Wir haben mehrere Unternehmen begleitet, bei denen das Bundesministerium für Inneres (BMI) die Datenerhebung zur Ermittlung kritischer Einrichtungen durchgeführt hat – sowohl mittels Erhebungsbögen als auch durch Vor-Ort-Erhebungen. Für viele Betriebe war das der erste greifbare Kontakt mit der neuen Resilienz-Regulierung – und der Moment, in dem klar wurde: Hier kommt nicht nur eine physische Schutzpflicht ins Haus, sondern gleichzeitig eine Einstufung, die im Cybersicherheitsrecht ganz oben andockt.
Dieser Artikel erklärt, was das RKEG ist, wie und wann ein Bescheid ergeht – und warum ein solcher Bescheid ein Unternehmen automatisch zur wesentlichen Einrichtung nach dem NISG 2026 macht.
Was ist das RKEG?
Das Resilienz kritischer Einrichtungen-Gesetz (RKEG), BGBl. I Nr. 60/2025, wurde am 16. Oktober 2025 kundgemacht und ist im Wesentlichen seit 1. März 2026 in Kraft. Es setzt die CER-Richtlinie (EU) 2022/2557 (Richtlinie über die Resilienz kritischer Einrichtungen, RKE-RL) in österreichisches Recht um.
Anders als das NISG 2026, das die Cybersicherheit adressiert, steht beim RKEG die physische und organisatorische Resilienz im Mittelpunkt: Ausfallsicherheit, Krisenmanagement und die Fähigkeit, wesentliche Dienste auch in Ausnahmesituationen aufrechtzuerhalten. Beide Gesetze verfolgen gemeinsam einen All-Gefahren-Ansatz – Cybersicherheit und physischer Schutz werden nicht mehr getrennt betrachtet. Das RKEG ist damit der Schwester-Rechtsakt zur NIS-2-Umsetzung.
Wichtig für die Zuständigkeit: Behörde nach dem RKEG ist der Bundesminister für Inneres – nicht die Cybersicherheitsbehörde (das im Aufbau befindliche Bundesamt für Cybersicherheit). Das führt in der Praxis oft zu Verwirrung, weil beide Regime dieselben Sektoren betreffen.
Wie und wann bekomme ich einen Bescheid?
Die Einstufung als kritische Einrichtung erfolgt bescheidmäßig durch das BMI (§ 11 RKEG). Grundlage sind die nationale Strategie (§ 9) und die Risikoanalyse des BMI (§ 10). Eine Einrichtung wird als kritisch eingestuft, wenn sie kumulativ (§ 11 Abs. 1 RKEG):
- im Inland tätig ist,
- ihre kritische Infrastruktur im Inland liegt,
- einen wesentlichen Dienst erbringt und
- bei dessen Erbringung ein Sicherheitsvorfall eintreten kann.
Die konkreten Schwellenwerte zur vierten Voraussetzung legt die RKEV fest – die Resilienz kritischer Einrichtungen-Verordnung, BGBl. II Nr. 91/2026, kundgemacht am 14. April 2026 und in Kraft seit 15. April 2026. Sie definiert sektorspezifisch, ab wann von einem relevanten Sicherheitsvorfall auszugehen ist.
Die Datenerhebung der Behörde hat eine gesetzliche Grundlage: Einrichtungen haben an der Feststellung des maßgeblichen Sachverhalts mitzuwirken (§ 11 Abs. 1 letzter Satz RKEG). Dies erfolgt über Erhebungsbögen ebenso wie über Vor-Ort-Erhebungen.
Zum Zeitpunkt sind zwei Daten relevant: Die Mitgliedstaaten hatten ihre kritischen Einrichtungen bis 17. Juli 2026 zu ermitteln (Art. 6 Abs. 1 RKE-RL). Laut WKO werden betroffene Unternehmen und Einrichtungen grundsätzlich spätestens bis 17. August 2026 per Bescheid darüber informiert, ob sie als kritische Einrichtung eingestuft werden. Einzelne Quellen, die sich auf Informationen des BMI berufen, weisen darauf hin, dass das BMI das Verfahren zur Identifikation angepasst hat und sich die bescheidmäßige Einstufung dadurch bis in den Herbst 2026 erstrecken kann.
Ein oft übersehener Automatismus: Das BMI muss die Identität der ermittelten kritischen Einrichtungen – einschließlich Sektor und Teilsektor – innerhalb eines Monats nach der bescheidmäßigen Einstufung an die nach Art. 8 Abs. 1 NIS-2-RL zuständige Behörde, also die Cybersicherheitsbehörde, melden (§ 11 Abs. 10 RKEG). Der RKEG-Bescheid bleibt damit nicht im Innenministerium – er wird der Cyber-Aufsicht bekannt gegeben.
Da die Schwellenwerte der RKEV in den meisten Fällen transparent sind, ist mit keinen Überraschungen zu rechnen: Unternehmen können in aller Regel bereits vorab abschätzen, ob sie als kritische Einrichtung in Betracht kommen. Die Pflicht zur Selbstregistrierung nach dem NISG 2026 bleibt davon unberührt und ist unabhängig vom RKEG-Verfahren fristgerecht zu erfüllen.
Der zentrale Punkt: RKEG-Bescheid = automatisch wesentliche Einrichtung nach NISG 2026
Hier verbinden sich die beiden Regime. Eine als kritisch ermittelte Einrichtung gilt – größenunabhängig – als wesentliche Einrichtung gemäß § 24 Abs. 1 Z 1 lit. f NISG 2026 (BGBl. I Nr. 94/2025). Diese Bestimmung setzt Art. 3 Abs. 1 lit. f NIS-2-Richtlinie um: „Einrichtungen, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden.“
Der Unterschied zum RKEG ist dabei zentral: Während die Einstufung als kritische Einrichtung nach dem RKEG durch einen Bescheid des BMI erfolgt, kennt das NISG 2026 im Regelfall keinen solchen Bescheid. Hier liegt die Prüfpflicht beim Unternehmen selbst – jeder Rechtsträger muss durch Selbstprüfung feststellen, ob und wie er betroffen ist.
Ein RKEG-Bescheid ist in dieser Selbstprüfung zwingend zu berücksichtigen: Er ändert die Einstufung automatisch auf „wesentlich“ – unabhängig von Mitarbeiterzahl, Umsatz oder Bilanzsumme. Damit greifen sämtliche NISG-2026-Pflichten – Registrierung, Risikomanagementmaßnahmen (§ 32) und Berichtspflichten (§ 34) – auf der höchsten Stufe.
Feinheit am Rande: Für kritische Einrichtungen in den Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen finden bestimmte RKEG-Resilienzpflichten keine Anwendung (§ 11 Abs. 4 RKEG), weil hier NIS-2 bzw. DORA greifen. Die NISG-Einstufung als wesentliche Einrichtung bleibt davon aber unberührt.
Warum ein RKEG-Bescheid die Prüfwahrscheinlichkeit erhöht
Das NISG 2026 unterscheidet die Aufsicht klar nach Kategorie. Gegenüber wesentlichen Einrichtungen können die Aufsichtsmaßnahmen der Cybersicherheitsbehörde jederzeit und von Anlassfällen unabhängig ergriffen werden – eine Ex-ante-Aufsicht (§ 38 NISG 2026). Wichtige Einrichtungen unterliegen demgegenüber nur einer anlassbezogenen Ex-post-Aufsicht, die erst greift, wenn der Behörde Nachweise oder Hinweise auf einen möglichen Verstoß vorliegen.
Die Einstufung als wesentliche Einrichtung verschiebt ein Unternehmen damit in das aktive Aufsichtsregime. Hinzu kommt der risikobasierte Ansatz, auf den das NISG 2026 ausgelegt ist (§ 32 Abs. 1): Die Behörde priorisiert ihre begrenzten Prüfressourcen nach Risiko. Wer per RKEG-Bescheid als kritisch eingestuft und der Cybersicherheitsbehörde namentlich bekannt ist (§ 11 Abs. 10 RKEG), zählt zu den besonders schützenswerten Einrichtungen – was die Wahrscheinlichkeit einer Prüfung erhöht.
Die Konsequenz ist eindeutig: Wer einen RKEG-Bescheid erwartet oder erhalten hat, sollte die NISG-Umsetzung nicht auf die letzte Übergangsfrist verschieben.
Fazit
RKEG und NISG 2026 sind zwei Türen in denselben Raum. Ein Feststellungsbescheid nach dem RKEG ist nicht nur eine physische Resilienzpflicht – er ist zugleich der Schlüssel in die höchste Kategorie der Cybersicherheitsregulierung. Wer mit einer Erhebung des BMI befasst war, kennt die einschlägigen Schwellenwerte – oder kann sie selbst nachlesen. Auf dieser Basis lassen sich beide Regime zusammen denken und rasch in die Umsetzung bringen.
Weiterführende Quellen
- RKEG (BGBl. I Nr. 60/2025): https://www.ris.bka.gv.at/eli/bgbl/I/2025/60
- RKEV (BGBl. II Nr. 91/2026): https://www.ris.bka.gv.at/eli/bgbl/II/2026/91
- CER-Richtlinie (EU) 2022/2557: https://eur-lex.europa.eu/eli/dir/2022/2557
- NISG 2026 (BGBl. I Nr. 94/2025): https://www.ris.bka.gv.at/eli/bgbl/I/2025/94
Ausblick: Folgeartikel
In den nächsten Wochen folgt ein eigener Artikel zu den konkreten RKEG-Verpflichtungen kritischer Einrichtungen und deren Umsetzung – Risikoanalyse (§ 14), Resilienzmaßnahmen (§ 15), Zuverlässigkeitsüberprüfungen (§ 16) und Meldepflicht (§ 17).
Unterstützung
Sie kennen die Erhebung durch das BMI und rechnen mit einem RKEG-Bescheid? Wir unterstützen bei der NIS-2/NISG-2026-Pflicht zur Selbstprüfung sowie bei der Umsetzung von NISG 2026 und RKEG.
- WAS-TUN-WENN – Das Notfallhandbuch für Unternehmen: das individuell entwickelte Notfallhandbuch, das Ihren Betrieb bei Stromausfall, Hackerangriff oder Brand handlungsfähig hält – …damit was geht, wenn nichts mehr geht! Mehr unter www.was-tun-wenn.at und hoeckner.com/was-tun-wenn
- NISG 2026: Bin ich betroffen? – Die Pflicht zur Selbstprüfung: https://www.linkedin.com/pulse/nisg-2026-bin-ich-betroffen-die-pflicht-zur-josef-h%2525C3%2525B6ckner-qpe5e/
- NISG 2026: So erfüllen Unternehmen die neuen Cybersicherheits-Anforderungen: https://www.linkedin.com/pulse/nisg-2026-so-erf%2525C3%2525BCllen-unternehmen-die-neuen-josef-h%2525C3%2525B6ckner-pmevf/
- Kostenloses Erstgespräch buchen: https://calendly.com/jhoeckner/Erstgespraech
Über den Autor
Ing. Josef Höckner, MBA, ist NIS-2/RCE/CRA-Experte, zertifizierter ISMS-Manager und -Auditor nach ISO 27001 und Partner im Team von WAS-TUN-WENN. Er begleitet Unternehmen bei Cybersecurity-Governance, Business Continuity und digitaler Transformation. Davor rund 30 Jahre Verantwortung in IT-Beratung, Outsourcing, Service Management und Krisenmanagement – zuletzt bei Fujitsu Central Europe als Digital Transformation Lead und CTO Österreich, davor als Manager Service & Consulting bei Bull.
Kontakt & digitale Visitenkarte: was-tun-wenn.at/visitenkarte-jh
Disclaimer: Wir legen sehr großen Wert auf die Richtigkeit und Vollständigkeit der dargestellten Inhalte. Dieser Artikel dient dennoch ausschließlich der allgemeinen Information und Orientierung. Er stellt keine Rechtsberatung dar und ersetzt keine individuelle rechtliche oder fachliche Beratung im Einzelfall.
#NIS2 #NISG2026 #RKEG #CER #KritischeInfrastruktur #Cybersicherheit #Resilienz #Compliance #Österreich #Risikomanagement #Geschäftsführung
Thomas Laszlo ist DER Experte für Notfallpläne. Schon seit Beginn seiner Karriere beschäftigt er sich mit dem Thema. Egal ob in der Hotellerie, als auch in der IT, wo er als IT-Leiter immer gleichzeitig Krisenmanager war. Seit 2019 begleitet er Unternehmen bei der Erstellung eigener Notfallpläne. Er ist Vortragender zum Thema Business Continuity bei diversen Wirtschaftsverbänden und IT-Kongressen.