Österreich: Bundesministerium für Inneres legt Schwellenwerte für kritische Einrichtungen fest

Am 14. April 2026 wurde die Verordnung des Bundesministers für Inneres zur Durchführung des Resilienz kritischer Einrichtungen-Gesetzes (Resilienz kritischer Einrichtungen-Verordnung – RKEV) veröffentlicht.

Sie ist am 15. April 2026 in Kraft getreten und wurde zur Umsetzung des Resilienz kritischer Einrichtungen-Gesetzes (RKEG), BGBl. I Nr. 60/2025, und der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) erlassen.

Sie legt für elf Sektoren (darunter Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser und Lebensmittel) konkrete Mengenschwellen fest, ab denen Einrichtungen als kritisch eingestuft werden (führt zu Risikoanalyse und Resilienzplanpflichten) und ab denen Sicherheitsvorfälle vorliegen (führt zu Meldepflichten).

Verstöße sind mit Geldstrafen bis zu 500.000 Euro bewehrt.

Die Resilienz kritischer Einrichtungen-Verordnung (RKEV) ist am 15. April 2026 in Kraft getreten. Sie konkretisiert das österreichische Resilienz kritischer Einrichtungen-Gesetz (RKEG), BGBl. I Nr. 60/2025, das seinerseits die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) umsetzt.

Was die Verordnung regelt

Die RKEV legt für elf Sektoren konkrete Schwellenwerte fest, die zwei eigenständige Rechtswirkungen auslösen: die Einstufung als kritische Einrichtung durch den Bundesminister für Inneres sowie die Meldepflicht bei Sicherheitsvorfällen. Vor Inkrafttreten der RKEV fehlten diese Schwellenwerte vollständig. Das RKEG hatte deren Festlegung ausdrücklich einer nachgelagerten Verordnung vorbehalten.

Betroffene Sektoren und operative Auswirkungen

Betroffen sind Einrichtungen in folgenden Bereichen: Energie (Strom, Fernwärme/-kälte, Erdgas, Erdöl, Wasserstoff), Verkehr (Luft, Schiene, Straße, Schifffahrt, öffentlicher Verkehr), Bankwesen, Finanzmarktinfrastrukturen, Gesundheit (einschließlich Krankenhäuser, Pharmaproduktion und Arzneimittelvertrieb), Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Lebensmittelproduktion und -vertrieb.

Überschreitet eine Einrichtung die festgelegten Mengenschwellen für die Einstufung als kritische Einrichtung (z.B. Lieferung von Elektrizität an über 92.000 Zählpunkte jährlich, Versorgung mit über 8.000.000 m³ Trinkwasser jährlich oder Erbringung von Cloud-Computing-Diensten für über 1.000.000 Nutzer) muss sie mit ihrer Einstufung als kritische Einrichtung per Bescheid rechnen (sofern die anderen Voraussetzungen des § 11 Abs 1 RKEG erfüllt sind).

Diese Einstufung löst umfassende Pflichten aus: z.B. Risikoanalyse, Erstellung eines Resilienzplans mit Schutzmaßnahmen sowie Duldung von Vor-Ort-Kontrollen durch die Behörde.

Darüber hinaus enthält die RKEV zusätzlich noch andere Schwellenwerte: wenn bei einer kritischen Einrichtung (vom BMI per Bescheid eingestuft) ein sicherheitsrelevantes Ereignis eintritt, bestimmen diese Schwellenwerte, ob ein Sicherheitsvorfall im Sinne des RKEG vorliegt.

Z.B. ist das der Fall, wenn ein Fernwärme oder ‑kältedienst für mehr als 250 000 Nutzerstunden ausfällt/nur eingeschränkt verfügbar ist oder wenn ein Pharmaunternehmen für 24/48/72 Stunden ausfällt/nur eingeschränkt verfügbar ist.

Werden diese Schwellenwerte überschritten, liegt ein Sicherheitsvorfall im Sinne des RKEG vor, was eine Meldepflicht binnen 24 Stunden gegenüber dem BMI auslöst.

Sanktionen

Verstöße gegen die Meldepflicht sind mit Geldstrafen bis zu 500.000 Euro bewehrt. Andere Pflichtverletzungen können mit bis zu 50.000 Euro (im Wiederholungsfall bis zu 100.000 Euro) bestraft werden.

Sources:

Verordnung des Bundesministers für Inneres zur Durchführung des Resilienz kritischer Einrichtungen-Gesetzes (Resilienz kritischer Einrichtungen-Verordnung – RKEV) veröffentlicht am 14.04.2026 im BGBl. II Nr. 91/2026

EHS-Rechtsmonitoring – Die Expertenlösung für nachweisbare Compliance in Ihrer Organisation | Red-on-line

Es reicht nicht, das Gesetz zu kennen – Sie müssen wissen, was konkret gilt, Standort für Standort. Und Sie müssen es belegen können.