiken und Trade-offs

Der zentrale Trade-off liegt in der Deklarationstiefe. Eine sehr detaillierte Selbstdeklaration erhöht die Belastbarkeit gegenüber Ad-hoc-Prüfungen, bindet aber Ressourcen und legt der Behörde jede Schwäche offen; eine minimale Deklaration spart Aufwand, verspielt aber das Privileg-Kalkül, wenn später mehr bekannt wird, und riskiert Nachfragen. Beim Zertifikats-Baustein steht Aufwandsersparnis gegen Rechtsunsicherheit: Solange die Einschlägigkeit nicht konkretisiert ist, bleibt jede Gleichwertigkeitsannahme vorläufig. Und beim Prüfzeitpunkt konkurriert Planungssicherheit (früh mit einer übergeleiteten qualifizierten Stelle prüfen) mit der Reife des neuen Regimes (auf die Verordnung nach § 7 Abs. 6 und neu zugelassene Prüfer warten). Wer wartet, sollte die Zwei-Monats-Schiene der wesentlichen Einrichtungen trotzdem jederzeit bedienen können.

Entscheidungspunkte

• Wann tritt die Registrierungspflicht der Organisation ein, und wann endet damit die Zwölf-Monats-Frist für die Selbstdeklaration?
• Können die geforderten strukturierten Angaben (einschließlich Risikoanalyse-Ergebnissen und Lieferkettensicherheit) aus dem laufenden ISMS erzeugt werden?
• Wer verantwortet die Ehrlichkeitslinie der Deklaration, und ist die Anreizlage des § 45 der Geschäftsführung bekannt?
• Ist die Organisation als wesentliche Einrichtung in der Lage, den operativen und organisatorischen Nachweis binnen zwei Monaten zu führen?
• Mit welcher unabhängigen Stelle wird geprüft, und wer beobachtet die Verordnungslage zu § 7 Abs. 6?

Praktische Empfehlungen

1. Leiten Sie den Selbstdeklarations-Termin aus Ihrem Registrierungszeitpunkt ab und führen Sie ihn als festen Programm-Meilenstein.
2. Bauen Sie das ISMS-Reporting so, dass Risikoanalyse-Ergebnisse und Lieferketten-Angaben in deklarationsfähiger Struktur aus dem Regelbetrieb entstehen.
3. Deklarieren Sie Lücken offen und hinterlegen Sie einen Maßnahmenplan; vermeiden Sie jede geschönte Angabe, sie ist ein eigener Straftatbestand.
4. Stellen Sie als wesentliche Einrichtung die Zwei-Monats-Nachweisfähigkeit für den operativen und organisatorischen Teil sicher und bewerten Sie vorhandene Zertifikate nur als Baustein.
5. Klären Sie den Prüfpartner früh, planen Sie die Prüfplan-Anzeige mit einem Monat Vorlauf ein und beobachten Sie die Verordnung nach § 7 Abs. 6.

Relevante Normreferenzen

• NISG 2026 (Art. 1 BGBl. I Nr. 94/2025): § 33 (Selbstdeklaration und Nachweis), § 7 (unabhängige Stellen und Prüfer), § 38 (Aufsicht, Ad-hoc-Prüfung der Selbstdeklaration), § 45 (Selbstdeklarations-Tatbestände und Privileg), § 51 Abs. 7 und 8 (Überleitung der qualifizierten Stellen). Österreichisches Bundesrecht ist ein freies Werk und mit Fundstelle frei zitierbar.
• NISG 2018 (BGBl. I Nr. 111/2018) und QuaSteV (BGBl. II Nr. 226/2019): Herkunft der übergeleiteten qualifizierten Stellen und Prüfer; beide treten mit dem 30.09.2026 außer Kraft, die Überleitung regelt § 51 NISG 2026.
• Richtlinie (EU) 2022/2555 und deutsche Umsetzung im BSIG: im nis2-Track; dort auch die deutsche Nachweislage (regelmäßige Nachweise nur für Betreiber kritischer Anlagen).