NIS2-Checkliste für Leitstelle und Kontrollraum: Was das NISG 2026 verlangt

Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) überwiegend in Kraft und setzt die europäische NIS-2-Richtlinie in Österreich um. Betroffen ist dabei nicht der Kontrollraum als solcher, sondern die dahinterstehende Organisation, sofern sie als wesentliche oder wichtige Einrichtung unter das Gesetz fällt. Ist das der Fall, erstrecken sich die Risikomanagementpflichten auf jene Netz- und Informationssysteme, die für den Betrieb oder die Erbringung der erfassten Dienste genutzt werden — je nach Funktion und Architektur also auch auf Leitsystem, Fernwirktechnik, KVM-Infrastruktur, Videowall-Controller und Bedienplätze. Dieser Beitrag übersetzt die gesetzlichen Anforderungen in einen technischen Schnellcheck für Ihre Leitstelle.

Das Gesetz wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025). Mit seinem überwiegenden Inkrafttreten löst es das bisherige NISG, BGBl. I Nr. 111/2018, samt Netz- und Informationssystemsicherheitsverordnung ab. Für Betreiber heißt das: Der Zeitraum, in dem Nachrüstungen geplant, budgetiert und umgesetzt werden können, läuft bereits.

Der Fristenkalender: Was wann fällig ist

Termin	Verpflichtung
1. Oktober 2026	Überwiegendes Inkrafttreten. Risikomanagement- und Meldepflichten gelten ab diesem Zeitpunkt; ebenso die allgemeinen Aufsichtsbefugnisse der Cybersicherheitsbehörde.
bis 31. Dezember 2026	Erstmalige Registrierung bei der Cybersicherheitsbehörde, innerhalb von drei Monaten ab Inkrafttreten.
bis 30. September 2027	Erstmalige Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen.
frühestens zwei Jahre nach Inkrafttreten	Erstmalige Aufforderung zum besonderen Nachweisverfahren nach § 33 Abs. 2. Frühere Kontrollen nach § 38 bleiben davon unberührt.

Wichtig: Der spätere Beginn des besonderen Nachweisverfahrens bedeutet keine zweijährige prüfungsfreie Übergangszeit. Bei wesentlichen Einrichtungen kann die Cybersicherheitsbehörde bereits ab Inkrafttreten unter anderem Kontrollen, Sicherheitsscans, Informationsanforderungen und Ad-hoc-Prüfungen durchführen. Bei wichtigen Einrichtungen kann sie bei Nachweisen — etwa aus der Selbstdeklaration — oder sonstigen begründeten Hinweisen auf eine mutmaßliche Pflichtverletzung die Aufsichtsmaßnahmen nach § 38 Abs. 1 Z 1 bis 4 setzen: Kontrollen, Sicherheitsscans sowie Anforderung der erforderlichen Informationen und Unterlagen. Die Ad-hoc-Prüfung nach Z 5 ist in dieser Verweisung nicht enthalten.

Meldefristen im Ernstfall

Bei einem erheblichen Cybersicherheitsvorfall gelten gestufte Meldepflichten: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, ist eine Frühwarnung zu übermitteln. Unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme, folgt die Meldung mit einer ersten Bewertung. Der Abschlussbericht ist spätestens einen Monat nach Übermittlung dieser 72-Stunden-Meldung abzugeben. Dauert die Behandlung zu diesem Zeitpunkt noch an, ist zunächst ein Fortschrittsbericht zu übermitteln und der Abschlussbericht spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Diese Fristen laufen unabhängig von Schichtplänen. Wer sie einhalten will, braucht definierte Eskalationskriterien, benannte Verantwortliche samt Vertretung und eine Protokollierung, aus der sich der Zeitpunkt der Kenntnisnahme und der Hergang eines Vorfalls belastbar rekonstruieren lassen.

Sind Sie betroffen? Einrichtungsart und Unternehmensgröße

Ob ein Betreiber unter das NISG 2026 fällt, lässt sich nicht allein daraus ableiten, dass er eine Leitstelle betreibt. Erforderlich ist eine Prüfung der konkreten Einrichtungsart nach Anlage 1 oder 2, der Unternehmensgröße, der territorialen Anknüpfung sowie möglicher Sonderregelungen und Ausnahmen. Einrichtungen mit überwiegenden Aufgaben in der öffentlichen Sicherheit oder Strafverfolgung können beispielsweise ausgenommen sein.

Betreiber aus Energie, Verkehr, Trinkwasser, Abwasser, Gesundheitswesen und digitaler Infrastruktur gehören häufig zu den relevanten Zielgruppen — also typischerweise jene, die eine Schaltwarte für Energie- und Wasserwirtschaft, eine Verkehrsleitzentrale oder eine Notruf- und Einsatzleitstelle betreiben. Auch in diesen Sektoren muss die Einstufung jedoch im Einzelfall erfolgen. Für bestimmte Einrichtungen gelten größenunabhängige Regelungen oder eine Einstufung durch die Cybersicherheitsbehörde.

Für die Größe gilt nach § 25 NISG 2026: Als mittleres Unternehmen gilt eine Einrichtung, wenn sie zumindest 50 Mitarbeiter beschäftigt oder wenn sie einen Jahresumsatz von über 10 Millionen Euro erzielt und die Jahresbilanzsumme über 10 Millionen Euro liegt. Als großes Unternehmen gilt sie bei zumindest 250 Mitarbeitern oder wenn Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro zusammentreffen. Die Umsatzschwelle allein genügt also nicht — die Bilanzsumme muss hinzukommen.

Abhängig von Sektor und Einrichtungsart führt die Einstufung als mittleres oder großes Unternehmen zur Einordnung als wichtige oder wesentliche Einrichtung. Bei Partner- und verbundenen Unternehmen ist § 25 Abs. 4 zu beachten: Deren Werte bleiben unberücksichtigt, wenn die Einrichtung hinsichtlich der genutzten Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist.

Der Rahmen ist scharf: Für bestimmte Verstöße wesentlicher Einrichtungen sieht das Gesetz Geldstrafen bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweiten, im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, vor — je nachdem, welcher Betrag höher ist. Bei wichtigen Einrichtungen sind es 7 Millionen Euro oder 1,4 Prozent dieses Umsatzes, ebenfalls je nachdem, welcher Betrag höher ist. Verspätete Registrierung, verspätete Selbstdeklaration oder wissentlich falsche Angaben werden gesondert mit bis zu 50.000 Euro geahndet, im Wiederholungsfall bis 100.000 Euro.

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen und an speziell für Leitungsorgane gestalteten Cybersicherheitsschulungen teilnehmen. Cybersicherheit wird damit ausdrücklich zur Führungs- und Aufsichtsaufgabe.

§ 32 NISG 2026: Was die Risikomanagementpflichten verlangen

Der zentrale Ausgangspunkt ist § 32 NISG 2026. Er verlangt geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht, die auf einem gefahrenübergreifenden Ansatz beruhen. Ausdrücklich aufgezählt sind unter anderem: Risikoanalyse und Sicherheit für Informationssysteme, Bewältigung von Cybersicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup und Wiederherstellung, Sicherheit der Lieferkette, Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor- oder kontinuierliche Authentifizierung.

Für Einrichtungen außerhalb des unmittelbaren Anwendungsbereichs der Durchführungsverordnung (EU) 2024/2690 ist Netzsegmentierung keine in § 32 ausdrücklich benannte Einzelmaßnahme. Sie kann sich jedoch aus Risikoanalyse, Verhältnismäßigkeit und Stand der Technik als erforderliche Schutzmaßnahme ergeben — und tut das in Kontrollraumumgebungen regelmäßig. Für die von der Durchführungsverordnung erfassten Einrichtungen ist sie dagegen ausdrücklich konkretisiert. Darüber hinaus kann die Cybersicherheitsbehörde nach § 32 Abs. 5 nähere Anforderungen an die Risikomanagementmaßnahmen durch Verordnung festlegen und dabei auch anordnen, dass unionsrechtliche Durchführungsrechtsakte auf weitere Sektoren oder Einrichtungsarten anwendbar sind.

In der Praxis stellt sich dabei ein Konflikt, den jeder Betreiber kennt: Ein Operator muss gleichzeitig auf Systeme mehrerer Sicherheitszonen zugreifen — Leitsystem, Bürokommunikation, Videomanagement, gelegentlich ein Fernwartungszugang. Ein Bedienrechner, der mit mehreren Zonen zugleich verbunden ist, kann Trennungsmechanismen umgehen und zusätzliche Ausbreitungswege schaffen. Eine solche Architektur muss deshalb besonders kritisch bewertet und nachvollziehbar begründet werden. Wie sich Bedienbarkeit und Trennung vereinbaren lassen, behandeln wir unter Sicherheit im Kontrollraum: IT/OT-Konvergenz und resiliente Leitstellen.

Technischer Schnellcheck für Ihre Leitstelle

Die folgenden zwölf Punkte sind ein technischer Schnellcheck für die Kontrollraumarchitektur. Sie ersetzen keine vollständige NISG-Compliance-Prüfung: Diese muss zusätzlich unter anderem Governance, Risikoanalyse, Incident Management, Betriebskontinuität, Lieferkettensicherheit, sichere Beschaffung und Wartung, Schwachstellenmanagement, Wirksamkeitsprüfung, Cyberhygiene, Kryptografie, Personalsicherheit und Asset Management abdecken. Jeder Punkt, der offen bleibt, ist ein Kandidat für den Maßnahmenplan.

Architektur und Zonentrennung

1. Zonenmodell dokumentiert: Existiert ein aktueller Plan, welche Systeme in welcher Sicherheitszone liegen und über welche Übergänge sie kommunizieren?
2. Trennung technisch durchgesetzt: Ist die Trennung zwischen Leittechnik und Büro-IT technisch abgesichert — und nicht bloß organisatorisch vereinbart?
3. Arbeitsplatz ohne Zonenbruch: Kann der Operator alle nötigen Systeme bedienen, ohne dass ein Rechner mit mehreren Zonen gleichzeitig verbunden ist?
4. Fernwartung kontrolliert: Sind externe Zugänge zeitlich begrenzt, protokolliert und einzeln freigeschaltet statt dauerhaft offen?

Zugriff und Nachvollziehbarkeit

5. Rollenkonzept statt Sammelkonten: Arbeitet jeder Operator unter eigener Kennung, oder existieren geteilte Schichtkonten?
6. Mehr-Faktor- oder kontinuierliche Authentifizierung: Ist risikobasiert festgelegt und dokumentiert, für welche Benutzer, Systeme und Zugriffsarten sie eingesetzt wird — insbesondere für privilegierte und externe Zugriffe?
7. Protokollierung ausreichend: Lässt sich nachträglich feststellen, wer wann welchen Zugriff auf welches System hatte, und werden diese Protokolle zentral und manipulationssicher aufbewahrt?
8. Berechtigungen gepflegt: Werden Zugänge beim Ausscheiden von Personal und bei Rollenwechseln nachweislich entzogen?

Verfügbarkeit und Betrieb

9. Redundanz ohne Einzelfehlerstelle: Gibt es eine Komponente, deren Ausfall den gesamten Kontrollraum blind macht — etwa ein einzelner Videowall-Controller oder ein zentraler KVM-Knoten?
10. Wiederanlauf erprobt: Sind Wiederanlauf- und Notfallverfahren dokumentiert und werden sie in risikobasiert festgelegten Abständen praktisch getestet? Werden Ergebnisse, Mängel und Folgemaßnahmen nachweisbar dokumentiert?
11. Meldekette im Schichtbetrieb: Kann jede Schicht einen möglichen erheblichen Cybersicherheitsvorfall erkennen, intern eskalieren und den Zeitpunkt der Kenntnisnahme nachvollziehbar dokumentieren? Sind Verantwortliche, Vertretungen und das zuständige CSIRT festgelegt?
12. Lieferkette bewertet: Werden unmittelbare Hersteller und Dienstleister hinsichtlich Schwachstellenmanagement, Sicherheitsupdates, Supportzeiträumen, Reaktionszeiten und sicherer Entwicklungsprozesse bewertet? Sind die Anforderungen vertraglich und operativ nachweisbar?

Punkt zwölf wird regelmäßig unterschätzt, obwohl die Lieferkette in § 32 ausdrücklich genannt ist. Ein Videowall-Controller, für den keine Sicherheitsupdates mehr verfügbar sind, kann je nach Funktion, Vernetzung und Kritikalität zu einem erheblichen technischen und regulatorischen Risiko werden. Betreiber sollten Supportstatus, bekannte Schwachstellen, Kompensationsmaßnahmen und eine gegebenenfalls notwendige Ablösung dokumentieren. Wie sich Support und Reaktionszeiten vertraglich absichern lassen, zeigen wir unter Wartung und Service für Kontrollräume.

KVM und Zonentrennung: was Technik leisten kann — und was nicht

Ein geeignet geplantes KVM-System kann dazu beitragen, Quellsysteme in gesicherten Technikbereichen und getrennten Sicherheitszonen zu belassen, während Bild-, Tastatur- und Maussignale kontrolliert zum Bedienplatz geführt werden. Ob die Trennung tatsächlich erhalten bleibt, hängt jedoch von der konkreten Architektur ab — insbesondere von gemeinsam genutzten Komponenten, Management- und Steuerungsnetzen, Berechtigungskonzept, Schnittstellen, Protokollierung und Härtung. Ein KVM-System ist damit ein möglicher technischer Baustein, aber kein automatischer Nachweis der NISG-Konformität.

Ob eine proprietäre oder eine Standard-IT-basierte KVM-Architektur besser geeignet ist, entscheidet sich nicht an der Technologiebezeichnung — eine regulatorische Bevorzugung lässt sich aus dem NISG 2026 nicht ableiten. Maßgeblich sind nachvollziehbare Zugriffskontrollen, sichere Administration, Protokollierung, Schwachstellen- und Patch-Management, Segmentierungsfähigkeit, Verfügbarkeit, Wiederanlauf, Herstellerunterstützung und Lieferkettensicherheit. Standardisierte Schnittstellen können die Integration in bestehende Sicherheitswerkzeuge erleichtern; zugleich sind zusätzliche Komplexität und Angriffsfläche der IT-Infrastruktur zu berücksichtigen. Die Architekturunterschiede behandeln wir unter Barco CTRL und KVM over IT für moderne Leitstellen.

Umsetzung im laufenden Betrieb

Die meisten Leitstellen, die jetzt nachrüsten müssen, können sich keine Abschaltung leisten. Eine Verkehrsleitzentrale oder eine Netzleitstelle läuft während des Umbaus weiter. Das ist machbar, verlangt aber eine Migration in Etappen mit Rückfallebene in jeder Phase — wie wir es unter Kontrollraum und Leitstelle modernisieren beschreiben.

Für Bestandsaufnahme, Risikoanalyse, Konzept, Beschaffung, Tests und Umsetzung sollten Betreiber mehrere Monate einplanen. Zielmarke für die erforderlichen Risikomanagementmaßnahmen ist der 1. Oktober 2026 — nicht das Ende der späteren Registrierungsfrist. Die Registrierung sollte parallel vorbereitet werden, insbesondere mit Einrichtungs- und Sektoreinstufung, Kontaktdaten, EU-Niederlassungen und gegebenenfalls IP-Adressbereichen.

Kontrollraumlösungen aus einer Hand

controlrooms GmbH plant und baut Leitstellen und Kontrollräume als Gesamtanbieter: Analyse und Bestandsaufnahme, Planung nach ISO 11064, KVM-Architektur und Zonentrennung, Großbildtechnik, Bedienplätze sowie Integration und laufender Service. Für Betreiber kritischer Infrastruktur bedeutet das einen Ansprechpartner für die gesamte Kette — statt getrennter Zuständigkeiten, an deren Schnittstellen genau die Lücken entstehen, die NIS2 adressiert.

Wenn Sie wissen möchten, wo Ihre Anlage im Hinblick auf das NISG 2026 technisch steht, sehen wir uns die bestehende Architektur gemeinsam an und ordnen die Punkte dieses Schnellchecks Ihrer konkreten Situation zu. Nehmen Sie Kontakt mit uns auf — wir melden uns kurzfristig zurück.

Rechtsgrundlagen und weiterführende Informationen: Maßgeblich sind das NISG 2026 in der geltenden Fassung, die NIS-2-Richtlinie (EU) 2022/2555 und gegebenenfalls anwendbare unionsrechtliche oder nationale Durchführungsbestimmungen. Aktuelle Informationen zu Behörde, Registrierung und Meldewegen veröffentlicht die österreichische NIS-Anlaufstelle.

Hinweis: Dieser Beitrag beschreibt technische und organisatorische Aspekte von Kontrollräumen und ersetzt keine Rechtsberatung oder vollständige NISG-Compliance-Prüfung. Maßgeblich sind das NISG 2026 in der jeweils geltenden Fassung, einschlägige Durchführungsbestimmungen und sektorspezifische Rechtsakte. Ob eine Organisation als wesentliche oder wichtige Einrichtung gilt und welche Systeme und Maßnahmen konkret erfasst sind, ist im Einzelfall zu prüfen. Rechtsstand: 2. August 2026.

Besuchen Sie unseren Showroom in Wien Prater oder Wieselburg

Technik für Leitstellen, Kontrollräume und KVM-Arbeitsplätze lässt sich am besten live beurteilen. Im controlrooms Showroom zeigen wir Videowall, KVM, Bedienplätze und typische 24/7-Szenarien im realen Zusammenspiel — inklusive Zonentrennung und Zugriffskonzept.

Termine nach Vereinbarung. controlrooms GmbH unterstützt bei Analyse, Planung, Integration und laufendem Service.

Showroom-Termin anfragen