TRACIE Erstcheck

Orientierung für Gemeinden · Österreich

NIS2 verstehen.
Versorgung schützen.

Ein klarer Einstieg für Bürgermeister:innen, Amtsleitung und Sicherheitsverantwortliche – ohne unnötigen Fachjargon.

Betroffenheit einordnen Zu den ersten Schritten ↓
23.12.2025

Kundgemacht

Das NISG 2026 wurde als BGBl. I Nr. 94/2025 veröffentlicht.

01.10.2026

Voll wirksam

Betroffene Einrichtungen müssen die Vorgaben ab diesem Tag erfüllen.

31.12.2026

Registrierung

Für Einrichtungen, deren Registrierungspflicht am 01.10.2026 beginnt. Sonst grundsätzlich binnen drei Monaten.

30.09.2027

Erste Selbsterklärung

Für ab 01.10.2026 registrierungspflichtige Einrichtungen; sonst binnen zwölf Monaten nach Eintritt der Pflicht.

Die wichtigste Frage zuerst

Ist unsere Gemeinde betroffen?

Nicht jede Gemeinde fällt automatisch unter das NISG 2026. Entscheidend sind Tätigkeit, organisatorische Einheit, Größenkriterien und mögliche Sonderfälle. Die Prüfung muss für die konkrete Rechtsperson erfolgen.

01

Gemeindeverwaltung

Gemeinden, Städte und Gemeindeverbände sind im Sektor „öffentliche Verwaltung“ ausdrücklich ausgenommen.

Nicht allein wegen des Rathauses betroffen.
02

Kommunale Versorgung

Tätigkeiten in anderen NIS-Sektoren müssen separat geprüft werden – etwa Trinkwasser, Abwasser, Abfall, Energie, Verkehr oder digitale Infrastruktur.

Sektor und Betreiberstruktur prüfen.
03

Größe & Sonderfälle

In der Grundregel ist zumindest mittlere Größe erforderlich. Beteiligungen, verbundene Einheiten und größenunabhängige Sonderfälle können die Bewertung verändern.

Keine Bewertung nur nach Einwohnerzahl.

Orientierung in vier Schritten

Gemeinde-Check

Durchlaufen Sie vier kurze Prüfschritte zur konkreten Rechtsperson. Das Ergebnis dient als erste Orientierung und ersetzt keine rechtliche Einzelfallprüfung.

Erbringt die geprüfte Rechtsperson eine in Anlage 1 oder 2 ausdrücklich genannte Tätigkeit?

Ein bloßer Bezug zu Wasser, Verkehr, Abfall oder IT genügt nicht. Maßgeblich ist, ob die Rechtsperson die gesetzlich bezeichnete Tätigkeit als dort genannte Art von Einrichtung erbringt.

A

Erbringt die Rechtsperson eine ausdrücklich genannte Tätigkeit?

B

Welche rechtsfähige Einrichtung erbringt den Dienst?

C

Wie fallen Größenregel, § 24 und ein möglicher §-26-Bescheid aus?

Diese Orientierung ersetzt keine rechtliche Einzelfallprüfung. Auch nicht unmittelbar erfasste Gemeinden profitieren von denselben Schutzmaßnahmen und können über Lieferketten oder Vertragspartner Sicherheitsnachweise benötigen.

Vom Überblick zur Umsetzung

Empfohlene Umsetzungs-Roadmap.

Diese sechs Schritte strukturieren das Projekt. Die inhaltliche Vollständigkeit ist zusätzlich anhand des Maßnahmenkatalogs nach § 32 NISG 2026 zu prüfen.

  1. 01

    Verantwortung festlegen

    Politische Verantwortung, Amtsleitung, IT und Fachbereiche klar zuordnen.

  2. 02

    Betroffenheit dokumentiert prüfen

    Rechtspersonen, Sektoren, Größenkriterien und Betreiberrollen erfassen.

  3. 03

    Kritische Dienste sichtbar machen

    Wasser, Abwasser, Energie, Gebäude, OT, Sensorik und Dienstleister inventarisieren.

  4. 04

    Risiken und Maßnahmen bewerten

    Zugriffe, Updates, Backups, Lieferketten, Verschlüsselung und Ausfallszenarien prüfen.

  5. 05

    Vorfallprozess üben

    Erkennung, Eskalation, Entscheidungswege und Meldeabläufe schriftlich festlegen.

  6. 06

    Nachweise laufend pflegen

    Schulungen, Prüfungen, Änderungen und Wirksamkeit der Maßnahmen nachvollziehbar halten.

Verantwortung richtig zuordnen

Beispiel für ein mögliches Betriebs- und Verantwortungsmodell.

Entscheidend ist die konkret betroffene Rechtsperson. Aufgaben können verteilt werden. IT, OT und Fachbereiche setzen operativ um; Sicherstellung, Aufsicht und nachvollziehbare Freigabe verbleiben beim zuständigen Leitungsorgan.

01 · Verantwortung

Leitungsorgan

Je nach Rechtsperson z. B. Bürgermeister:in, Vorstand oder Geschäftsführung.

  • Maßnahmen sicherstellen und beaufsichtigen
  • Ressourcen und Entscheidungen freigeben
  • Cybersicherheitsschulung absolvieren
02 · Koordination

Amtsleitung & NIS2-Koordination

Verbindet Leitung, Fachbereiche, Betreiber und externe Partner.

  • Zuständigkeiten und Prozesse verankern
  • Risiken, Maßnahmen und Nachweise steuern
  • Status regelmäßig an die Leitung berichten
03 · Umsetzung

IT, OT & Fachbereiche

Tragen die operative Verantwortung für Dienste, Systeme und Messpunkte.

  • Systeme, Zugriffe und Lieferanten erfassen
  • Backups, Updates und Schutzmaßnahmen umsetzen
  • Wirksamkeit prüfen und Abweichungen melden
04 · Vorfall

Sicherheits- & Meldekoordination

Hält Eskalation, Kommunikation und gesetzliche Berichte handlungsfähig.

  • Vorfälle erkennen und fachlich bewerten
  • Melde- und Entscheidungsweg auslösen
  • Berichte und Maßnahmen dokumentieren

Entscheidung und Ausführung

Wer trägt welche Aufgabe?

Die Matrix zeigt ein praxistaugliches Modell. Die konkrete Zuordnung und eine Stellvertretung sollten für jede betroffene Rechtsperson schriftlich festgelegt werden.

Empfohlene Verantwortungsverteilung für kommunale NIS2-Aufgaben
Thema Freigabe & Aufsicht Operative Verantwortung Nachweis
Risiken & Maßnahmen Leitungsorgan NIS2-Koordination, IT/OT und Fachbereiche Risiko- und Maßnahmenregister
Betrieb & Lieferkette Leitungsorgan und Amtsleitung Systemverantwortliche, Beschaffung und Dienstleister Inventar, Verträge und Prüfungen
Vorfall & Meldung Benannter Entscheidungs- und Eskalationsweg Sicherheits- und Meldekoordination mit IT/OT Vorfallprotokoll und Berichte
Schulung & Wirksamkeit Leitungsorgan Amtsleitung und NIS2-Koordination Schulungs- und Prüfprotokolle

Wenn ein erheblicher Vorfall eintritt

Der Meldeweg zum zuständigen CSIRT muss vor dem Vorfall stehen.

Die Fristen gelten bei einem erheblichen Cybersicherheitsvorfall im Sinne des § 35 NISG – nicht bei jeder gewöhnlichen IT-Störung.

  1. 24 h Frühwarnung

    Hinweise auf böswillige Handlungen und mögliche grenzüberschreitende Auswirkungen übermitteln.

  2. 72 h Vorfallmeldung

    Bewertung, Schweregrad, Auswirkungen und verfügbare Indikatoren ergänzen.

  3. 1 Monat Abschlussbericht

    Grundsätzlich binnen eines Monats nach der 72-Stunden-Meldung. Dauert der Vorfall an, zuerst Fortschrittsbericht; Abschlussbericht nach Bearbeitungsende.

Grundlage: § 34 NISG 2026 ↗

NIS2 trifft kommunale IoT-Infrastruktur

Kommunale Messpunkte.
Sicher mitgedacht.

TRACIE kann als technischer Baustein helfen, Sensoren, Schnittstellen und Übertragungswege strukturiert abzubilden, Daten geschützt zu übertragen und Zustände zentral zu überwachen. Das unterstützt technische und organisatorische Maßnahmen. Ob die Gesamtlösung Anforderungen des NISG erfüllt, hängt von Architektur, Konfiguration, Betriebsprozessen und Organisation ab. TRACIE allein ersetzt weder ISMS noch Rechts- oder NIS2-Beratung.

  • Messpunkte und Schnittstellen nachvollziehbar erfassen
  • Daten lokal puffern und geschützt übertragen
  • Zustände, Alarme und Ausfälle sichtbar machen
  • Anbindung an bestehende Systeme planbar dokumentieren
Kommunalen Messpunkt besprechen

Verifizierte Grundlagen

Quellen & Rechtsstand

01 RIS · BGBl. I Nr. 94/2025 Österreichisches NISG 2026 02 WKO · Fragen und Antworten Betroffenheit, Pflichten und Fristen 03 EUR-Lex · Richtlinie (EU) 2022/2555 Europäische NIS2-Grundlage 04 RIS · § 31 NISG 2026 Governance und Schulung der Leitungsorgane 05 RIS · § 34 NISG 2026 Berichtspflichten bei erheblichen Vorfällen 06 RIS · § 32 NISG 2026 Risikomanagementmaßnahmen und Themenfelder 07 RIS · § 35 NISG 2026 Erheblicher Cybersicherheitsvorfall

Redaktioneller Stand: 5. August 2026. Bei Änderungen von Gesetz, Verordnungen oder Behördeninformationen ist der Inhalt zu aktualisieren.