Ustawa NISG 2026 i instytucjonalny nadzór nad cyberbezpieczeństwem w Austrii

NISG 2026 (ustawa o bezpieczeństwie sieci i systemów informatycznych z 2026 r.) to austriacka ustawa wdrażająca dyrektywę NIS2 (UE) 2022/2555. Rada Narodowa uchwaliła ją 12 grudnia 2025 r., 23 grudnia 2025 r. ogłoszono ją jako BGBl. I Nr. 94/2025, a od 1 października 2026 r. ma ona zastosowanie. Określa obowiązki w zakresie cyberbezpieczeństwa około 4000 przedsiębiorstw z 18 sektorów i po raz pierwszy tworzy odrębny Federalny Urząd ds. Cyberbezpieczeństwa.

Trzy najważniejsze kwestie na początek:

• Późno, ale wiążąco: Austria wyraźnie przekroczyła unijny termin transpozycji z 17 października 2024 r. Pierwszy projekt (NISG 2024) przepadł 3 lipca 2024 r., bo zabrakło większości dwóch trzecich. Dopiero NISG 2026 tworzy krajowe ramy prawne, stosowane od 1 października 2026 r.
• Samodzielna ocena, samodzielna rejestracja: to, czy przedsiębiorstwo podlega ustawie, zależy od sektora, rodzaju podmiotu i wielkości. Niektóre rodzaje podmiotów, takie jak kwalifikowani dostawcy usług zaufania czy dostawcy usług DNS, ustawa obejmuje niezależnie od wielkości (§ 24 ust. 1 pkt 1 NISG 2026). Przedsiębiorstwo samo to sprawdza i samodzielnie rejestruje się w organie ds. cyberbezpieczeństwa. Decyzja zapada tylko wtedy, gdy organ klasyfikuje podmiot niezależnie od jego wielkości (§ 26).
• Terminy już biegną: podmioty objęte ustawą muszą zarejestrować się w ciągu trzech miesięcy od jej wejścia w życie (§ 29 ust. 3 NISG 2026). Samodeklaracja środków zarządzania ryzykiem następuje w ciągu dwunastu miesięcy od powstania obowiązku rejestracji (§ 33 ust. 1).

Droga do NISG 2026: opóźnienie względem unijnego terminu

Dyrektywa NIS2 zobowiązywała wszystkie państwa członkowskie UE do wprowadzenia w życie krajowych przepisów transponujących do 17 października 2024 r. Austria należy do państw, które nie dotrzymały tego terminu. Pierwsze podejście, ustawa NISG 2024, zostało odrzucone przez Radę Narodową 3 lipca 2024 r., ponieważ nie uzyskano większości dwóch trzecich wymaganej dla części przepisów. Unijny termin upłynął więc bezskutecznie.

Dopiero po ponownych negocjacjach i ze zmienioną treścią Rada Narodowa uchwaliła 12 grudnia 2025 r. ustawę NISG 2026. Ogłoszenie w Federalnym Dzienniku Ustaw nastąpiło 23 grudnia 2025 r., a ustawa ma zastosowanie od 1 października 2026 r. (§ 51 NISG 2026). Między upływem unijnego terminu a stosowaniem przepisów w Austrii minęły więc niemal dwa lata. Obowiązki wynikające z NIS2 stały się wiążące dla przedsiębiorstw w Austrii dopiero wraz z NISG 2026.

Właściwy organ: Federalny Urząd ds. Cyberbezpieczeństwa

Najważniejszym elementem instytucjonalnym NISG 2026 jest Federalny Urząd ds. Cyberbezpieczeństwa (Bundesamt für Cybersicherheit). Od 1 października 2026 r. jest on właściwym organem. Podlega federalnemu ministrowi spraw wewnętrznych i działa organizacyjnie poza Dyrekcją Generalną ds. Bezpieczeństwa Publicznego (§ 3a NISG 2026).

Kluczowa cecha austriackiego modelu dotyczy sankcji: organ ds. cyberbezpieczeństwa sam nie nakłada kar pieniężnych. Kary administracyjne nakładają organy administracji powiatowej. Wysokość kar opiera się na wymogach dyrektywy NIS2. Taki podział na organ nadzorczy i organ nakładający sankcje odróżnia Austrię od innych jurysdykcji, w których organ nadzorczy sam nakłada kary.

CSIRT, GovCERT i ścieżki zgłaszania

Ustawa NISG 2026 sama reguluje ścieżki zgłaszania. Poważne incydenty cyberbezpieczeństwa podmiot zgłasza do właściwego sektorowego zespołu CSIRT. Jeśli takiego nie ma, zgłoszenie trafia do krajowego CSIRT. CSIRT przekazuje je organowi ds. cyberbezpieczeństwa (§ 34 ust. 1 NISG 2026). Dwa sektorowe zespoły CSIRT ustawodawca wskazuje sam. GovCERT Austria działa przy organie ds. cyberbezpieczeństwa i obsługuje administrację publiczną (§ 8 ust. 4 NISG 2026). Dla sektora ochrony zdrowia ustawa wyznacza jako sektorowy CSIRT zespół Austrian HealthCERT, który ma utworzyć i prowadzić federalny minister właściwy ds. zdrowia. Podmioty z tego sektora zgłaszają incydenty właśnie tam (art. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012). Kolejne sektorowe zespoły CSIRT organ ds. cyberbezpieczeństwa może w razie potrzeby upoważnić i podaje to do publicznej wiadomości. W sektorach bez własnego CSIRT zadania przejmuje krajowy CSIRT (§ 8 ust. 3 i 5). Dopóki nie zostanie upoważniony krajowy CSIRT na podstawie nowych przepisów, maksymalnie przez dwa lata od wejścia ustawy w życie, jego zadania nadal wykonuje krajowy CSIRT upoważniony na podstawie NISG 2018 (§ 51 ust. 6 NISG 2026). Jeśli później nie będzie krajowego CSIRT, zadania te przejmuje GovCERT (§ 8 ust. 4).

Kluczowe informacje o NISG 2026

W porównaniu z nieudanym projektem z 2024 r. (wersja komisji, 2638 d.B.) zmienił się m.in. organ: w projekcie organem ds. cyberbezpieczeństwa był sam minister spraw wewnętrznych (§ 4 ust. 1), teraz jest nim odrębny urząd federalny. W projekcie samodeklaracja była wymagana dopiero na wezwanie, teraz jest obowiązkowa w ciągu dwunastu miesięcy. Najważniejsze informacje w skrócie, wszystkie paragrafy według BGBl. I Nr. 94/2025:

Samodzielna klasyfikacja przenosi odpowiedzialność za prawidłowe ustalenie, czy ustawa ma zastosowanie, na samo przedsiębiorstwo. Kto błędnie zakłada, że nie wchodzi w zakres stosowania, ponosi ryzyko. Dotyczy to zwłaszcza grup kapitałowych: w odniesieniu do progów wielkości § 25 NISG 2026 odsyła do zalecenia 2003/361/WE dotyczącego MŚP, więc dane przedsiębiorstw partnerskich i powiązanych co do zasady się wlicza. Tylko jeśli spółka jest niezależna organizacyjnie, technicznie i operacyjnie w zakresie swoich sieci i systemów informatycznych, ocenia się ją osobno (§ 25 ust. 4). Mała spółka zależna w grupie może więc przekroczyć progi. Do organu zarządzającego należą zgodnie z § 3 pkt 11 osoby lub organy powołane do prowadzenia spraw. Definicja nie wymienia rad nadzorczych, ale ustawa nie zawiera też wyraźnego wyłączenia. Projekt z 2024 r. obejmował jeszcze osoby powołane w ramach podmiotu do nadzorowania zarządu (§ 3 pkt 11 projektu). Kontrola pozostaje jednak istotna: zgodnie z § 44 ust. 3 i 4 podmiot może zostać ukarany także wtedy, gdy działały osoby uprawnione do kontroli lub gdy brak nadzoru umożliwił naruszenie.

Obowiązki organów zarządzających

Organy zarządzające podmiotów kluczowych i ważnych muszą zapewniać przestrzeganie środków zarządzania ryzykiem i je nadzorować. Ponadto muszą same uczestniczyć w szkoleniach z cyberbezpieczeństwa (§ 31 NISG 2026). Tym samym NISG 2026, podobnie jak cała architektura NIS2, przenosi odpowiedzialność za cyberbezpieczeństwo z samego działu IT na poziom kierownictwa. Odpowiedzialności w zakresie ładu korporacyjnego nie można w pełni delegować.

Przykład z praktyki: średniej wielkości dostawca energii

Hipotetyczny austriacki dostawca energii zatrudniający 600 pracowników wiosną 2026 r. sprawdza, czy podlega ustawie. Energetyka to jeden z 18 sektorów; ze względu na wielkość i rodzaj działalności przedsiębiorstwo w ramach samodzielnej klasyfikacji uznaje się za podmiot kluczowy. Samodzielnie rejestruje się w organie ds. cyberbezpieczeństwa i nie czeka na decyzję. Organ wydaje ją tylko wtedy, gdy klasyfikuje podmiot niezależnie od jego wielkości (§ 26).

Jego harmonogram przed i po dacie granicznej 1 października 2026 r.:

```
Q1 2026 Określenie zakresu + samodzielna klasyfikacja (kluczowy/ważny?)
Q2 2026 Rozwój SZBI, analiza ryzyka, katalog środków
Q2 2026 Wyznaczenie zespołu reagowania na incydenty + zdefiniowanie procesów
Q3 2026 Dokumentacja szkolenia organu zarządzającego, ćwiczenie tabletop
Q3 2026 Ścieżki zgłaszania: wczesne ostrzeżenie (24 h), zgłoszenie (72 h), sprawozdanie końcowe
Paź 2026 Stosowanie, rejestracja (3 miesiące), samodeklaracja (12 miesięcy)
```

Ponieważ organ ds. cyberbezpieczeństwa sam nie nakłada sankcji, w razie naruszeń postępowanie w sprawie kary administracyjnej prowadzi właściwy organ administracji powiatowej (§ 44 ust. 1). Dlatego dostawca energii od początku prowadzi pełną dokumentację: protokoły akceptacji ryzyka, potwierdzenia szkoleń i testy reagowania na incydenty. Ten łańcuch dowodów stanowi praktyczny rdzeń każdej oceny, czy ustawa ma zastosowanie.

Co przedsiębiorstwa powinny teraz zrobić

Ustawa obowiązuje od 1 października 2026 r. i biegną już pierwsze terminy. Oto kolejne kroki:

• Określenie zakresu i samodzielna klasyfikacja na podstawie 18 sektorów oraz kryteriów wielkości i działalności, udokumentowane i możliwe do odtworzenia.
• Rejestracja w organie ds. cyberbezpieczeństwa w ciągu trzech miesięcy od wejścia ustawy w życie (§ 29 ust. 3 NISG 2026).
• Budowa lub rozwój SZBI jako organizacyjnej podstawy środków zarządzania ryzykiem.
• Samodeklaracja wdrożonych środków zarządzania ryzykiem w ciągu dwunastu miesięcy od powstania obowiązku rejestracji (§ 33 ust. 1 NISG 2026). Na wezwanie organu wdrożenie trzeba wykazać audytem niezależnego podmiotu; pierwsze wezwanie jest możliwe najwcześniej od 1 października 2028 r. (§ 33 ust. 2).
• Zespół reagowania na incydenty: wyznaczyć go, określić ścieżki zgłaszania, przetestować procesy reagowania. Poważne incydenty zgłasza się do właściwego CSIRT jako wczesne ostrzeżenie w ciągu 24 godzin i jako zgłoszenie incydentu w ciągu 72 godzin, a sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu (§ 34 NISG 2026).
• Zaangażowanie organów zarządzających: organy zarządzające nadzorują przestrzeganie środków zarządzania ryzykiem i uczestniczą w szkoleniach z cyberbezpieczeństwa, a oba te elementy są udokumentowane (§ 31 NISG 2026).
• Sprawdzenie struktury grupy, ponieważ przy progach wielkości co do zasady wlicza się przedsiębiorstwa powiązane (§ 25 NISG 2026).

Uwaga: ten artykuł jest przeglądem przygotowanym przez redakcję merytoryczną i nie stanowi porady prawnej. To, czy ustawa ma zastosowanie w konkretnym przypadku, prawidłową samodzielną klasyfikację i poszczególne obowiązki wynikające z NISG 2026 należy wyjaśnić z wykwalifikowanymi doradcami prawnymi. Organ ds. cyberbezpieczeństwa doprecyzował już wymogi dotyczące środków zarządzania ryzykiem: NISV 2026 (BGBl. II Nr. 290/2026) z 1 października 2026 r. rozszerza wymogi w zakresie zarządzania ryzykiem z rozporządzenia wykonawczego (UE) 2024/2690 (art. 2 wraz z załącznikiem) na te rodzaje podmiotów kluczowych i ważnych z załączników 1 i 2 do NISG 2026, których samo rozporządzenie wykonawcze nie obejmuje (§ 2). Ponadto określa kryteria, przy których incydent cyberbezpieczeństwa zawsze uznaje się za poważny (§ 5).

Dla agencji i decydentów B2B

Dla decydentów B2B w Europie liczą się teraz przede wszystkim biegnące terminy; klasyfikacja i dokumentacja należą do samego przedsiębiorstwa. Kto prowadzi łańcuchy dostaw w Austrii lub ma austriackie spółki zależne, powinien szybko wyjaśnić, czy podlegają one ustawie, ponieważ przy progach wielkości co do zasady wlicza się przedsiębiorstwa powiązane. Agencje marketingowe i cyfrowe obsługujące klientów regulowanych z 18 sektorów powinny uwzględnić własną rolę usługodawcy w łańcuchu dostaw i rzetelnie odzwierciedlić w umowach wymogi dotyczące cyberbezpieczeństwa i raportowania. Blck Alpaca pomaga firmom przystępnie przedstawiać tematy compliance, takie jak NISG 2026, i przekładać je na struktury treści, wiedzy i komunikacji: rzeczowo, aktualnie i bez wchodzenia w rolę prawnika.