Rechtsstand: RKEG, BGBl. I Nr. 60/2025, geprüft am 24. Oktober 2026
Das Resilienz kritischer Einrichtungen-Gesetz (RKEG) verpflichtet Einrichtungen, die der Bundesminister für Inneres per Bescheid als kritisch einstuft, ihren wesentlichen Dienst gegen alle Gefahren abzusichern. Es gilt seit 1. März 2026 und setzt die EU-Richtlinie 2022/2557 um. Die Pflichten beginnen erst mit dem Einstufungsbescheid.
Was das RKEG regelt
Das RKEG zielt auf ein hohes Resilienzniveau kritischer Einrichtungen in den Sektoren der EU-Richtlinie (§ 2 Abs. 1). Resilienz meint die Fähigkeit, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, ihn abzuwehren, zu bewältigen und sich davon zu erholen (§ 3 Z 2). Ein Sicherheitsvorfall ist jedes Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte (§ 3 Z 3).
Das Gesetz denkt dabei an alle Gefahren: Naturereignisse, technisches Versagen, Sabotage und Angriffe. Die Risikoanalyse muss natürliche und vom Menschen verursachte Risiken gleichermaßen berücksichtigen (§ 3 Z 8). Cybersicherheit bleibt Sache des NISG 2026. Angelegenheiten der NIS2-Richtlinie lässt das RKEG ausdrücklich unberührt (§ 2 Abs. 2).
Wer unter das RKEG fällt
Anders als beim NISG 2026 prüfen Unternehmen ihre Betroffenheit nicht selbst. Der Bundesminister für Inneres ermittelt kritische Einrichtungen und stuft sie mit Bescheid ein (§ 11 Abs. 1). Vier Voraussetzungen müssen zusammentreffen:
- Die Einrichtung ist im Inland tätig.
- Ihre kritische Infrastruktur befindet sich im Inland.
- Sie erbringt einen wesentlichen Dienst, wie ihn die Delegierte Verordnung (EU) 2023/2450 auflistet (§ 3 Z 6).
- Bei der Erbringung dieses Dienstes kann ein Sicherheitsvorfall eintreten.
Ob ein Vorfall eintreten kann, legt eine Verordnung fest. Sie berücksichtigt unter anderem die Zahl der Nutzer, die Abhängigkeit anderer Sektoren, mögliche Auswirkungen auf Wirtschaft, Gesundheit und öffentliche Sicherheit, den Marktanteil und das betroffene Gebiet (§ 11 Abs. 2). Einrichtungen müssen an der Feststellung des Sachverhalts mitwirken.
Wichtige Ausnahmen
Kritische Einrichtungen in den Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen werden zwar eingestuft. Die Pflichten zu Risikoanalyse, Resilienzmaßnahmen und Meldung gelten für sie aber nicht (§ 11 Abs. 4). Ausgenommen sind außerdem Gerichtsbarkeit, Gesetzgebung und die Oesterreichische Nationalbank (§ 2 Abs. 3) sowie Teile der öffentlichen Verwaltung mit Schwerpunkt nationale oder öffentliche Sicherheit (§ 12 Abs. 2).
Die Fristen ab dem Bescheid
| Pflicht | Frist | Fundstelle |
| Zentrale Kontaktstelle und mindestens eine Ansprechperson benennen | binnen vier Wochen nach der Einstufung, Änderungen binnen zwei Wochen | § 11 Abs. 5 |
| Einrichtungsinterne Risikoanalyse | erstmals binnen neun Monaten nach der Einstufung, danach anlassbezogen, längstens alle vier Jahre | § 14 Abs. 1 |
| Resilienzmaßnahmen treffen und im Resilienzplan darlegen | nach Ablauf von zehn Monaten nach der Einstufung | § 15 Abs. 1 |
| Sicherheitsvorfälle melden | ab zehn Monaten nach der Einstufung: unverzüglich, längstens binnen 24 Stunden, Folgemeldung binnen eines Monats | § 17 Abs. 1 |
| Änderungen des für die Einstufung maßgeblichen Sachverhalts | unverzüglich | § 11 Abs. 9 |
Quelle: RKEG in der geltenden Fassung im RIS. Stand: 24. Oktober 2026.
Was eine kritische Einrichtung tun muss
Risikoanalyse
Grundlage ist die staatliche Risikoanalyse des Innenministeriums. Darauf baut die eigene Analyse auf und bereitet die Ergebnisse strukturiert auf. Sie muss die gegenseitige Abhängigkeit mit wesentlichen Diensten anderer Sektoren berücksichtigen, etwa die Abhängigkeit von Strom, Kommunikation oder Logistik (§ 14 Abs. 2). Risikoanalysen aus anderen Pflichten werden angerechnet, soweit sie zumindest gleichwertig sind (§ 14 Abs. 3).
Resilienzmaßnahmen und Resilienzplan
Aus der Analyse folgen geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen. Sie stehen im Resilienzplan, einem Dokument, das die Maßnahmen nachvollziehbar darlegt (§ 15 Abs. 1, § 3 Z 12). § 15 Abs. 2 nennt sechs Bereiche:
- Sicherheitsvorfälle verhindern, auch mit Katastrophenvorsorge und Blick auf den Klimawandel
- die kritische Infrastruktur und die Räumlichkeiten angemessen physisch schützen
- Vorfälle abwehren und bewältigen, mit Risiko- und Krisenmanagement und Notfallplänen
- den wesentlichen Dienst fortsetzen oder rasch wieder aufnehmen, auch über alternative Lieferketten
- personelle Sicherheit, auch beim Personal externer Dienstleister: kritische Funktionen, Zugangsberechtigungen, Zuverlässigkeitsüberprüfungen
- Personal in kritischen Funktionen sensibilisieren und schulen
Auch hier gilt: Maßnahmen, die eine Einrichtung schon aufgrund anderer Pflichten getroffen hat, zählen, soweit sie gleichwertig sind (§ 15 Abs. 3). Ein bestehendes Notfallmanagement nach ISO 22301 oder ein ISMS ist deshalb ein guter Ausgangspunkt.
Meldung von Sicherheitsvorfällen
Kritische Einrichtungen melden Sicherheitsvorfälle dem Bundesminister für Inneres, soweit das aus operativer Sicht möglich ist, längstens binnen 24 Stunden nach Kenntnis. Ergänzende Informationen folgen in einer Folgemeldung binnen eines Monats (§ 17 Abs. 1). Die Meldung nennt Art, vermutete Ursache und Folgen des Vorfalls, die bereits ergriffenen Maßnahmen und die betroffene Infrastruktur (§ 17 Abs. 3). Wann ein meldepflichtiger Vorfall vorliegt, regelt eine Verordnung anhand von betroffenen Nutzern, Dauer und Gebiet (§ 17 Abs. 2).
RKEG und NISG 2026 im Vergleich
| Merkmal | RKEG | NISG 2026 |
| Schutzziel | Resilienz des wesentlichen Dienstes gegen alle Gefahren | Cybersicherheit der Netz- und Informationssysteme |
| Betroffenheit | Einstufung per Bescheid des Innenministers | Selbstprüfung nach Sektor und Größe |
| Meldung an | Bundesminister für Inneres, binnen 24 Stunden | zuständiges CSIRT, 24 Stunden, 72 Stunden, ein Monat |
| EU-Grundlage | Richtlinie (EU) 2022/2557 | Richtlinie (EU) 2022/2555 |
Viele kritische Einrichtungen fallen unter beide Gesetze. Ein Cyberangriff auf einen Wasserversorger kann zugleich ein erheblicher Cybersicherheitsvorfall nach dem NISG 2026 und ein Sicherheitsvorfall nach dem RKEG sein. Wer beide Meldewege getrennt plant, verliert im Ernstfall Zeit. Wie das NISG 2026 im Detail aussieht, steht im Überblick NISG 2026: Fristen und Registrierung.
Geldstrafen nach dem RKEG
Verstöße gegen die Mitwirkungs- und Informationspflichten, etwa eine nicht benannte Kontaktstelle oder eine nicht fristgerecht erstellte Risikoanalyse, bestraft die Bezirksverwaltungsbehörde mit bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 23 Abs. 1). Wer Meldepflichten nach § 17 oder angeordnete Maßnahmen nicht fristgerecht erfüllt, riskiert bis zu 500.000 Euro (§ 23 Abs. 2). Strafen können auch gegen die juristische Person verhängt werden, wenn mangelnde Überwachung durch eine Führungsperson den Verstoß ermöglicht hat (§ 23 Abs. 3 und 4).
Unterstützung durch das Innenministerium
Das Gesetz verpflichtet den Bundesminister für Inneres, kritische Einrichtungen bei Resilienzmaßnahmen zu beraten, bei der Frage der Gleichwertigkeit bestehender Analysen und Maßnahmen zu helfen und Frühwarnungen weiterzugeben (§ 13 Abs. 1). Darüber hinaus kann es Muster für Risikoanalysen und Resilienzpläne, Leitfäden und Schulungen bereitstellen (§ 13 Abs. 2).
So bereiten Sie sich vor
- Klären, ob Ihr Dienst in der Liste der wesentlichen Dienste steht und ob Sie mit einer Einstufung rechnen müssen.
- Nach dem Bescheid binnen vier Wochen Kontaktstelle und Ansprechperson benennen.
- Vorhandene Risikoanalysen und Notfallpläne sichten und auf Gleichwertigkeit prüfen.
- Die Risikoanalyse binnen neun Monaten fertigstellen, den Resilienzplan bis zum zehnten Monat.
- Meldewege für RKEG und NISG 2026 gemeinsam festlegen und üben.
Bei Einordnung des Bescheids, Risikoanalyse und Resilienzplan begleitet Sie unsere RKEG-Beratung.
Häufig gestellte Fragen
Seit wann gilt das RKEG?
Seit 1. März 2026 (BGBl. I Nr. 60/2025). Pflichten entstehen für eine Einrichtung aber erst mit dem Bescheid, der sie als kritisch einstuft.
Muss ich mich nach dem RKEG selbst melden?
Eine Registrierung wie im NISG 2026 gibt es nicht. Der Bundesminister für Inneres ermittelt kritische Einrichtungen und stuft sie per Bescheid ein. Die Einrichtung muss dabei mitwirken und später Änderungen des maßgeblichen Sachverhalts unverzüglich mitteilen (§ 11).
Wie lange habe ich nach dem Bescheid Zeit?
Vier Wochen für die Kontaktstelle, neun Monate für die Risikoanalyse, zehn Monate bis Resilienzmaßnahmen und Meldepflicht greifen (§ 11 Abs. 5, § 14 Abs. 1, § 15 Abs. 1, § 17 Abs. 1).
Gilt das RKEG auch für Banken und Rechenzentren?
Einrichtungen der Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen können eingestuft werden. Risikoanalyse, Resilienzmaßnahmen und Meldepflicht nach dem RKEG gelten für sie aber nicht (§ 11 Abs. 4).
Ersetzt ein Notfallmanagement nach ISO 22301 den Resilienzplan?
Nicht automatisch. Bestehende Maßnahmen werden angerechnet, soweit sie gleichwertig sind (§ 15 Abs. 3). Der Resilienzplan muss aber alle sechs Bereiche aus § 15 Abs. 2 abdecken, auch physischen Schutz und personelle Sicherheit.
Was ist der Unterschied zwischen RKEG und NIS2?
Das RKEG schützt den wesentlichen Dienst gegen alle Gefahren, auch physische. Das NISG 2026 regelt die Cybersicherheit. Viele Einrichtungen fallen unter beide Gesetze und brauchen abgestimmte Meldewege.
Fazit: Erst der Bescheid, dann die Uhr
Das RKEG wirkt erst mit der Einstufung, dann aber mit festen Fristen. Wer schon vorher weiß, welche Analysen, Notfallpläne und Meldewege vorhanden sind, schafft neun und zehn Monate ohne Hektik. Erstgespräch vereinbaren