Vorhaben besprechen

TOOLBOX · DOWNLOAD

NIS2 undGemeinden:was wirklichgilt.

Seit 1. Oktober 2026 gilt das NISG 2026. Gemeinden und Gemeindeverbände zählen ausdrücklich nicht zum Sektor öffentliche Verwaltung (§ 24 Abs. 3). Ihre Betriebe für Trinkwasser, Abwasser, Abfall oder Energie können trotzdem erfasst sein. Dieser Leitfaden zeigt die Rechtslage, die Prüffragen für Gemeinde, Verband und Betrieb und was jede Gemeinde ohnehin tun sollte.

PDF herunterladen (12 Seiten)Was drinsteht

Kostenloses PDF · Leitfaden

NIS2 und Gemeinden: wer betroffen ist und was gilt

Thema
Gemeinden & öffentliche Hand
Format
PDF, A4
Umfang
12 Seiten
Größe
148 KB
Stand
25.10.2026
Quellen
18
Nutzung
Weitergabe in unveränderter Form erlaubt
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Die Ausnahme nach § 24 Abs. 3 NISG 2026, Prüffragen für Wasser-, Abwasser-, Abfall- und Energiebetriebe und was jede Gemeinde ohnehin tun sollte.

  • Bürgermeisterinnen und Bürgermeister, Amtsleitungen und Gemeindevorstände
  • Gemeinde-IT und IT-Dienstleister von Gemeinden
  • Gemeindeverbände, etwa für Wasser, Abwasser und Abfall
  • Geschäftsführungen kommunaler Betriebe wie Stadtwerke und Versorgungsunternehmen

8 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Die Kurzantwort

    Als Verwaltung ist die Gemeinde nicht erfasst. Ihre Betriebe können es sein, und Datenschutz gilt ohnehin.

  • 02

    Die Rechtslage nach § 24 NISG 2026

    Öffentliche Verwaltung wird nach Ebene eingestuft, nicht nach Größe. Gemeinden und Gemeindeverbände nimmt das Gesetz ausdrücklich aus.

  • 03

    Wann Gemeinden und ihre Betriebe trotzdem erfasst sind

    Die Ausnahme gilt nur für den Sektor öffentliche Verwaltung. In den anderen Sektoren zählen Tätigkeit und Größe, nicht die Eigentümerin.

  • 04

    Die Größe richtig ermitteln

    Mittleres Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme, gerechnet nach der KMU-Empfehlung.

  • 05

    Prüffragen für Gemeinde, Verband und Betrieb

    Sechs Fragen für jeden Rechtsträger gesondert, dazu die Unterlagen, die Sie für die Prüfung brauchen.

  • 06

    Wenn ein Rechtsträger erfasst ist

    Registrierung, die wichtigsten Pflichten und die Sonderregel des § 46 statt Geldstrafen für Gemeinden und öffentliche Stellen.

  • 07

    Was jede Gemeinde ohnehin tun sollte

    Datensicherheit nach DSGVO, Anforderungen aus der Lieferkette, sechs erste Schritte und zwei Leitfäden zur Orientierung.

  • 08

    Häufige Missverständnisse

    Fünf Annahmen, die bei Gemeinden und ihren Betrieben zu falschen Schlüssen führen.

AUSZUG

Die Rechtslage nach § 24 NISG 2026

Das NISG 2026 (BGBl. I Nr. 94/2025) setzt die NIS-2-Richtlinie um und gilt seit 1. Oktober 2026 (§ 51 Abs. 1 und 2). Die öffentliche Verwaltung stuft es nach Ebene ein, nicht nach Größe. Einrichtungen im Sektor der öffentlichen Verwaltung sind nach § 24 Abs. 3 Einrichtungen, die alle drei Merkmale erfüllen:

  • Z 1: Sie wurden eingerichtet, um im öffentlichen Interesse liegende Aufgaben nicht gewerblicher Art zu erfüllen.
  • Z 2: Sie unterstehen der Aufsicht von Bund oder Land oder sind an Weisungen eines obersten Organs gebunden, ihr Leitungs- oder Aufsichtsorgan wird mehrheitlich von Stellen des Bundes oder der Länder eingesetzt, Bund oder Land halten mindestens 50 vH des Kapitals, oder sie sind Mitglieder der Bundesregierung.
  • Z 3: Sie sind ermächtigt, Bescheide zu erlassen, die Rechte Einzelner im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren.

Der Absatz endet mit den Worten „mit Ausnahme der Gemeinden sowie Gemeindeverbände“. Laut den Erläuterungen zur Regierungsvorlage wurde von der Möglichkeit, die lokale Ebene, innerstaatlich die Gemeinden, einzubeziehen, „kein Gebrauch gemacht“. An einer Stelle formulieren die Erläuterungen weiter („Neben den Gemeinden gelten auch Bildungseinrichtungen … nicht als wesentliche oder wichtige Einrichtungen“). Maßgeblich ist der Gesetzestext, der Gemeinden nur aus dem Sektor öffentliche Verwaltung ausnimmt; so liest es auch das BCS.

Sektor öffentliche Verwaltung nach § 24 NISG 2026
EbeneWer erfasst istEinstufung
BundEinrichtungen nach Abs. 3, die Angelegenheiten der Bundesverwaltung besorgen und Bundesbehörde sind oder Rechtspersönlichkeit besitzenwesentlich, unabhängig von der Größe (Abs. 1 Z 1 lit. d, Abs. 4)
LandÄmter der Landesregierungen und Bezirkshauptmannschaften sowie Einrichtungen nach Abs. 3 mit Rechtspersönlichkeit, die Angelegenheiten der Landesverwaltung besorgenwichtig, laut Erläuterungen ebenfalls unabhängig von der Größe (Abs. 2 Z 2, Abs. 5)
Gemeinden und Gemeindeverbändeausdrücklich nicht Teil des Sektors, laut BCS auch Städte; § 24 Abs. 5 nennt nur die Bezirkshauptmannschaften, nicht die Magistrate der Statutarstädtekeine Einstufung als öffentliche Verwaltung (Abs. 3)
Weitere Ausnahmenüberwiegend nationale Sicherheit, öffentliche Sicherheit oder Strafverfolgung; Universitäts-, Hochschul- und Schulwesen; Gerichtsbarkeit; Gesetzgebung; Österreichische Nationalbankweder wesentlich noch wichtig, außer als Vertrauensdiensteanbieter (Abs. 6)

Das deckt sich mit der NIS-2-Richtlinie: Sie erfasst die öffentliche Verwaltung der Zentralregierung und, nach einer risikobasierten Bewertung, der regionalen Ebene unabhängig von der Größe (Art. 2 Abs. 2 lit. f). Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene können die Mitgliedstaaten einbeziehen, müssen es aber nicht (Art. 2 Abs. 5 lit. a).

Sonderfall Wien: Der Wiener Magistrat hat auch die Funktion des Amtes der Landesregierung (Art. 108 B-VG), das § 24 Abs. 5 als Einrichtung der Landesebene nennt. Laut den Erläuterungen bedarf es einer „differenzierten Betrachtung“, „zumal die ‚lokale Ebene‘ … vom Sektor der öffentlichen Verwaltung nicht umfasst sein soll“. Das Gesetz regelt das nicht eigens; prüfen Sie Wiener Einrichtungen im Einzelfall.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. NISG 2026, geltende Fassung im RIS, samt Anlagen 1 und 2 (öffnet in neuem Tab)§§ 3, 24 bis 26, 29, 31 bis 34, 37, 39, 45, 46, 51, Anlagen 1 und 2; Fassung vom 25.10.2026
  2. Regierungsvorlage 308 d. B. XXVIII. GP, Erläuterungen zum NISG 2026 (PDF) (öffnet in neuem Tab)Zu §§ 24, 25 und 46 sowie zu Anlage 1 Z 5 und 7 und Anlage 2 Z 2
  3. Bundesamt für Cybersicherheit: FAQ Sektoren (öffnet in neuem Tab)Gemeinden, Haupt- und Nebentätigkeit, Photovoltaik, Ladepunkte, Managed Service Provider, Pflegeheime; Stand 25.9.2026
  4. Bundesamt für Cybersicherheit: FAQ Lieferkette (öffnet in neuem Tab)Vertragliche Verpflichtungen von Lieferanten; Stand 25.9.2026
  5. Bundesamt für Cybersicherheit: FAQ Registrierung (öffnet in neuem Tab)Wen trifft die Registrierungspflicht?, Formular über USP bzw. Portalverbund; Stand 25.9.2026
  6. Bundesamt für Cybersicherheit: Registrierung (öffnet in neuem Tab)Erstregistrierung, NIS2-Services im USP, Portalverbund für die öffentliche Verwaltung; Stand 2.10.2026
  7. NISV 2026, BGBl. II Nr. 290/2026, im RIS (öffnet in neuem Tab)§ 2 Anforderungen an Risikomanagementmaßnahmen, § 9 Inkrafttreten
  8. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) (öffnet in neuem Tab)Erwägungsgrund 13, Art. 2 Abs. 1, Abs. 2 lit. f und Abs. 5 lit. a
  9. Empfehlung 2003/361/EG der Kommission zur Definition der KMU (öffnet in neuem Tab)Anhang Art. 1 bis 6
  10. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) (öffnet in neuem Tab)Art. 32 Sicherheit der Verarbeitung, Art. 33 und 34 Meldung und Benachrichtigung
  11. Abfallwirtschaftsgesetz 2002, § 2 im RIS (öffnet in neuem Tab)§ 2 Abs. 6 Z 3 und 4: Abfallsammler und Abfallbehandler
  12. Bundes-Verfassungsgesetz, Art. 108 im RIS (öffnet in neuem Tab)Wien: Magistrat zugleich Amt der Landesregierung
  13. Oö. Informationstechnologien-Einsatz-Gesetz (Oö. ITEG), LGBl. Nr. 46/2025, im RIS (öffnet in neuem Tab)§ 1 Z 2, § 3 Abs. 1 und 3
  14. Kärntner Gemeindemitarbeiterinnengesetz (K-GMG), § 109 im RIS (öffnet in neuem Tab)Abs. 1 lit. h und Abs. 2: IKT und IT-Sicherheit; in Kraft seit 1.1.2026
  15. Kärntner Gemeinde-Ausbildungs- und Prüfungsverordnung (K-GAPV), § 4 im RIS (öffnet in neuem Tab)Abs. 1 lit. e und Abs. 6: Einführungslehrgang mit IKT-Sicherheit
  16. Wiener Dienstordnung 1994, § 26d im RIS (öffnet in neuem Tab)Abs. 5: private IKT-Endgeräte beim mobilen Arbeiten; in Kraft seit 1.9.2025
  17. Österreichisches Informationssicherheitshandbuch (Bundeskanzleramt, A-SIT) (öffnet in neuem Tab)Version 4: Zum Geleit, Vorwort, Einführung und zielgruppenspezifische Leitfäden
  18. BSI: IT-Grundschutz-Profil Basis-Absicherung Kommunalverwaltung (öffnet in neuem Tab)Version 4.0 vom 13.11.2023, Abschnitte 5 bis 7 und 9

Dieser Leitfaden gibt einen Überblick und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung, insbesondere §§ 24 bis 26 und die Anlagen 1 und 2 NISG 2026. Prüffragen, erste Schritte und Leitfäden sind Empfehlungen von TOMORIS.

TOOLBOX

Passend
dazu.

GEMEINDEN & ÖFFENTLICHE HAND

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich Gemeinden & öffentliche Hand.

Alle Downloads zu Gemeinden & öffentliche Hand

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads