NISG 2026 a inštitucionálny dohľad nad kybernetickou bezpečnosťou v Rakúsku

NISG 2026 (zákon o bezpečnosti sietí a informačných systémov 2026) je rakúska transpozícia smernice EÚ NIS 2 (EÚ) 2022/2555. Národná rada ho schválila 12. decembra 2025, 23. decembra 2025 bol vyhlásený ako BGBl. I Nr. 94/2025 a od 1. októbra 2026 sa uplatňuje. Definuje povinnosti v oblasti kybernetickej bezpečnosti pre približne 4 000 podnikov v 18 sektoroch a prvýkrát zriaďuje samostatný Spolkový úrad pre kybernetickú bezpečnosť.

Tri najdôležitejšie body na úvod:

• Neskoro, ale záväzne: Rakúsko výrazne zmeškalo transpozičnú lehotu EÚ zo 17. októbra 2024. Prvý návrh (NISG 2024) 3. júla 2024 neprešiel, pretože nezískal potrebnú dvojtretinovú väčšinu. Až NISG 2026 vytvára národný právny rámec, uplatniteľný od 1. októbra 2026.
• Vlastné preverenie, vlastná registrácia: Či je podnik dotknutý, vyplýva zo sektora, druhu subjektu a veľkosti. Niektoré druhy, napríklad kvalifikovaných poskytovateľov dôveryhodných služieb alebo poskytovateľov služieb DNS, zákon zahŕňa bez ohľadu na veľkosť (§ 24 ods. 1 bod 1 NISG 2026). Podnik si to preverí sám a samostatne sa zaregistruje u orgánu pre kybernetickú bezpečnosť. Úradné rozhodnutie vydáva orgán len vtedy, keď zaradí subjekt bez ohľadu na jeho veľkosť (§ 26).
• Lehoty plynú: Dotknuté subjekty sa musia zaregistrovať do troch mesiacov od nadobudnutia účinnosti (§ 29 ods. 3 NISG 2026). Samodeklarácia opatrení na riadenie rizík nasleduje do dvanástich mesiacov od vzniku povinnosti registrácie (§ 33 ods. 1).

Cesta k NISG 2026: oneskorenie oproti lehote EÚ

Smernica NIS 2 zaviazala všetky členské štáty EÚ uviesť národné transpozičné zákony do účinnosti do 17. októbra 2024. Rakúsko patrí medzi štáty, ktoré túto lehotu nedodržali. Prvý pokus, NISG 2024, Národná rada 3. júla 2024 zamietla, pretože sa nedosiahla dvojtretinová väčšina potrebná na prijatie niektorých častí zákona. Lehota EÚ tak uplynula nevyužitá.

Až po opätovnom rokovaní a so zmeneným obsahom schválila Národná rada 12. decembra 2025 NISG 2026. Vyhlásenie v Spolkovom vestníku zákonov nasledovalo 23. decembra 2025 a zákon sa uplatňuje od 1. októbra 2026 (§ 51 NISG 2026). Medzi koncom lehoty EÚ a národnou uplatniteľnosťou tak ubehli takmer dva roky. Povinnosti podľa NIS 2 sa pre podniky v Rakúsku stali záväznými až s NISG 2026.

Príslušný orgán: Spolkový úrad pre kybernetickú bezpečnosť

Inštitucionálne najdôležitejším prvkom NISG 2026 je Spolkový úrad pre kybernetickú bezpečnosť. Od 1. októbra 2026 je príslušným orgánom. Je podriadený spolkovému ministrovi vnútra a organizačne je zriadený mimo Generálneho riaditeľstva pre verejnú bezpečnosť (§ 3a NISG 2026).

Ústredná osobitosť rakúskej konštrukcie sa týka sankcií: orgán pre kybernetickú bezpečnosť sám neukladá peňažné pokuty. Na správne sankcie sú príslušné okresné správne orgány. Rozpätie pokút vychádza z požiadaviek smernice NIS 2. Toto oddelenie orgánu dohľadu od sankčného orgánu je osobitosťou oproti iným jurisdikciám, v ktorých orgán dohľadu ukladá pokuty sám.

CSIRT, GovCERT a oznamovacie cesty

NISG 2026 upravuje oznamovacie cesty priamo. Významné kybernetické bezpečnostné incidenty subjekt hlási príslušnému sektorovému CSIRT. Ak taký neexistuje, hlásenie ide národnému CSIRT. CSIRT ho postúpi orgánu pre kybernetickú bezpečnosť (§ 34 ods. 1 NISG 2026). Dva sektorové CSIRT určuje priamo zákonodarca. GovCERT Austria je zriadený pri orgáne pre kybernetickú bezpečnosť a má na starosti verejnú správu (§ 8 ods. 4 NISG 2026). Pre zdravotníctvo zákon určuje ako sektorový CSIRT Austrian HealthCERT, ktorý má zriadiť a prevádzkovať spolkový minister zodpovedný za zdravotníctvo. Subjekty tohto sektora hlásia incidenty tam (čl. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012). Ďalšie sektorové CSIRT môže orgán pre kybernetickú bezpečnosť podľa potreby poveriť a zverejní to. Pre sektory bez vlastného CSIRT preberá úlohy národný CSIRT (§ 8 ods. 3 a 5). Kým nebude poverený národný CSIRT podľa nového práva, najdlhšie dva roky od nadobudnutia účinnosti, plní jeho úlohy naďalej národný CSIRT poverený podľa NISG 2018 (§ 51 ods. 6 NISG 2026). Ak potom národný CSIRT neexistuje, tieto úlohy preberá GovCERT (§ 8 ods. 4).

Kľúčové údaje NISG 2026

Oproti neúspešnému návrhu z roku 2024 (znenie výboru, 2638 d.B.) sa okrem iného zmenil orgán: v návrhu bol orgánom pre kybernetickú bezpečnosť sám minister vnútra (§ 4 ods. 1), teraz je ním samostatný spolkový úrad. Samodeklaráciu návrh vyžadoval až na výzvu, teraz je povinná do dvanástich mesiacov. Prehľad kľúčových údajov, všetky paragrafy z BGBl. I Nr. 94/2025:

Samozaradenie presúva zodpovednosť za správne určenie dotknutosti na samotný podnik. Kto mylne predpokladá, že nespadá do rozsahu pôsobnosti, nesie riziko. Platí to najmä v koncernoch: pri prahových hodnotách veľkosti odkazuje § 25 NISG 2026 na odporúčanie o MSP 2003/361/ES, údaje partnerských a prepojených podnikov sa teda v zásade započítavajú. Len ak je spoločnosť pri svojich sieťach a informačných systémoch organizačne, technicky a prevádzkovo nezávislá, posudzuje sa samostatne (§ 25 ods. 4). Malá dcérska spoločnosť koncernu tak môže prahové hodnoty prekročiť. K riadiacemu orgánu patria podľa § 3 bodu 11 osoby alebo orgány povolané na obchodné vedenie subjektu. Dozorné rady definícia neuvádza, zákon však neobsahuje ani výslovnú výnimku. Návrh z roku 2024 ešte zahŕňal osoby, ktoré sú v rámci subjektu povolané na dohľad nad vedením (§ 3 bod 11 návrhu). Kontrola napriek tomu zostáva relevantná: podľa § 44 ods. 3 a 4 môže byť subjekt potrestaný aj vtedy, keď konali osoby s kontrolnou právomocou alebo keď porušenie umožnil nedostatočný dohľad.

Povinnosti riadiacich orgánov

Riadiace orgány základných a dôležitých subjektov musia zabezpečiť dodržiavanie opatrení na riadenie rizík a dohliadať naň. Okrem toho sa musia samy zúčastňovať na školeniach o kybernetickej bezpečnosti (§ 31 NISG 2026). NISG 2026 tým, podobne ako celá architektúra NIS 2, presúva zodpovednosť za kybernetickú bezpečnosť z úrovne samotného IT oddelenia na úroveň vedenia. Zodpovednosť za riadenie (governance) nie je úplne delegovateľná.

Praktický príklad: stredne veľký dodávateľ energií

Hypotetický rakúsky dodávateľ energií so 600 zamestnancami preveruje na jar 2026 svoju dotknutosť. Energetika je jedným z 18 sektorov; na základe veľkosti a činnosti sa podnik v rámci samozaradenia zaraďuje ako základný subjekt. Samostatne sa zaregistruje u orgánu pre kybernetickú bezpečnosť a nečaká na úradné rozhodnutie. Také rozhodnutie orgán vydáva len vtedy, keď zaradí subjekt bez ohľadu na jeho veľkosť (§ 26).

Jeho harmonogram pred rozhodujúcim dátumom 1. októbra 2026 a po ňom:

```
Q1 2026 Vymedzenie rozsahu + samozaradenie (základný/dôležitý?)
Q2 2026 Zvýšenie zrelosti ISMS, analýza rizík, katalóg opatrení
Q2 2026 Určiť tím reakcie na incidenty + definovať procesy
Q3 2026 Zdokumentovať školenie riadiaceho orgánu, simulačné cvičenie (tabletop)
Q3 2026 Oznamovacie cesty pre včasné varovanie (24 h), oznámenie (72 h) a záverečnú správu
Okt 2026 Uplatniteľnosť, registrácia (3 mesiace), samodeklarácia (12 mesiacov)
```

Keďže orgán pre kybernetickú bezpečnosť sám nesankcionuje, pri porušeniach vedie správne sankčné konanie príslušný okresný správny orgán (§ 44 ods. 1). Dodávateľ energií preto od začiatku dôsledne a úplne dokumentuje: protokoly o schválení rizík, doklady o školeniach a testy reakcie na incidenty. Tento reťazec dôkazov je praktickým jadrom každého preverovania dotknutosti.

Čo by mali podniky robiť teraz

Zákon platí od 1. októbra 2026 a prvé lehoty už plynú. Na rade sú tieto kroky:

• Vymedzenie rozsahu a samozaradenie podľa 18 sektorov a kritérií veľkosti/činnosti, zdokumentované a overiteľné.
• Registrácia u orgánu pre kybernetickú bezpečnosť do troch mesiacov od nadobudnutia účinnosti (§ 29 ods. 3 NISG 2026).
• Budovanie ISMS alebo zvyšovanie jeho zrelosti ako organizačný základ opatrení na riadenie rizík.
• Samodeklarácia zavedených opatrení na riadenie rizík do dvanástich mesiacov od vzniku povinnosti registrácie (§ 33 ods. 1 NISG 2026). Na výzvu orgánu treba implementáciu preukázať preverením nezávislou inštitúciou, prvá výzva je možná najskôr od 1. októbra 2028 (§ 33 ods. 2).
• Určiť tím reakcie na incidenty, definovať oznamovacie cesty, otestovať reakčné procesy. Významné incidenty idú príslušnému CSIRT ako včasné varovanie do 24 hodín a ako oznámenie do 72 hodín, záverečná správa nasleduje najneskôr mesiac po oznámení (§ 34 NISG 2026).
• Zapojiť riadiace orgány: riadiace orgány dohliadajú na dodržiavanie opatrení na riadenie rizík a zúčastňujú sa na školeniach o kybernetickej bezpečnosti, oboje zdokumentované (§ 31 NISG 2026).
• Preveriť štruktúru koncernu, pretože pri prahových hodnotách veľkosti sa prepojené podniky v zásade započítavajú (§ 25 NISG 2026).

Upozornenie: tento príspevok je odborno-redakčný prehľad a nie je právnym poradenstvom. Konkrétnu dotknutosť, správne samozaradenie a jednotlivé povinnosti podľa NISG 2026 treba vyjasniť s kvalifikovanými právnymi poradcami a poradkyňami. Požiadavky na opatrenia na riadenie rizík orgán pre kybernetickú bezpečnosť už konkretizoval: NISV 2026 (BGBl. II Nr. 290/2026) z 1. októbra 2026 rozširuje požiadavky na riadenie rizík z vykonávacieho nariadenia (EÚ) 2024/2690 (čl. 2 vrátane prílohy) na tie druhy základných a dôležitých subjektov z príloh 1 a 2 NISG 2026, na ktoré sa vykonávacie nariadenie samo nevzťahuje (§ 2). Okrem toho uvádza kritériá, pri ktorých sa kybernetický bezpečnostný incident v každom prípade považuje za významný (§ 5).

Pre agentúry a manažérov v B2B

Pre manažérov s rozhodovacou právomocou v B2B v regióne DACH sú teraz rozhodujúce predovšetkým plynúce lehoty; zaradenie a dokumentácia sú na samotnom podniku. Kto prevádzkuje dodávateľské reťazce v Rakúsku alebo má rakúske dcérske spoločnosti, mal by ich dotknutosť rýchlo vyjasniť, pretože pri prahových hodnotách veľkosti sa prepojené podniky v zásade započítavajú. Marketingové a digitálne agentúry, ktoré obsluhujú regulovaných klientov z 18 sektorov, by mali zohľadniť aj svoju vlastnú úlohu poskytovateľa služieb v dodávateľskom reťazci a zmluvne jasne upraviť požiadavky na kybernetickú bezpečnosť a podávanie správ. Blck Alpaca pomáha podnikom zrozumiteľne spracovať témy compliance, ako je NISG 2026, a pretaviť ich do obsahových, znalostných a komunikačných štruktúr: vecne, aktuálne a bez toho, aby nahrádzal právne poradenstvo.