Österreich führt neues Resilienzgesetz für kritische Einrichtungen ein

Mit 1. März 2026 tritt das neue Bundesgesetz zur Sicherstellung eines hohen Resilienzniveaus kritischer Einrichtungen in Kraft.

Es setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen um und ergänzt die unionsrechtlichen Vorgaben zur Cybersicherheit.

Betroffen sind öffentliche und private Betreiber wesentlicher Dienste, insbesondere in den Bereichen Energie, Verkehr, Gesundheit, Wasser- und Abfallwirtschaft sowie öffentliche Verwaltung.

Diese müssen künftig Risikoanalysen und Resilienzpläne erstellen, Zuverlässigkeitsüberprüfungen durchführen und Sicherheitsvorfälle melden.

Die Aufsicht liegt beim Bundesministerium für Inneres.

Das neue Gesetz soll sicherstellen, dass Einrichtungen, die wesentliche gesellschaftliche und wirtschaftliche Dienste erbringen, gegen physische, technische und organisatorische Störungen widerstandsfähiger werden. Es dient der Umsetzung der EU-Richtlinie über die Resilienz kritischer Einrichtungen und ergänzt die Bestimmungen zur Cybersicherheit durch den Fokus auf physische Sicherheit und Krisenvorsorge.

1. Anwendungsbereich und Begriffe

Das Gesetz gilt für Einrichtungen, die in bestimmten Sektoren (z. B. Energie, Verkehr, Trinkwasserversorgung, Gesundheit, Abfallwirtschaft, öffentliche Verwaltung, Finanzwesen) wesentliche Dienste erbringen.
Eine kritische Einrichtung ist jede öffentliche oder private Organisation, die vom Innenministerium aufgrund ihrer Bedeutung für die Versorgung und Sicherheit als kritisch eingestuft wird.
„Resilienz“ bezeichnet die Fähigkeit, Sicherheitsvorfälle zu verhindern, abzuwehren, deren Auswirkungen zu begrenzen und die Dienstleistung rasch wiederherzustellen.

2. Zuständige Behörde

Zuständig für Vollzug, Aufsicht und Durchsetzung ist das Bundesministerium für Inneres.
Es führt eine zentrale Kontaktstelle, arbeitet mit anderen Behörden auf EU- und nationaler Ebene zusammen und kann Landespolizeidirektionen zur Durchführung einzelner Aufgaben heranziehen.

3. Einstufung und Pflichten kritischer Einrichtungen

Das Innenministerium ermittelt, welche Einrichtungen als kritisch gelten. Diese Einstufung erfolgt auf Basis einer nationalen Strategie und einer umfassenden Risikoanalyse.
Eingestufte Einrichtungen müssen:

• innerhalb von vier Wochen eine zentrale Kontaktstelle und Ansprechpersonen benennen,
• innerhalb von neun Monaten eine Risikoanalyse durchführen,
• innerhalb von zehn Monaten einen Resilienzplan mit technischen, organisatorischen und personellen Sicherheitsmaßnahmen erstellen,
• Sicherheitsvorfälle binnen 24 Stunden melden und
• auf Verlangen Audits durch autorisierte Resilienzauditoren ermöglichen.

Der Resilienzplan muss Maßnahmen enthalten, um Sicherheitsvorfälle zu vermeiden, physische und organisatorische Schutzvorkehrungen sicherzustellen, Notfall- und Wiederherstellungsprozesse zu regeln sowie das Personal entsprechend zu schulen und zu überprüfen.

4. Risikoanalyse und Unterstützungsmaßnahmen

Das Innenministerium führt eine nationale Risikoanalyse alle vier Jahre durch, die Gefährdungen in den betroffenen Sektoren bewertet.
Zudem berät das Ministerium kritische Einrichtungen, stellt Muster und Leitfäden bereit und übermittelt Frühwarnungen. Diese Unterstützungsmaßnahmen sollen die Umsetzung der gesetzlichen Pflichten erleichtern.

5. Aufsicht und Sanktionen

Das Innenministerium kann:

• die Vorlage von Risikoanalysen, Resilienzplänen und Auditberichten verlangen,
• Vor-Ort-Kontrollen durchführen,
• bei Mängeln Maßnahmen vorschreiben.

Verstöße werden durch die Bezirksverwaltungsbehörden geahndet:

• Geldstrafen bis 50.000 Euro, bei Wiederholung bis 100.000 Euro für formale Verstöße (z. B. fehlende Meldungen, keine Kontaktstelle),
• Geldstrafen bis 500.000 Euro für schwerwiegende Pflichtverletzungen (z. B. unterlassene Risikoanalyse, keine Meldung von Sicherheitsvorfällen).

6. Übergangsregelungen und Inkrafttreten

Nach der Kundmachung am 16. Oktober 2025 treten die Bestimmungen nach vier Monaten, also am 1. März 2026, in Kraft.
Bis dahin sind alle organisatorischen und personellen Maßnahmen zur Umsetzung vorzubereiten.

Sources :

“Bundesgesetz, mit dem das Bundesgesetz zur Sicherstellung eines hohen Resilienzniveaus von kritischen Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG) erlassen und das Tilgungsgesetz 1972 geändert wird”, veröffentlicht im BGBl Teil I Nr 60/2025 am 16.10.2025.