RKEG: Neun Monate für die Risikoanalyse, zehn für die Resilienzmaßnahmen

Im ersten Beitrag dieser Reihe ging es um die Frage, wie und wann ein Feststellungsbescheid nach dem Resilienz kritischer Einrichtungen-Gesetz ergeht – und warum ein solcher Bescheid eine Einrichtung zugleich zur wesentlichen Einrichtung nach dem NISG 2026 macht. Damit ist die Einstufung geklärt. Der nächste Schritt betrifft die Verpflichtungen, die daraus folgen.

Der 5. Abschnitt des RKEG regelt diese Verpflichtungen. Er beginnt mit zwei Bestimmungen, die aufeinander aufbauen: der Risikoanalyse nach § 14 und den Resilienzmaßnahmen nach § 15. Dieser Beitrag ordnet beide ein und zeigt, wie sich der Zeitraum strukturieren lässt.

Drei Fristen nach dem Bescheid

Das Gesetz nennt für die ersten zehn Monate drei Termine.

Vier Wochen – Kontaktstelle. Nach § 11 Abs. 5 RKEG ist dem Bundesminister für Inneres innerhalb von vier Wochen nach bescheidmäßiger Einstufung eine zentrale Kontaktstelle sowie mindestens eine Ansprechperson zu benennen. Deren Erreichbarkeit ist jedenfalls für jenen Zeitraum sicherzustellen, in dem die kritische Einrichtung ihre wesentlichen Dienste erbringt; Änderungen sind unverzüglich, längstens binnen zwei Wochen bekanntzugeben.

Neun Monate – Risikoanalyse. § 14 Abs. 1 RKEG verpflichtet kritische Einrichtungen, erstmalig innerhalb von neun Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 eine Risikoanalyse durchzuführen und die Ergebnisse strukturiert aufzubereiten.

Zehn Monate – Resilienzmaßnahmen. § 15 Abs. 1 RKEG verlangt, nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen in Bezug auf den erbrachten wesentlichen Dienst zu treffen und diese in einem Resilienzplan (§ 3 Z 12 RKEG) darzulegen. Zum selben Zeitpunkt beginnt nach § 17 Abs. 1 RKEG die Meldepflicht für Sicherheitsvorfälle.

Zwischen dem Vorliegen der Risikoanalyse und dem Vorliegen der Maßnahmen liegt damit rechnerisch ein Monat.

Zum Fristbeginn – ob auf die Zustellung oder auf die Rechtskraft des Bescheides abzustellen ist – siehe die Ergänzung am Ende des Beitrags.

Was aus dem Ein-Monats-Abstand folgt

Diese Einschätzung ist keine Rechtsfolge, sondern eine Planungsableitung: Ein rein sequenzielles Vorgehen – erst die Analyse vollständig abschließen, dann Maßnahmen ableiten, dann umsetzen – lässt sich innerhalb eines Monats nicht darstellen. Die Maßnahmenentwicklung muss daher parallel zur Risikoanalyse laufen und auf deren Zwischenergebnissen aufsetzen.

Der Leitfaden Z 0 stützt diese Betrachtung. Er hält zur Stufenlogik der behördlichen Prüfung fest, dass Konzepte nicht bloß eine Vorstufe der Umsetzung sind, sondern deren Fundament, und dass sich die Geeignetheit einer Maßnahme nicht isoliert beurteilen lässt, sondern erst im Zusammenspiel mit den übrigen Elementen des Resilienzsystems. Wer die konzeptionelle Ebene erst nach Abschluss der Risikoanalyse beginnt, hat für dieses Zusammenspiel keine Zeit mehr.

Möglicher Ansatz: Die Risikoanalyse in Teilergebnissen freigeben und die zugehörige Maßnahmenplanung jeweils unmittelbar anschließen, statt beide Arbeitsschritte hintereinander zu legen.

§ 14: Die Risikoanalyse ist wiederkehrend

§ 14 Abs. 1 RKEG regelt nicht nur die Erstanalyse. Die Bestimmung verpflichtet darüber hinaus, die Risikoanalyse bei Änderungen der maßgeblichen Risikofaktoren anlassbezogen zu wiederholen – längstens jedoch alle vier Jahre. Die Risikoanalyse ist damit ein Prozess mit definiertem Wiederholungsintervall, kein einmaliges Projekt.

Inhaltlich stellt § 14 Abs. 1 zwei Anforderungen: Die Analyse hat insbesondere auf Grundlage der vom Bundesminister für Inneres gemäß § 10 RKEG durchgeführten Risikoanalyse zu erfolgen, und die Ergebnisse sind strukturiert aufzubereiten.

§ 14 Abs. 2 RKEG ergänzt eine Anforderung, die über die eigene Organisation hinausgeht: Die Risikoanalyse hat die wechselseitige Abhängigkeit zwischen dem von der jeweiligen kritischen Einrichtung erbrachten wesentlichen Dienst und wesentlichen Diensten, die von anderen Einrichtungen der im Anhang der RKE-RL gelisteten Sektoren erbracht werden, zu berücksichtigen. Die maßgeblichen Sektoren und Teilsektoren sind im Anhang der Richtlinie (EU) 2022/2557 aufgeführt.

Mögliche Herausforderung: Diese Abhängigkeiten sind organisationsintern häufig nicht an einer Stelle dokumentiert.

Möglicher Ansatz: Vor der eigentlichen Risikobewertung erfassen, welche Leistungen aus den im Anhang der RKE-RL gelisteten Sektoren für die Erbringung des eigenen wesentlichen Dienstes erforderlich sind. Diese Übersicht dient anschließend als Strukturvorlage für die Bewertung und ist bei den Aktualisierungen wiederverwendbar.

§ 15: Sechs Maßnahmenbereiche

§ 15 Abs. 2 RKEG gliedert die Maßnahmen in sechs Bereiche:

1. Verhinderung von Sicherheitsvorfällen, unter Berücksichtigung von Maßnahmen zur Katastrophenvorsorge und zum Umgang mit dem Klimawandel
2. Angemessener physischer Schutz der kritischen Infrastruktur und der Räumlichkeiten
3. Abwehr und Bewältigung von Sicherheitsvorfällen sowie Geringhaltung ihrer Auswirkungen, unter Berücksichtigung von Risiko- und Krisenmanagementmaßnahmen sowie Notfallplänen
4. Fortsetzung oder rasche Wiederaufnahme des wesentlichen Dienstes nach Sicherheitsvorfällen, unter Berücksichtigung alternativer Lieferketten
5. Angemessene personelle Sicherheitsvorkehrungen unter Berücksichtigung des Personals externer Dienstleister – einschließlich Anforderungen an Ausbildung und Qualifikation, Identifizierung kritischer Funktionen, Festlegung von Zugangsberechtigungen und Zuverlässigkeitsüberprüfungen nach § 16 RKEG
6. Sensibilisierung des Personals in kritischen Funktionen, insbesondere durch Schulungsmaßnahmen

Zu diesen sechs Bereichen liegen Leitfäden vor, die derzeit das Datum „Ausgabe: Juni 2026“ tragen. Sie bestehen aus sieben Teilen: einem allgemeinen Leitfaden Z 0 mit den übergreifenden Grundlagen sowie sechs Einzelleitfäden Z 1 bis Z 6, die unmittelbar auf § 15 Abs. 2 Z 1 bis Z 6 RKEG abzielen.

Zwei Punkte aus Z 0 sind für die Planung von Bedeutung.

Konformitätsvermutung. Wer eine Maßnahme entsprechend den Vorgaben der Leitfäden umsetzt, kann nach Z 0 davon ausgehen, dass diese den Anforderungen an eine geeignete und verhältnismäßige Resilienzmaßnahme entspricht. Abweichungen sind zulässig, aber darzulegen: Die kritische Einrichtung hat nachvollziehbar zu begründen und zu dokumentieren, dass die gewählte Alternative eine gleichwertige Resilienzwirkung erreicht. Je weiter eine Lösung von den Vorgaben entfernt ist, desto höher sind nach Z 0 die Anforderungen an die Nachvollziehbarkeit dieser Darlegung. Die in den Leitfäden enthaltenen Normenverweise beziehen sich auf den Stand 1. Juni 2026.

Bezugspunkt wesentlicher Dienst. Die abschließenden Vorgaben jedes der sechs Einzelleitfäden halten übereinstimmend fest, dass sämtliche Anforderungen auf den wesentlichen Dienst der kritischen Einrichtung bezogen sind: Die Resilienzmaßnahmen nach § 15 RKEG dienen nicht dem allgemeinen Schutz der Einrichtung als Unternehmen, sondern der Aufrechterhaltung der Fähigkeit, den wesentlichen Dienst zu erbringen. Für die Abgrenzung des Projektumfangs ist das der zentrale Satz.

Bestehende Nachweise anrechnen

Beide Bestimmungen enthalten eine Anrechnungsregel. § 14 Abs. 3 RKEG stellt fest, dass den Anforderungen an die Risikoanalyse insoweit entsprochen wird, als aufgrund anderer rechtlicher Verpflichtungen Risikoanalysen durchgeführt werden, die zumindest gleichwertig sind. § 15 Abs. 3 RKEG enthält eine entsprechende Regel für die Resilienzmaßnahmen.

Ergänzend nimmt § 18 Abs. 1 RKEG Einrichtungen von den Anforderungen des § 15 aus, soweit sie aufgrund sektorspezifischer unionsrechtlicher Bestimmungen zu gleichwertigen Maßnahmen verpflichtet sind und diese ein zumindest gleichwertiges Resilienzniveau gewährleisten. Über solche gleichwertigen Bestimmungen und das Ausmaß der Gleichwertigkeit informiert der Bundesminister für Inneres nach § 18 Abs. 1 letzter Satz RKEG auf der Homepage des Bundesministeriums für Inneres.

Für drei Sektoren gilt eine eigene Regelung: Nach § 18 Abs. 3 RKEG finden § 11 Abs. 5 bis 7 sowie die §§ 14, 15, 17 und 19 auf kritische Einrichtungen in den Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen keine Anwendung. Für diese Einrichtungen entfallen damit sowohl die Vier-Wochen-Frist als auch die Neun- und Zehn-Monats-Fristen. Die Einstufung als wesentliche Einrichtung nach dem NISG 2026 bleibt davon unberührt.

Möglicher Ansatz: Den Anforderungen des § 14 Abs. 1 und 2 sowie den sechs Bereichen des § 15 Abs. 2 die bestehenden Nachweise gegenüberstellen – mit Angabe der zugrunde liegenden Verpflichtung, des Dokuments und des Prüfstands. Was abgedeckt ist, ist damit belegt; was offen bleibt, ist der Umsetzungsbedarf.

Die behördliche Prüfung nach § 20

§ 20 Abs. 1 RKEG ermächtigt den Bundesminister für Inneres, innerhalb einer angemessenen Frist die Übermittlung der Risikoanalyse gemäß § 14 Abs. 1, des Resilienzplans gemäß § 15 Abs. 1 sowie sonstiger Nachweise zu verlangen. Lässt sich auf dieser Grundlage nicht beurteilen, ob die Anforderungen der §§ 14 und 15 erfüllt sind, kann er die Durchführung eines Audits verlangen. Zur Überprüfung der Einhaltung des § 15 ist er nach § 20 Abs. 3 RKEG zudem nach vorheriger Ankündigung zu Vor-Ort-Kontrollen berechtigt.

Der DSN-Informationsflyer hält dazu ausdrücklich fest, dass Risikoanalyse und Resilienzplan dem Bundesminister für Inneres erst auf dessen Aufforderung zu übermitteln sind, dass Vor-Ort-Kontrollen erst nach vorheriger Ankündigung erfolgen und dass Audits erst dann verlangt werden, wenn vorgelegte Nachweise unzureichend erscheinen. Es besteht somit keine anlasslose Vorlagepflicht – wohl aber die Pflicht, die Unterlagen fristgerecht vorlegen zu können.

Ergibt eine Überprüfung, dass die Anforderungen nicht oder nicht vollständig erfüllt werden, hat der Bundesminister für Inneres nach § 20 Abs. 5 RKEG mit Bescheid aufzutragen, innerhalb einer angemessenen Frist die erforderlichen und verhältnismäßigen Maßnahmen nachweislich zu ergreifen.

Die Sanktionslogik ist differenziert:

• Wer entgegen § 11 Abs. 5 RKEG Kontaktstelle oder Ansprechperson nicht benennt, begeht eine Verwaltungsübertretung nach § 23 Abs. 1 Z 1 RKEG.
• Wer entgegen § 14 Abs. 1 RKEG die Risikoanalyse nicht oder nicht fristgerecht erstellt, begeht eine Verwaltungsübertretung nach § 23 Abs. 1 Z 4 RKEG. Der Strafrahmen des § 23 Abs. 1 beträgt bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
• Für § 15 RKEG sieht § 23 keinen unmittelbaren Straftatbestand vor. Die Durchsetzung erfolgt über den Auftrag nach § 20 Abs. 5; wird einem solchen rechtskräftigen Bescheid nicht ordnungsgemäß und fristgerecht nachgekommen, greift § 23 Abs. 2 Z 1 RKEG mit einem Strafrahmen bis zu 500.000 Euro.

Für die Leitungsebene lässt sich das so zusammenfassen: Die Fristen des § 11 Abs. 5 und des § 14 Abs. 1 sind unmittelbar strafbewehrt. Die Anforderungen des § 15 werden über ein Aufsichtsverfahren durchgesetzt, dessen Nichtbefolgung den höheren Strafrahmen auslöst.

Ein Planungsraster für die ersten zehn Monate

Aus den drei Fristen ergibt sich ein Raster, das unabhängig vom Zustellungsdatum anwendbar ist. Es rechnet ab Zustellung. Die Zuordnung der Arbeitsschritte innerhalb der Fristen ist ein Vorschlag, keine gesetzliche Vorgabe:

Zeitraum	Schwerpunkt
Wochen 1–4	Zentrale Kontaktstelle und Ansprechperson benennen (Frist § 11 Abs. 5); Erreichbarkeit für die Betriebszeiten des wesentlichen Dienstes sicherstellen
Monate 1–2	Wesentlichen Dienst abgrenzen; Abhängigkeiten zu den im Anhang der RKE-RL gelisteten Sektoren erfassen; bestehende Nachweise zuordnen; Rollen festlegen
Monate 2–7	Risikoanalyse durchführen; Maßnahmenkonzepte parallel auf Basis der Teilergebnisse entwickeln; Zuverlässigkeitsüberprüfungen nach § 16 vorbereiten
Monate 7–9	Risikoanalyse abschließen und strukturiert aufbereiten (Frist § 14 Abs. 1: Monat 9)
Monat 10	Maßnahmen getroffen, Resilienzplan liegt vor (Frist § 15 Abs. 1); zugleich Beginn der Meldepflicht nach § 17 Abs. 1

Fazit

Die Verpflichtungen des 5. Abschnitts sind klar strukturiert und in ihrem Umfang planbar. Der Fristenlauf ist eng, aber einhaltbar – vorausgesetzt, Analyse und Maßnahmenkonzepte werden parallel geführt und bestehende Nachweise systematisch angerechnet.

Drei Punkte lassen sich früh klären und entlasten den weiteren Verlauf: die Abgrenzung des wesentlichen Dienstes, die Erfassung der Abhängigkeiten gegenüber den im Anhang der RKE-RL gelisteten Sektoren und die Zuordnung dessen, was aufgrund anderer Verpflichtungen bereits vorliegt.

Ergänzung: Fristbeginn – Zustellung oder Rechtskraft

Das Gesetz stellt in § 11 Abs. 5, § 14 Abs. 1, § 15 Abs. 1 und § 17 Abs. 1 RKEG auf die „bescheidmäßige Einstufung gemäß § 11 Abs. 1“ ab. Der DSN-Informationsflyer formuliert für dieselben Fristen „nach Rechtskraft des Bescheides“.

Der verfahrensrechtliche Rahmen dazu: Gegen Bescheide des Bundesministers für Inneres kann nach § 6 Abs. 1 RKEG Beschwerde an das Bundesverwaltungsgericht erhoben werden. Die Beschwerdefrist beträgt nach § 7 Abs. 4 VwGVG vier Wochen und beginnt nach § 7 Abs. 4 Z 1 VwGVG mit dem Tag der Zustellung. Einer rechtzeitig eingebrachten und zulässigen Beschwerde kommt nach § 13 Abs. 1 VwGVG aufschiebende Wirkung zu, sofern die Behörde diese nicht nach § 13 Abs. 2 VwGVG ausschließt. Das RKEG enthält dazu keine abweichende Regelung.

Der Begriff der Rechtskraft findet sich im RKEG an anderer Stelle ausdrücklich, etwa in § 7 Abs. 5, § 21 Abs. 1, § 23 Abs. 2 Z 1 und § 24.

Für die Planung ergibt sich daraus ein pragmatischer Weg: ab Zustellung rechnen. Diese Berechnung passt zu beiden Lesarten.

Weiterführende Quellen

• RKEG (BGBl. I Nr. 60/2025): https://www.ris.bka.gv.at/eli/bgbl/I/2025/60
• RKEV (BGBl. II Nr. 91/2026): https://www.ris.bka.gv.at/eli/bgbl/II/2026/91
• CER-Richtlinie (EU) 2022/2557: https://eur-lex.europa.eu/eli/dir/2022/2557
• VwGVG (Verwaltungsgerichtsverfahrensgesetz): https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20008255
• NISG 2026 (BGBl. I Nr. 94/2025): https://www.ris.bka.gv.at/eli/bgbl/I/2025/94
• RKEG – Informationsflyer für kritische Einrichtungen, Direktion Staatsschutz und Nachrichtendienst (DSN): https://www.dsn.gv.at/501/files/schutz_kritischer_infrastruktur/098_2026-rkeg-folder-dsn-v20260413_bf.pdf
• Leitfäden kritische Einrichtungen zu § 15 Abs. 2 Z 1 bis Z 6 RKEG (derzeit mit dem Datum „Ausgabe: Juni 2026“)

Ausblick: Folgeartikel

Der nächste Beitrag behandelt die beiden verbleibenden Verpflichtungen des 5. Abschnitts: die Zuverlässigkeitsüberprüfungen nach § 16 und die Meldepflicht nach § 17 – einschließlich der Frage, welche Vorlaufzeiten einzuplanen sind und welche Verordnungen noch ausstehen.

Unterstützung

Sie haben einen Feststellungsbescheid nach dem RKEG erhalten oder rechnen damit? Wir unterstützen bei der Risikoanalyse nach § 14, beim Aufbau des Resilienzplans nach § 15 sowie bei der Abstimmung mit den parallel bestehenden Anforderungen des NISG 2026.

WAS-TUN-WENN – Das Notfallhandbuch für Unternehmen: das individuell entwickelte Notfallhandbuch, das Ihren Betrieb bei Stromausfall, Hackerangriff oder Brand handlungsfähig hält – …damit was geht, wenn nichts mehr geht! Mehr unter www.was-tun-wenn.at und hoeckner.com/was-tun-wenn

• RKEG: Wie und wann bekomme ich einen Bescheid? – Und was das für NISG 2026 bedeutet: https://www.linkedin.com/pulse/rkeg-wie-und-wann-bekomme-ich-einen-bescheid-das-f%C3%BCr-nisg-h%C3%B6ckner-zuxuf
• NISG 2026: Bin ich betroffen? – Die Pflicht zur Selbstprüfung: https://www.linkedin.com/pulse/nisg-2026-bin-ich-betroffen-die-pflicht-zur-josef-h%C3%B6ckner-qpe5e
• NISG 2026: So erfüllen Unternehmen die neuen Cybersicherheits-Anforderungen: https://www.linkedin.com/pulse/nisg-2026-so-erf%C3%BCllen-unternehmen-die-neuen-josef-h%C3%B6ckner-pmevf
• Kostenloses Erstgespräch buchen: https://calendly.com/jhoeckner/Erstgespraech

Über den Autor

Ing. Josef Höckner, MBA, ist NIS-2/RCE/CRA-Experte, zertifizierter ISMS-Manager und -Auditor nach ISO 27001 und Partner im Team von WAS-TUN-WENN. Er begleitet Unternehmen bei Cybersecurity-Governance, Business Continuity und digitaler Transformation. Davor rund 30 Jahre Verantwortung in IT-Beratung, Outsourcing, Service Management und Krisenmanagement – zuletzt bei Fujitsu Central Europe als Digital Transformation Lead und CTO Österreich, davor als Manager Service & Consulting bei Bull.

Kontakt & digitale Visitenkarte: was-tun-wenn.at/visitenkarte-jh

Disclaimer: Wir legen sehr großen Wert auf die Richtigkeit und Vollständigkeit der dargestellten Inhalte. Dieser Artikel dient dennoch ausschließlich der allgemeinen Information und Orientierung. Er stellt keine Rechtsberatung dar und ersetzt keine individuelle rechtliche oder fachliche Beratung im Einzelfall.

#RKEG #CER #KritischeInfrastruktur #Resilienz #Risikoanalyse #Resilienzplan #NISG2026 #NIS2 #Compliance #Österreich #Risikomanagement #Geschäftsführung