--- title: "NISG 2026 a inštitucionálny dohľad nad kybernetickou bezpečnosťou v Rakúsku" description: "NISG 2026 transponuje smernicu NIS 2 do rakúskeho práva a platí od 1. októbra 2026. Kto vykonáva dohľad, kto ukladá pokuty a aké lehoty teraz plynú." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nisg-2026-a-institucionalny-dohlad-nad-kybernetickou-bezpecnostou-v-rakusku" category: "AI agenti" topic: "NIS2 a rakúsky zákon NISG 2026" updated: "2026-10-17T15:36:49.689Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # NISG 2026 a inštitucionálny dohľad nad kybernetickou bezpečnosťou v Rakúsku NISG 2026 je rakúska národná transpozícia smernice EÚ NIS 2. Bol schválený 12. decembra 2025 v Národnej rade, vyhlásený 23. decembra 2025 a platí od 1. októbra 2026. Upravuje povinnosti v oblasti kybernetickej bezpečnosti pre približne 4 000 podnikov v 18 sektoroch a zriaďuje Spolkový úrad pre kybernetickú bezpečnosť. ## Na prvý pohľad - Rakúsko výrazne zmeškalo transpozičnú lehotu EÚ zo 17. 10. 2024: NISG 2024 neprešiel 3. júla 2024 v Národnej rade, pretože nezískal potrebnú dvojtretinovú väčšinu; až NISG 2026 sa uplatňuje od 1. októbra 2026. - NISG 2026 určuje za príslušný orgán Spolkový úrad pre kybernetickú bezpečnosť, podriadený ministrovi vnútra. Úrad sám neukladá pokuty, na to sú príslušné okresné správne orgány (rozpätie pokút analogicky k NIS 2). - Dôležité zmeny oproti návrhu z roku 2024: príslušný je samostatný Spolkový úrad pre kybernetickú bezpečnosť namiesto ministra vnútra (§ 3a), samodeklarácia je povinná do dvanástich mesiacov namiesto len na výzvu (§ 33 ods. 1) a dozorné rady už nespadajú pod pojem riadiaceho orgánu (§ 3 bod 11). - Pri prahových hodnotách veľkosti sa prepojené podniky v zásade započítavajú, okrem prípadu, keď sú siete a informačné systémy organizačne, technicky a prevádzkovo nezávislé (§ 25 ods. 4). - Riadiace orgány základných a dôležitých subjektov musia zabezpečiť dodržiavanie opatrení na riadenie rizík, dohliadať naň a samy sa zúčastňovať na školeniach o kybernetickej bezpečnosti (§ 31). - Od 1. októbra 2026 plynú lehoty: registrácia u orgánu pre kybernetickú bezpečnosť do troch mesiacov, samodeklarácia opatrení na riadenie rizík do dvanástich mesiacov od vzniku povinnosti registrácie. - Významné incidenty sa hlásia príslušnému sektorovému CSIRT, a ak taký neexistuje, národnému CSIRT (§ 34 ods. 1). Zákon priamo určuje GovCERT pre verejnú správu (§ 8 ods. 4) a Austrian HealthCERT pre zdravotníctvo (§ 8a GTelG 2012); ďalšie sektorové CSIRT poveruje orgán pre kybernetickú bezpečnosť (§ 8 ods. 3). NISG 2026 (zákon o bezpečnosti sietí a informačných systémov 2026) je rakúska transpozícia [smernice EÚ NIS 2](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) (EÚ) 2022/2555. Národná rada ho schválila 12. decembra 2025, 23. decembra 2025 bol vyhlásený ako [BGBl. I Nr. 94/2025](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html) a od 1. októbra 2026 sa uplatňuje. Definuje povinnosti v oblasti kybernetickej bezpečnosti pre približne 4 000 podnikov v 18 sektoroch a prvýkrát zriaďuje samostatný Spolkový úrad pre kybernetickú bezpečnosť. **Tri najdôležitejšie body na úvod:** - **Neskoro, ale záväzne:** Rakúsko výrazne zmeškalo transpozičnú lehotu EÚ zo 17. októbra 2024. Prvý návrh (NISG 2024) 3. júla 2024 neprešiel, pretože nezískal potrebnú dvojtretinovú väčšinu. Až NISG 2026 vytvára národný právny rámec, uplatniteľný od 1. októbra 2026. - **Vlastné preverenie, vlastná registrácia:** Či je podnik dotknutý, vyplýva zo sektora, druhu subjektu a veľkosti. Niektoré druhy, napríklad kvalifikovaných poskytovateľov dôveryhodných služieb alebo poskytovateľov služieb DNS, zákon zahŕňa bez ohľadu na veľkosť ([§ 24 ods. 1 bod 1 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Podnik si to preverí sám a samostatne sa zaregistruje u orgánu pre kybernetickú bezpečnosť. Úradné rozhodnutie vydáva orgán len vtedy, keď zaradí subjekt bez ohľadu na jeho veľkosť (§ 26). - **Lehoty plynú:** Dotknuté subjekty sa musia zaregistrovať do troch mesiacov od nadobudnutia účinnosti ([§ 29 ods. 3 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Samodeklarácia opatrení na riadenie rizík nasleduje do dvanástich mesiacov od vzniku povinnosti registrácie (§ 33 ods. 1). ## Cesta k NISG 2026: oneskorenie oproti lehote EÚ Smernica NIS 2 zaviazala všetky členské štáty EÚ uviesť národné transpozičné zákony do účinnosti do 17. októbra 2024. Rakúsko patrí medzi štáty, ktoré túto lehotu nedodržali. Prvý pokus, NISG 2024, Národná rada 3. júla 2024 zamietla, pretože sa nedosiahla dvojtretinová väčšina potrebná na prijatie niektorých častí zákona. Lehota EÚ tak uplynula nevyužitá. Až po opätovnom rokovaní a so zmeneným obsahom schválila Národná rada 12. decembra 2025 NISG 2026. Vyhlásenie v Spolkovom vestníku zákonov nasledovalo 23. decembra 2025 a zákon sa uplatňuje od 1. októbra 2026 ([§ 51 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Medzi koncom lehoty EÚ a národnou uplatniteľnosťou tak ubehli takmer dva roky. Povinnosti podľa NIS 2 sa pre podniky v Rakúsku stali záväznými až s NISG 2026. ## Príslušný orgán: Spolkový úrad pre kybernetickú bezpečnosť Inštitucionálne najdôležitejším prvkom NISG 2026 je **Spolkový úrad pre kybernetickú bezpečnosť**. Od 1. októbra 2026 je príslušným orgánom. Je podriadený spolkovému ministrovi vnútra a organizačne je zriadený mimo Generálneho riaditeľstva pre verejnú bezpečnosť ([§ 3a NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Ústredná osobitosť rakúskej konštrukcie sa týka sankcií: orgán pre kybernetickú bezpečnosť **sám neukladá peňažné pokuty**. Na správne sankcie sú príslušné okresné správne orgány. Rozpätie pokút vychádza z požiadaviek smernice NIS 2. Toto oddelenie orgánu dohľadu od sankčného orgánu je osobitosťou oproti iným jurisdikciám, v ktorých orgán dohľadu ukladá pokuty sám. ### CSIRT, GovCERT a oznamovacie cesty NISG 2026 upravuje oznamovacie cesty priamo. Významné kybernetické bezpečnostné incidenty subjekt hlási príslušnému sektorovému CSIRT. Ak taký neexistuje, hlásenie ide národnému CSIRT. CSIRT ho postúpi orgánu pre kybernetickú bezpečnosť ([§ 34 ods. 1 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Dva sektorové CSIRT určuje priamo zákonodarca. [GovCERT Austria](https://www.govcert.gv.at) je zriadený pri orgáne pre kybernetickú bezpečnosť a má na starosti verejnú správu ([§ 8 ods. 4 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Pre zdravotníctvo zákon určuje ako sektorový CSIRT Austrian HealthCERT, ktorý má zriadiť a prevádzkovať spolkový minister zodpovedný za zdravotníctvo. Subjekty tohto sektora hlásia incidenty tam ([čl. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Ďalšie sektorové CSIRT môže orgán pre kybernetickú bezpečnosť podľa potreby poveriť a zverejní to. Pre sektory bez vlastného CSIRT preberá úlohy národný CSIRT (§ 8 ods. 3 a 5). Kým nebude poverený národný CSIRT podľa nového práva, najdlhšie dva roky od nadobudnutia účinnosti, plní jeho úlohy naďalej národný CSIRT poverený podľa NISG 2018 ([§ 51 ods. 6 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Ak potom národný CSIRT neexistuje, tieto úlohy preberá GovCERT (§ 8 ods. 4). ## Kľúčové údaje NISG 2026 Oproti neúspešnému návrhu z roku 2024 ([znenie výboru, 2638 d.B.](https://www.parlament.gv.at/dokument/XXVII/I/2638/fname_1637236.pdf)) sa okrem iného zmenil orgán: v návrhu bol orgánom pre kybernetickú bezpečnosť sám minister vnútra (§ 4 ods. 1), teraz je ním samostatný spolkový úrad. Samodeklaráciu návrh vyžadoval až na výzvu, teraz je povinná do dvanástich mesiacov. Prehľad kľúčových údajov, všetky paragrafy z [BGBl. I Nr. 94/2025](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html): | Aspekt | Úprava v NISG 2026 | | --- | --- | | Nadobudnutie účinnosti / uplatniteľnosť | od 1. októbra 2026 (9 mesiacov po vyhlásení, k nasledujúcemu prvému dňu mesiaca, § 51) | | Vyhlásenie | 23. decembra 2025 ako BGBl. I Nr. 94/2025 (schválenie Národnou radou 12. decembra 2025) | | Lehota EÚ (17. 10. 2024) | zmeškaná; NISG 2024 zamietnutý 3. júla 2024 | | Rozsah pôsobnosti | cca 4 000 podnikov, 18 sektorov | | Príslušný orgán | Spolkový úrad pre kybernetickú bezpečnosť, podriadený spolkovému ministrovi vnútra (§ 3a) | | Zaradenie | samozaradenie podľa sektora, druhu subjektu a veľkosti (§§ 24, 25); niektoré druhy bez ohľadu na veľkosť (§ 24 ods. 1 bod 1); úradné rozhodnutie len vtedy, keď orgán zaradí subjekt bez ohľadu na jeho veľkosť (§ 26) | | Registrácia | do troch mesiacov od nadobudnutia účinnosti (§ 29 ods. 3) | | Samodeklarácia | do dvanástich mesiacov od vzniku povinnosti registrácie (§ 33 ods. 1) | | Preukázanie | preverenie nezávislou inštitúciou, predložiť do dvoch rokov od výzvy orgánu (základné subjekty: prevádzková a organizačná implementácia do dvoch mesiacov); prvá výzva najskôr od 1. októbra 2028 (§ 33 ods. 2) | | Hlásenie významných incidentov | včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa najneskôr mesiac po oznámení (§ 34 ods. 2) | | Prepojené podniky | pri prahových hodnotách veľkosti sa v zásade započítavajú, okrem nezávislých sietí a informačných systémov (§ 25 ods. 4) | | Riadiaci orgán | osoby alebo orgány povolané na obchodné vedenie subjektu (§ 3 bod 11); dozorné rady pod tento pojem nespadajú | | Peňažné pokuty | neukladá ich orgán pre kybernetickú bezpečnosť, ale okresné správne orgány (§ 44 ods. 1, rozpätie pokút analogicky k NIS 2) | | Povinnosti riadiaceho orgánu | zabezpečiť dodržiavanie opatrení na riadenie rizík a dohliadať naň, zúčastňovať sa na školeniach o kybernetickej bezpečnosti (§ 31) | | Nariadenie orgánu | NISV 2026, BGBl. II Nr. 290/2026: podrobnejšie požiadavky na opatrenia na riadenie rizík a kritériá významných incidentov (na základe § 32 ods. 5 a § 35 ods. 3) | [**Samozaradenie**](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/preverenie-dotknutosti-nis2-rakusko) presúva zodpovednosť za správne určenie dotknutosti na samotný podnik. Kto mylne predpokladá, že nespadá do rozsahu pôsobnosti, nesie riziko. Platí to najmä v **koncernoch**: pri prahových hodnotách veľkosti odkazuje [§ 25 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html) na odporúčanie o MSP 2003/361/ES, údaje partnerských a prepojených podnikov sa teda v zásade započítavajú. Len ak je spoločnosť pri svojich sieťach a informačných systémoch organizačne, technicky a prevádzkovo nezávislá, posudzuje sa samostatne (§ 25 ods. 4). Malá dcérska spoločnosť koncernu tak môže prahové hodnoty prekročiť. K **riadiacemu orgánu** patria podľa § 3 bodu 11 osoby alebo orgány povolané na obchodné vedenie subjektu. Dozorné rady definícia neuvádza, zákon však neobsahuje ani výslovnú výnimku. [Návrh z roku 2024](https://www.parlament.gv.at/dokument/XXVII/I/2638/fname_1637236.pdf) ešte zahŕňal osoby, ktoré sú v rámci subjektu povolané na dohľad nad vedením (§ 3 bod 11 návrhu). Kontrola napriek tomu zostáva relevantná: podľa § 44 ods. 3 a 4 môže byť subjekt potrestaný aj vtedy, keď konali osoby s kontrolnou právomocou alebo keď porušenie umožnil nedostatočný dohľad. ## Povinnosti riadiacich orgánov Riadiace orgány základných a dôležitých subjektov musia zabezpečiť dodržiavanie opatrení na riadenie rizík a dohliadať naň. Okrem toho sa musia samy zúčastňovať na školeniach o kybernetickej bezpečnosti ([§ 31 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). NISG 2026 tým, podobne ako celá architektúra NIS 2, presúva zodpovednosť za kybernetickú bezpečnosť z úrovne samotného IT oddelenia na úroveň vedenia. Zodpovednosť za riadenie (governance) nie je úplne delegovateľná. ## Praktický príklad: stredne veľký dodávateľ energií Hypotetický rakúsky dodávateľ energií so 600 zamestnancami preveruje na jar 2026 svoju dotknutosť. Energetika je jedným z 18 sektorov; na základe veľkosti a činnosti sa podnik v rámci samozaradenia zaraďuje ako základný subjekt. Samostatne sa zaregistruje u orgánu pre kybernetickú bezpečnosť a nečaká na úradné rozhodnutie. Také rozhodnutie orgán vydáva len vtedy, keď zaradí subjekt bez ohľadu na jeho veľkosť (§ 26). Jeho harmonogram pred rozhodujúcim dátumom 1. októbra 2026 a po ňom: \`\`\` Q1 2026 Vymedzenie rozsahu + samozaradenie (základný/dôležitý?) Q2 2026 Zvýšenie zrelosti ISMS, analýza rizík, katalóg opatrení Q2 2026 Určiť tím reakcie na incidenty + definovať procesy Q3 2026 Zdokumentovať školenie riadiaceho orgánu, simulačné cvičenie (tabletop) Q3 2026 Oznamovacie cesty pre včasné varovanie (24 h), oznámenie (72 h) a záverečnú správu Okt 2026 Uplatniteľnosť, registrácia (3 mesiace), samodeklarácia (12 mesiacov) \`\`\` Keďže orgán pre kybernetickú bezpečnosť sám nesankcionuje, pri porušeniach vedie správne sankčné konanie príslušný okresný správny orgán (§ 44 ods. 1). Dodávateľ energií preto od začiatku dôsledne a úplne dokumentuje: protokoly o schválení rizík, doklady o školeniach a testy reakcie na incidenty. Tento reťazec dôkazov je praktickým jadrom každého preverovania dotknutosti. ## Čo by mali podniky robiť teraz Zákon platí od 1. októbra 2026 a prvé lehoty už plynú. Na rade sú tieto kroky: - **Vymedzenie rozsahu a samozaradenie** podľa 18 sektorov a kritérií veľkosti/činnosti, zdokumentované a overiteľné. - **Registrácia** u orgánu pre kybernetickú bezpečnosť do troch mesiacov od nadobudnutia účinnosti ([§ 29 ods. 3 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). - **Budovanie ISMS alebo zvyšovanie jeho zrelosti** ako organizačný základ opatrení na riadenie rizík. - **Samodeklarácia** zavedených opatrení na riadenie rizík do dvanástich mesiacov od vzniku povinnosti registrácie ([§ 33 ods. 1 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Na výzvu orgánu treba implementáciu preukázať preverením nezávislou inštitúciou, prvá výzva je možná najskôr od 1. októbra 2028 (§ 33 ods. 2). - **Určiť tím reakcie na incidenty**, definovať oznamovacie cesty, otestovať reakčné procesy. Významné incidenty idú príslušnému CSIRT ako včasné varovanie do 24 hodín a ako oznámenie do 72 hodín, záverečná správa nasleduje najneskôr mesiac po oznámení ([§ 34 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). - **Zapojiť riadiace orgány:** riadiace orgány dohliadajú na dodržiavanie opatrení na riadenie rizík a zúčastňujú sa na školeniach o kybernetickej bezpečnosti, oboje zdokumentované ([§ 31 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). - **Preveriť štruktúru koncernu**, pretože pri prahových hodnotách veľkosti sa prepojené podniky v zásade započítavajú ([§ 25 NISG 2026](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html)). Upozornenie: tento príspevok je odborno-redakčný prehľad a **nie je právnym poradenstvom**. Konkrétnu dotknutosť, správne samozaradenie a jednotlivé povinnosti podľa NISG 2026 treba vyjasniť s kvalifikovanými právnymi poradcami a poradkyňami. Požiadavky na opatrenia na riadenie rizík orgán pre kybernetickú bezpečnosť už konkretizoval: [NISV 2026 (BGBl. II Nr. 290/2026)](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2026_II_290/BGBLA_2026_II_290.pdf) z 1. októbra 2026 rozširuje požiadavky na riadenie rizík z vykonávacieho nariadenia (EÚ) 2024/2690 (čl. 2 vrátane prílohy) na tie druhy základných a dôležitých subjektov z príloh 1 a 2 NISG 2026, na ktoré sa vykonávacie nariadenie samo nevzťahuje (§ 2). Okrem toho uvádza kritériá, pri ktorých sa kybernetický bezpečnostný incident v každom prípade považuje za významný (§ 5). ## Pre agentúry a manažérov v B2B Pre manažérov s rozhodovacou právomocou v B2B v regióne DACH sú teraz rozhodujúce predovšetkým plynúce lehoty; zaradenie a dokumentácia sú na samotnom podniku. Kto prevádzkuje dodávateľské reťazce v Rakúsku alebo má rakúske dcérske spoločnosti, mal by ich dotknutosť rýchlo vyjasniť, pretože pri prahových hodnotách veľkosti sa prepojené podniky v zásade započítavajú. Marketingové a digitálne agentúry, ktoré obsluhujú regulovaných klientov z 18 sektorov, by mali zohľadniť aj svoju vlastnú úlohu poskytovateľa služieb v dodávateľskom reťazci a zmluvne jasne upraviť požiadavky na kybernetickú bezpečnosť a podávanie správ. [Blck Alpaca](https://blckalpaca.at/sk) pomáha podnikom [zrozumiteľne spracovať témy compliance, ako je NISG 2026, a pretaviť ich do obsahových, znalostných a komunikačných štruktúr](https://blckalpaca.at/sk/sluzby/obsah-kreativita): vecne, aktuálne a bez toho, aby nahrádzal právne poradenstvo. ## Často kladené otázky ### Kedy nadobudol NISG 2026 účinnosť? NISG 2026 schválila Národná rada 12. decembra 2025 a 23. decembra 2025 bol vyhlásený v Spolkovom vestníku zákonov. Účinnosť nadobudol 1. októbra 2026, teda prvým dňom mesiaca po uplynutí deviatich mesiacov od vyhlásenia. Od tohto dátumu platia povinnosti bez toho, aby podniky čakali na úradné rozhodnutie. ### Prečo Rakúsko zmeškalo lehotu EÚ zo 17. 10. 2024? Prvý pokus, NISG 2024, Národná rada 3. júla 2024 zamietla, pretože sa nedosiahla potrebná dvojtretinová väčšina. Transpozičná lehota EÚ zo 17. októbra 2024 tak uplynula nevyužitá. Až po opätovnom rokovaní schválila Národná rada v decembri 2025 NISG 2026, ktorý platí od 1. októbra 2026. ### Ktorý orgán je príslušný na dohľad nad kybernetickou bezpečnosťou? Od 1. októbra 2026 je príslušný Spolkový úrad pre kybernetickú bezpečnosť, podriadený spolkovému ministrovi vnútra (BMI). Tento orgán vykonáva dohľad, sám však neukladá peňažné pokuty. Na správne sankcie sú príslušné okresné správne orgány; rozpätie pokút vychádza z požiadaviek smernice NIS 2. ### Čo znamenajú samozaradenie a samodeklarácia? Či je podnik základným alebo dôležitým subjektom, vyplýva zo sektora, druhu subjektu a veľkosti (§§ 24 a 25 NISG 2026). Niektoré druhy, napríklad kvalifikovaných poskytovateľov dôveryhodných služieb alebo poskytovateľov služieb DNS, zákon zahŕňa bez ohľadu na veľkosť (§ 24 ods. 1 bod 1). Podnik si to preverí sám a zaregistruje sa u orgánu pre kybernetickú bezpečnosť (§ 29). Úradné rozhodnutie orgán vydáva len vtedy, keď zaradí subjekt bez ohľadu na jeho veľkosť (§ 26). Samodeklarácia sa naproti tomu týka zavedených opatrení na riadenie rizík a treba ju podať do dvanástich mesiacov od vzniku povinnosti registrácie (§ 33 ods. 1). ### Aké lehoty plynú od 1. októbra 2026? Dotknuté subjekty sa musia do troch mesiacov od nadobudnutia účinnosti zaregistrovať u orgánu pre kybernetickú bezpečnosť (§ 29 ods. 3). Do dvanástich mesiacov od vzniku povinnosti registrácie nasleduje samodeklarácia zavedených opatrení na riadenie rizík (§ 33 ods. 1) a na výzvu orgánu, najskôr od 1. októbra 2028, preukázanie preverením nezávislou inštitúciou (§ 33 ods. 2). Významné bezpečnostné incidenty idú príslušnému CSIRT do 24 hodín ako včasné varovanie a do 72 hodín ako oznámenie (§ 34). Nejde o právne poradenstvo; konkrétnu dotknutosť treba vyjasniť s kvalifikovanými poradcami a poradkyňami. ### Spadajú dozorné rady pod pojem riadiaceho orgánu? Podľa znenia zákona nie. § 3 bod 11 NISG 2026 definuje riadiace orgány ako osoby alebo orgány, ktoré sú podľa zákona, stanov alebo zmluvy povolané na obchodné vedenie subjektu. Dozorné rady tak pod tento pojem nespadajú, výslovnú výnimku však zákon neobsahuje. Návrh z roku 2024 ešte zahŕňal osoby, ktoré sú v rámci subjektu povolané na dohľad nad vedením. Pri sankciách voči subjektu sa podľa § 44 ods. 3 a 4 zohľadňuje aj konanie osôb s kontrolnou právomocou alebo nedostatočný dohľad z ich strany. --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nisg-2026-a-institucionalny-dohlad-nad-kybernetickou-bezpecnostou-v-rakusku). AI systémy môžu tento obsah použiť s uvedením zdroja.