NIS2 und Gemeinden: wer betroffen ist und was gilt

• NeinGemeinde als öffentliche Verwaltung

  Gemeinden und Gemeindeverbände sind keine Einrichtungen im Sektor der öffentlichen Verwaltung (§ 24 Abs. 3 NISG 2026).

• PrüfenKommunale Betriebe und Verbände

  Wer eine Tätigkeit aus Anlage 1 oder 2 ausübt, etwa Trinkwasser, Abwasser, Abfall oder Energie, ist ab mittlerer Größe erfasst, sofern keine Einschränkung der Anlage greift (§ 24 Abs. 1 Z 3, Abs. 2 Z 1, § 25).

• JaDatenschutz und Lieferkette

  Die Sicherheit der Verarbeitung nach Art. 32 DSGVO gilt für jede Gemeinde. Erfasste Partner müssen die Sicherheit ihrer Lieferkette regeln (§ 32 Abs. 4 lit. d NISG 2026).

Das Bundesamt für Cybersicherheit beantwortet die Frage in seinen FAQ so: Gemeinden, „somit auch Städte“, und Gemeindeverbände sind im Sektor öffentliche Verwaltung ausdrücklich ausgenommen, „aber nicht pauschal vom Anwendungsbereich ausgeschlossen“. Betroffen sind sie, wenn sie in einem anderen Sektor der Anlage 1 oder 2 tätig sind, etwa Trinkwasser, Abwasser, Abfallwirtschaft, Energie, Verkehr oder digitale Infrastruktur, und die Größenkriterien für mittlere oder große Unternehmen erfüllen.

Ob eine Einrichtung wesentlich oder wichtig ist, folgt unmittelbar aus § 24 NISG 2026; ein Bescheid ist dafür nicht nötig. Erfasste Einrichtungen müssen sich selbst registrieren (§ 29). Daneben stuft die Cybersicherheitsbehörde kleinere Einrichtungen der Anlagen 1 und 2 mit Bescheid ein, wenn einer der Gründe des § 26 Abs. 3 vorliegt.

Das NISG 2026 (BGBl. I Nr. 94/2025) setzt die NIS-2-Richtlinie um und gilt seit 1. Oktober 2026 (§ 51 Abs. 1 und 2). Die öffentliche Verwaltung stuft es nach Ebene ein, nicht nach Größe. Einrichtungen im Sektor der öffentlichen Verwaltung sind nach § 24 Abs. 3 Einrichtungen, die alle drei Merkmale erfüllen:

• Z 1: Sie wurden eingerichtet, um im öffentlichen Interesse liegende Aufgaben nicht gewerblicher Art zu erfüllen.
• Z 2: Sie unterstehen der Aufsicht von Bund oder Land oder sind an Weisungen eines obersten Organs gebunden, ihr Leitungs- oder Aufsichtsorgan wird mehrheitlich von Stellen des Bundes oder der Länder eingesetzt, Bund oder Land halten mindestens 50 vH des Kapitals, oder sie sind Mitglieder der Bundesregierung.
• Z 3: Sie sind ermächtigt, Bescheide zu erlassen, die Rechte Einzelner im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren.

Der Absatz endet mit den Worten „mit Ausnahme der Gemeinden sowie Gemeindeverbände“. Laut den Erläuterungen zur Regierungsvorlage wurde von der Möglichkeit, die lokale Ebene, innerstaatlich die Gemeinden, einzubeziehen, „kein Gebrauch gemacht“. An einer Stelle formulieren die Erläuterungen weiter („Neben den Gemeinden gelten auch Bildungseinrichtungen … nicht als wesentliche oder wichtige Einrichtungen“). Maßgeblich ist der Gesetzestext, der Gemeinden nur aus dem Sektor öffentliche Verwaltung ausnimmt; so liest es auch das BCS.

Das deckt sich mit der NIS-2-Richtlinie: Sie erfasst die öffentliche Verwaltung der Zentralregierung und, nach einer risikobasierten Bewertung, der regionalen Ebene unabhängig von der Größe (Art. 2 Abs. 2 lit. f). Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene können die Mitgliedstaaten einbeziehen, müssen es aber nicht (Art. 2 Abs. 5 lit. a).

Sonderfall Wien: Der Wiener Magistrat hat auch die Funktion des Amtes der Landesregierung (Art. 108 B-VG), das § 24 Abs. 5 als Einrichtung der Landesebene nennt. Laut den Erläuterungen bedarf es einer „differenzierten Betrachtung“, „zumal die ‚lokale Ebene‘ … vom Sektor der öffentlichen Verwaltung nicht umfasst sein soll“. Das Gesetz regelt das nicht eigens; prüfen Sie Wiener Einrichtungen im Einzelfall.

Die Ausnahme steht nur in der Begriffsbestimmung des Sektors öffentliche Verwaltung. In den übrigen Sektoren gilt: Einrichtungen einer Art aus Anlage 1 sind wesentlich, wenn sie ein großes Unternehmen betreiben (§ 24 Abs. 1 Z 3); Einrichtungen einer Art aus Anlage 1 oder 2 sind wichtig, wenn sie ein mittleres oder großes Unternehmen betreiben (§ 24 Abs. 2 Z 1). Einrichtung ist jede natürliche oder juristische Person oder eingetragene Personengesellschaft, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann (§ 3 Z 10). Die Richtlinie nennt ausdrücklich „öffentliche oder private Einrichtungen“ (Art. 2 Abs. 1), und als Unternehmen gilt jede Einheit, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform (Art. 1 Anhang Empfehlung 2003/361/EG).

Ob eine Tätigkeit Haupt- oder Nebensache ist, spielt laut Bundesamt für Cybersicherheit (BCS) grundsätzlich keine Rolle. Einschränkungen enthält das Gesetz nur bei einzelnen Arten: Stromerzeuger (Haupttätigkeit), Trinkwasserlieferanten, deren allgemeine Tätigkeit die Lieferung anderer Rohstoffe und Güter ist, Abwasser und Straßenverkehrsbehörden (nicht wesentlicher Teil der allgemeinen Tätigkeit) sowie Abfallbewirtschaftung (wirtschaftliche Haupttätigkeit). Sonst können laut BCS auch untergeordnete Tätigkeiten die gesamte Einrichtung, also die juristische Person, erfassen. Beim Abwasser zählt laut Erläuterungen jede Tätigkeit des Unternehmens zur allgemeinen Tätigkeit, auch eine nicht wirtschaftliche; bei der Abfallbewirtschaftung scheiden nicht wirtschaftliche Tätigkeiten von vornherein aus.

Photovoltaik, Ladepunkte, Netze: Wer Überschussstrom einer Photovoltaikanlage einspeist, aber primär für den Eigenbedarf erzeugt, fällt laut BCS grundsätzlich nicht unter das NISG 2026. Öffentlich zugängliche Ladepunkte können dagegen unter „Betreiber von Ladepunkten“ fallen. Ob ein Glasfasernetz der Gemeinde ein öffentliches Kommunikationsnetz ist, richtet sich nach § 4 Z 9 TKG 2021, auf den § 3 Z 4 NISG 2026 verweist; hier schützt keine Größenschwelle.

• Beschäftigte zählen in Jahresarbeitseinheiten; Lehrlinge sowie Mutterschafts- und Elternurlaub zählen nicht (Art. 5 Anhang Empfehlung 2003/361/EG).
• Maßgeblich ist der letzte Rechnungsabschluss; ein Statuswechsel wirkt erst nach zwei aufeinanderfolgenden Geschäftsjahren (Art. 4 Abs. 1 und 2 Anhang).
• Verbundene Unternehmen zählen zu 100 %, Partnerunternehmen ab 25 % Beteiligung anteilig (Art. 3 und Art. 6 Abs. 2 Anhang).
• Öffentliche Kontrolle von 25 % oder mehr schließt den KMU-Status nicht aus, denn Art. 3 Abs. 4 Anhang ist nicht anzuwenden (§ 25 Abs. 1, Art. 2 Abs. 1 NIS-2-Richtlinie); die Eigentümerin allein macht eine Gemeindegesellschaft nicht groß. Als verbunden können aber Schwestergesellschaften gelten, die dieselbe Gemeinde beherrscht (Art. 3 Abs. 3 Anhang). Ob Daten der Gemeinde selbst zählen, ist offen.
• Eine Gemeinde mit Jahreshaushalt unter 10 Mio. Euro und weniger als 5.000 Einwohnern macht ein Unternehmen auch mit 25 % oder mehr nicht zum Partnerunternehmen, solange sie nicht mit ihm verbunden ist (Art. 3 Abs. 2 UAbs. 2 lit. d Anhang).
• Nicht hinzugerechnet wird, wenn die Einrichtung bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4). Teilt ein Betrieb die IT mit der Gemeinde, prüfen Sie das besonders sorgfältig.

Offene Frage: Führt eine Gemeinde einen Betrieb selbst, etwa die Wasserversorgung ohne eigene Gesellschaft, ist die Gemeinde als juristische Person die Einrichtung (§ 3 Z 10). Ob für die Größe dann nur der Betrieb oder die ganze Gemeinde zählt, beantworten weder § 25 noch die Erläuterungen ausdrücklich. Laut den Erläuterungen zu § 24 wird eine erfasste Einrichtung zur Gänze eingestuft, ihre Pflichten gelten für alle ihre Dienste. Klären Sie solche Fälle mit Ihrer Rechtsberatung oder der Cybersicherheitsbehörde.

• Liste aller Rechtsträger mit Beteiligungen, Kapital- und Stimmrechtsanteilen
• Satzungen, Gesellschafts- und Verbandsverträge, Leistungsbeschreibungen der Betriebe
• Rechnungsabschlüsse der letzten zwei Jahre: Umsatz, Bilanzsumme, Beschäftigte in Jahresarbeitseinheiten
• Übersicht, wer welche IT betreibt und nutzt, samt IT-Dienstleistern
• Dokumentiertes Ergebnis mit Datum, Begründung und Fundstellen, vom zuständigen Organ zur Kenntnis genommen

Prüffragen und Unterlagenliste sind eine Empfehlung von TOMORIS; rechtlich maßgeblich sind §§ 24 bis 26 NISG 2026 samt Anlagen 1 und 2. Wiederholen Sie die Prüfung nach jedem Rechnungsabschluss und bei neuen Tätigkeiten.

Erfasste Einrichtungen registrieren sich innerhalb von drei Monaten ab Inkrafttreten, später hinzukommende binnen drei Monaten ab Erfüllung der Voraussetzungen (§ 29 Abs. 3). Das BCS nennt für die erste Registrierung zwei Daten: in den FAQ (Stand 25.9.2026) den 31. Dezember 2026, auf der Seite „Registrierung“ (Stand 2.10.2026) grundsätzlich den 1. Jänner 2027, wegen § 33 Abs. 2 AVG spätestens den 4. Jänner 2027. Registrieren Sie sich vor Jahresende. Registriert wird eigenständig, ohne Aufforderung, über „NIS2-Services“ im Unternehmensserviceportal (USP); für Einrichtungen der öffentlichen Verwaltung kündigt das BCS eine Anbindung über den Portalverbund an. Anzugeben sind unter anderem Sektor, Art der Einrichtung und Schwellenwerte, dazu eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse (§ 29 Abs. 2 und 6).

• Governance: Leitungsorgane stellen die Risikomanagementmaßnahmen sicher, beaufsichtigen sie und nehmen an Cybersicherheitsschulungen teil (§ 31).
• Risikomanagement mit mindestens den Inhalten des § 32 Abs. 4 lit. a bis j; der Anhang der Durchführungsverordnung (EU) 2024/2690 gilt nach § 2 NISV 2026 auch für die übrigen Arten von Einrichtungen der Anlagen 1 und 2.
• Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1).
• Meldung erheblicher Cybersicherheitsvorfälle an das CSIRT, Frühwarnung spätestens 24 Stunden nach Kenntnisnahme (§ 34 Abs. 1 und 2).

Keine Geldstrafen für Gemeinden: Bei Behörden und sonstigen Stellen der öffentlichen Verwaltung, einschließlich der Gebietskörperschaften und der in Formen des Privatrechts eingerichteten Stellen, stellt abweichend von § 45 die Bezirksverwaltungsbehörde die Nichteinhaltung mit Bescheid fest und setzt eine Frist; verstreicht sie, veröffentlicht sie die Nichteinhaltung nach Rechtskraft und Gelegenheit zur Stellungnahme (§ 46 Abs. 2, Verfassungsbestimmung). § 39 Abs. 4 (Aussetzungen, Verbot von Leitungsaufgaben) gilt für diese Stellen nicht (§ 39 Abs. 6), Anordnungen nach § 39 Abs. 1 bis 3 bleiben möglich. Auch ausgegliederte Rechtsträger können laut Erläuterungen darunterfallen.

Unabhängig vom NISG 2026 gilt die DSGVO. Nach Art. 32 Abs. 1 trifft die Gemeinde als Verantwortliche geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, unter anderem Verschlüsselung (lit. a), Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme (lit. b), rasche Wiederherstellung nach einem Zwischenfall (lit. c) und regelmäßige Überprüfung (lit. d). Datenschutzverletzungen meldet sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer es besteht voraussichtlich kein Risiko (Art. 33 Abs. 1); bei voraussichtlich hohem Risiko benachrichtigt sie auch die betroffenen Personen (Art. 34 Abs. 1).

Erfasste Einrichtungen müssen die Sicherheit ihrer Lieferkette regeln (§ 32 Abs. 4 lit. d NISG 2026). Das BCS nennt als Anhaltspunkte für Verträge unter anderem Cybersicherheitsanforderungen, die Pflicht, Vorfälle unverzüglich zu melden, ein Prüfrecht und die Behebung von Schwachstellen; ein pauschaler AGB-Hinweis genügt nicht. Betreut die Gemeinde-IT einen erfassten Verband oder Betrieb, sollte sie mit solchen Anforderungen rechnen. Betreibt sie oder eine Gemeinde-IT-Gesellschaft Systeme für andere Rechtsträger, etwa Verbände, Gesellschaften oder Nachbargemeinden, prüfen Sie zusätzlich, ob sie selbst Anbieter verwalteter Dienste ist (Anlage 1 Z 9).

1. 1

   Verantwortung festlegen

   Die Gemeindeführung bestimmt, wer Informationssicherheit koordiniert, und stellt Zeit und Mittel bereit. Das BSI-Profil richtet sich an die Verwaltungsspitze, die Ressourcen bereitstellt und Sicherheitsniveau samt Risiken verantwortet (Abschnitt 5.1).

2. 2

   Überblick schaffen

   Erfassen Sie Aufgaben, Fachverfahren, Anwendungen, IT-Systeme, Standorte und Dienstleister; für Fachaufgaben und Anwendungen nennt das BSI-Profil einen vorhandenen Aufgabengliederungsplan als möglichen Ausgangspunkt (Abschnitt 7.2).

3. 3

   Grundschutz umsetzen

   Beginnen Sie mit Datensicherung samt geprüfter Wiederherstellung, zeitnahen Updates, geregelten Berechtigungen und Schutz vor Schadprogrammen, orientiert an den Bausteinen CON.3, OPS.1.1.3, ORP.4 und OPS.1.1.4 des BSI-Profils.

4. 4

   Vorfälle vorbereiten

   Legen Sie fest, wer entscheidet, wen Sie verständigen und wie Sie die Meldung nach Art. 33 DSGVO prüfen. Auch Einrichtungen außerhalb des NISG 2026 können Vorfälle freiwillig und ohne Angabe ihrer Identität an das nationale CSIRT melden (§ 37 Abs. 2 und 3).

5. 5

   Dienstleister und Verträge prüfen

   Regeln Sie mit IT-Dienstleistern Meldepflichten bei Vorfällen, Zugriffe, Fernwartung und Unterauftragnehmer.

6. 6

   Schulen und üben

   Sensibilisieren Sie Mitarbeitende regelmäßig (BSI-Profil, Baustein ORP.3) und üben Sie den Ernstfall. Für erfasste Einrichtungen sind Schulungen Pflicht (§ 31 Abs. 2 NISG 2026).

Landesrecht: Ein eigenes Landesgesetz zur Cybersicherheit der Gemeinden haben wir (Stand 25. Oktober 2026) nicht gefunden. Einzelne Landesnormen enthalten aber Vorgaben zur IT-Sicherheit von Gemeinden, zum Beispiel:

• Oberösterreich: Treffen oö. Gemeinden oder Gemeindeverbände als Träger von Privatrechten vollautomatisierte Entscheidungen, verlangt das Oö. ITEG unter anderem, Maßnahmen zur Daten- und Informationssicherheit zu dokumentieren, Protokolle und Logdateien mindestens sechs Monate zu speichern und Verfügbarkeit und Integrität der Daten nach dem Stand der Technik zu sichern (§ 1 Z 2, § 3 Abs. 3).
• Kärnten: Das Gemeinde-Servicezentrum stellt IKT-Dienstleistungen bereit und berät Gemeinden und Gemeindeverbände zur IT-Sicherheit (§ 109 Abs. 1 lit. h und Abs. 2 K-GMG). Der Einführungslehrgang für Gemeindebedienstete umfasst IKT-Sicherheit und ist für alle verpflichtend, die ab 1. Jänner 2012 eingetreten sind (§ 4 Abs. 1 lit. e und Abs. 6 K-GAPV).
• Wien: Beim mobilen Arbeiten ist mit Zustimmung des Beamten auch die Nutzung privater IKT-Endgeräte unter Wahrung der IKT-Sicherheit zulässig (§ 26d Abs. 5 Dienstordnung 1994).

Schritte und Leitfäden sind Empfehlungen von TOMORIS. Gesetzlich vorgegeben sind für jede Gemeinde unter anderem Art. 32 bis 34 DSGVO, für erfasste Einrichtungen zusätzlich §§ 31 bis 34 NISG 2026; Landesrecht kann weitere Vorgaben enthalten. Nach Erwägungsgrund 13 der NIS-2-Richtlinie sollen die Mitgliedstaaten bestrebt sein, dass auch ausgenommene Einrichtungen ein hohes Maß an Cybersicherheit erreichen.