Das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), kurz BCS, ist die im Aufbau befindliche Aufsichtsbehörde der Republik Österreich für die NIS-2-Richtlinie bzw. das österreichische Netz- und Informationssystemsicherheitsgesetz (NISG 2026). Abs. 1 NISG 2026 Es ist eine dem Bundesministerium für Inneres unmittelbar nachgeordnete organisatorisch außerhalb der Generaldirektion für die öffentliche Sicherheit eingerichtete Behörde mit bundesweiter Zuständigkeit. Abs. 2 NISG 2026
Mit dem Inkrafttreten des NISG 2026 nahm das neue Bundesamt für Cybersicherheit am 1. Oktober 2026 offiziell seine Arbeit auf.
Organisation An der Spitze der Cybersicherheitsbehörde steht der Direktor. Abs. 1 NISG 2026 Sie hat ihren Sitz in Wien. Abs. 3 NISG 2026
Aufgaben Das BCS soll dazu beitragen, ein hohes Cybersicherheitsniveau in Österreich sicherzustellen. Im Fokus stehen sowohl die öffentliche Verwaltung als auch Unternehmen und Einrichtungen, die für das Funktionieren von Staat und Gesellschaft von besonderer Bedeutung sind. Das NISG 2026 erfasst sogenannte wesentliche und wichtige Einrichtungen – unter anderem in den Bereichen Energie, Verkehr, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, Industrie und Lebensmittelversorgung.
Für diese Einrichtungen gelten künftig verbindliche Cybersicherheitsanforderungen. Dazu zählen geeignete Maßnahmen zum Risikomanagement, die Meldung erheblicher Sicherheitsvorfälle sowie entsprechende Nachweise und Prüfungen. Das BCS fungiert dabei als zentrale Anlaufstelle und Aufsichtsbehörde.
Zu den Aufgaben des BCS zählen unter anderem die Umsetzung und Weiterentwicklung der nationalen Cybersicherheitsstrategie, die Erstellung von Lagebildern, die Koordination bei großen Cybersicherheitsvorfällen sowie die Zusammenarbeit mit nationalen und internationalen Partnern. Das Bundesamt übernimmt außerdem Aufsichts- und Durchsetzungsaufgaben nach dem NISG 2026 und kann bei festgestellten Mängeln Maßnahmen zur Herstellung eines gesetzeskonformen Zustands verlangen.
Das Bundesamt für Cybersicherheit verfügt nicht über polizeiliche Befehls- und Zwangsgewalt und übernimmt keine Aufgaben von Polizei oder Justiz. Seine Schwerpunkte liegen in Unterstützung, Koordination, Aufsicht, Prävention und dem Management von Cybersicherheitsvorfällen.
Ein zentraler Bestandteil des neuen Systems ist ein strukturiertes Meldewesen. Bei erheblichen Cybervorfällen gelten für betroffene Einrichtungen gestufte Meldefristen: Eine erste Frühwarnung ist unverzüglich, jedenfalls innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls, vorgesehen. Eine ausführlichere Meldung hat unverzüglich, spätestens innerhalb von 72 Stunden, zu erfolgen. Je nach Situation können weitere Informationen und ein Abschlussbericht folgen.
So sollen Informationen über Cybervorfälle möglichst rasch zusammengeführt und analysiert werden. Das schafft eine bessere Grundlage für die Lagebeurteilung, die Koordination der beteiligten Stellen und eine schnelle Reaktion auf Bedrohungen.
Eine taxative Aufzählung der Aufgaben ist im §4 NISG 2026 enthalten: Koordination der Erstellung der Österreichischen Strategie für Cybersicherheit (ÖSCS) Leitung der Koordinierungsstrukturen (CSS, IKDOK und OpKoord) Regelmäßige Erstellung und Weiterleitung von Lagebildern und zusätzlich relevanter Informationen Erstellung, Analyse und Weitergabe von zur Gewährleistung der Sicherheit von Netz- und Informationssystemen relevanten Informationen zur Vorbeugung von Cybersicherheitsvorfällen Ausübung der Funktion der nationalen Behörde für das Management von Cybersicherheitsvorfällen großen Ausmaßes Ausübung der Funktion des Nationalen Koordinierungszentrums für Cybersicherheit Vertretung Österreichs in EU-weiten und internationalen Gremien betreffend die Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen, insbesondere in der Kooperationsgruppe, dem EU-CyCLONe sowie dem Europäischen Kompetenznetz und Zentrum für Cybersicherheit (ECCC) Konsultation und Zusammenarbeit mit den zuständigen Behörden anderer Mitgliedstaaten der Europäischen Union Betrieb der zentralen Anlaufstelle Betrieb des GovCERTs Ermächtigung von CSIRTs Zulassung unabhängiger Prüfer Ausübung der Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen Entgegennahme, Analyse und Weiterleitung von Meldungen Betrieb von IKT-Lösungen
Befugnisse NISG 2026 regelt die Aufsichtsmaßnahmen der Cybersicherheitsbehörde in Bezug auf wesentliche und wichtige Einrichtungen.
NISG 2026 regelt die Durchsetzungsmaßnahmen der Cybersicherheitsbehörde in Bezug auf wesentliche und wichtige Einrichtungen.
Die Cybersicherheitsbehörde ist nicht befugt, Verwaltungsstrafen zu verhänden; diese Befugnis kommt den Bezirksverwaltungsbehörden zu. NISG 2026
Rechtsschutz Gegen Bescheide der Cybersicherheitsbehörde und wegen Verletzung ihrer Entscheidungspflicht kann Beschwerde beim Bundesverwaltungsgericht (BVwG) erhoben werden. NISG 2026
Entscheidungen des Bundesverwaltungsgerichts können gemäß B-VG mit Revision beim Verwaltungsgerichtshof oder gemäß B-VG mit Beschwerde an den Verfassungsgerichtshof bekämpft werden.
Kritik epicenter.works kritisiert, dass die Cybersicherheitsbehörde dem Bundesminister für Inneres weisungsgebunden und daher nicht unabhängig ist.
Einzelnachweise
Kategorie:Behörde (Österreich) Kategorie:Bundesministerium für Inneres Kategorie:Organisation (Wien) Kategorie:Organisation (IT-Sicherheit)