L-11 · RKEG
RKEG-Beratung: Resilienz kritischer Einrichtungen
Das Resilienz kritischer Einrichtungen-Gesetz (RKEG, BGBl. I Nr. 60/2025) gilt seit 1. März 2026. Es verpflichtet Einrichtungen, die per Bescheid als kritisch eingestuft sind, ihren wesentlichen Dienst gegen alle Gefahren abzusichern. SecTec begleitet Sie von der Risikoanalyse bis zum Resilienzplan und denkt NIS2 dabei mit.
All-Gefahren-Ansatz
Physisch, digital, organisatorisch.
Das RKEG setzt die EU-Richtlinie 2022/2557 um. Es geht nicht um den Schutz einzelner Objekte, sondern um die Widerstandsfähigkeit des wesentlichen Dienstes gegen Naturereignisse, technisches Versagen, Sabotage und Angriffe.
Das RKEG und das NISG 2026 greifen ineinander: Das eine regelt die Resilienz gegen alle Gefahren, das andere die Cybersicherheit. Wer beide getrennt betrachtet, übersieht Abhängigkeiten. Wir verbinden physische, digitale und organisatorische Maßnahmen zu einem Konzept.
§ 15 Abs. 2 RKEG
Die sechs Resilienzbereiche.
Kritische Einrichtungen treffen technische, sicherheitsbezogene und organisatorische Maßnahmen und legen sie in einem Resilienzplan dar (§ 15 Abs. 1).
Sicherheitsvorfälle verhindern
Prävention, auch Katastrophenvorsorge und Umgang mit dem Klimawandel
Z 1
Physischer Schutz
Angemessener Schutz der kritischen Infrastruktur und der Räumlichkeiten
Z 2
Abwehr und Bewältigung
Risiko- und Krisenmanagement, Notfallpläne, Auswirkungen gering halten
Z 3
Fortsetzung und Wiederaufnahme
Den wesentlichen Dienst rasch wieder aufnehmen, auch über alternative Lieferketten
Z 4
Personelle Sicherheit
Kritische Funktionen, Zugangsberechtigungen, Zuverlässigkeitsüberprüfungen, auch bei externem Personal
Z 5
Sensibilisierung
Schulungen für Personal in kritischen Funktionen
Z 6
Ablauf
So begleiten wir Sie.
Bescheid einordnen.
Wesentlichen Dienst, Umfang und Fristen aus dem Einstufungsbescheid ableiten.
Risiken analysieren.
Einrichtungsinterne Risikoanalyse nach dem All-Gefahren-Ansatz, physisch und digital (§ 14).
Resilienzplan.
Maßnahmen nach § 15 ableiten, priorisieren, im Resilienzplan darlegen und umsetzen.
Melden und üben.
Meldewege nach § 17 einrichten, Übungen durchführen, Unterlagen für die Aufsicht vorbereiten.
Fristen ab der Einstufung
| Pflicht | Frist | Fundstelle |
|---|---|---|
| Risikoanalyse | erstmals binnen neun Monaten nach der Einstufung, danach anlassbezogen, längstens alle vier Jahre | § 14 Abs. 1 |
| Resilienzmaßnahmen und Resilienzplan | nach Ablauf von zehn Monaten nach der Einstufung | § 15 Abs. 1 |
| Meldung von Sicherheitsvorfällen | ab zehn Monaten nach der Einstufung: binnen 24 Stunden an den Bundesminister für Inneres, Folgemeldung binnen eines Monats | § 17 Abs. 1 |
Wann ein meldepflichtiger Sicherheitsvorfall vorliegt, legt die Resilienz kritischer Einrichtungen-Verordnung fest (RKEV, BGBl. II Nr. 91/2026), unter anderem nach Zahl der betroffenen Nutzer, Dauer und betroffenem Gebiet.
RKEG und NIS2 zusammen umsetzen
- ISO 27001
- ISO 22301
Risikoanalysen und Maßnahmen, die eine Einrichtung schon aufgrund anderer Pflichten erfüllt, werden angerechnet, soweit sie gleichwertig sind (§ 14 Abs. 3, § 15 Abs. 3).
Wer NISG 2026, RKEG und ein ISMS nach ISO 27001 oder ein BCM nach ISO 22301 gemeinsam aufbaut, vermeidet doppelte Arbeit.
Weiterlesen
Ratgeber und verwandte Leistungen.
ISO 22301
Business Continuity Management nach Norm
Ratgeber
Notfallplan erstellen
Aufbau und Inhalte eines Notfallplans
Ratgeber
NIS2-Betroffenheit prüfen
Ob neben dem RKEG auch das NISG 2026 gilt
Ratgeber
NIS2-Beratung
Betroffenheit klären, Pflichten umsetzen, Nachweis führen
Leistung · L-01
Notfallmanagement & BCM
Im Ernstfall handlungsfähig bleiben und den Betrieb wieder anlaufen lassen
Leistung · L-08
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
Häufige Fragen zum RKEG
Was ist das RKEG?
Das Resilienz kritischer Einrichtungen-Gesetz (BGBl. I Nr. 60/2025) setzt die EU-Richtlinie 2022/2557 um und gilt seit 1. März 2026. Es verpflichtet kritische Einrichtungen, die Widerstandsfähigkeit ihres wesentlichen Dienstes gegen alle Gefahren zu stärken.
Wer ist vom RKEG betroffen?
Einrichtungen, die per Bescheid als kritische Einrichtung eingestuft werden. Sie erbringen einen wesentlichen Dienst in Sektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung oder Lebensmittel. Ohne Bescheid entstehen keine Pflichten nach dem RKEG.
Ab wann gelten die Pflichten?
Sie laufen ab der Einstufung: Risikoanalyse binnen neun Monaten (§ 14), Resilienzmaßnahmen und Meldepflicht nach Ablauf von zehn Monaten (§ 15, § 17).
Was ist der Unterschied zwischen RKEG und NIS2?
Das NISG 2026 regelt die Cybersicherheit von Netz- und Informationssystemen, das RKEG die Resilienz des wesentlichen Dienstes gegen alle Gefahren, auch physische. Viele kritische Einrichtungen fallen unter beide Gesetze.
Müssen Sicherheitsvorfälle gemeldet werden?
Ja. Kritische Einrichtungen melden Sicherheitsvorfälle unverzüglich, längstens binnen 24 Stunden, dem Bundesminister für Inneres und reichen binnen eines Monats eine Folgemeldung nach (§ 17 Abs. 1). Die Schwellen legt die RKEV fest.
Bereit für die RKEG-Umsetzung?
Wir ordnen Ihren Bescheid ein und sagen Ihnen, was bis wann zu tun ist.
- Telefon
- +43 1 3058463
- kontakt@sectec.at