Selbstdeklaration (NISG 2026)
Die Selbstdeklaration ist die strukturierte Erklärung, mit der wesentliche und wichtige Einrichtungen der Cybersicherheitsbehörde nach § 33 Abs. 1 NISG 2026 darlegen, wie sie die Risikomanagementmaßnahmen des § 32 umgesetzt haben. Sie ist binnen zwölf Monaten ab Eintritt der Registrierungspflicht einzubringen, für die meisten Betriebe also bis 30. September 2027.
Ausführliche Erklärung
Die Selbstdeklaration nach § 33 Abs. 1 NISG 2026 ist ein verpflichtender Nachweis, den wesentliche und wichtige Einrichtungen binnen zwölf Monaten ab Eintritt der Registrierungspflicht nach § 29 Abs. 2 bei der Cybersicherheitsbehörde einbringen müssen. Diese Aufgabe nimmt das neu geschaffene Bundesamt für Cybersicherheit wahr. Da das NISG 2026 am 1. Oktober 2026 in Kraft getreten ist, endet die Frist für die meisten betroffenen Betriebe am 30. September 2027. Verlangt werden insbesondere Angaben zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferkette und zu den Ergebnissen der durchgeführten Risikoanalyse. Inhalt und Format gibt die Behörde vor, eingebracht wird elektronisch über das Unternehmensserviceportal (USP), über das auch die Registrierung läuft.
Anders als frühere Nachweisverfahren erfolgt die Selbstdeklaration nicht erst nach behördlicher Aufforderung, sondern verpflichtend und fristgebunden. Sie ersetzt keine Prüfung durch eine unabhängige Stelle: Ab 1. Oktober 2028 kann die Cybersicherheitsbehörde externe Nachweise verlangen, und geplante Prüfungen durch unabhängige Dritte sind ihr vorab anzuzeigen. Die Frist knüpft an den Eintritt der Registrierungspflicht an, nicht an das Datum der tatsächlichen Registrierung – eine frühe Registrierung verkürzt sie also nicht.
Praktisch bedeutet das: Die Risikomanagementmaßnahmen nach § 32 NISG 2026 müssen seit 1. Oktober 2026 umgesetzt sein. Die Selbstdeklaration ist eine strukturierte Dokumentation dessen, was bereits läuft, und kein Zeitraum zum Aufbau der Maßnahmen. Die Registrierung selbst ist nach § 29 bis 31. Dezember 2026 vorzunehmen. Für die Leitungsorgane gilt daneben § 31: Sie haben die Maßnahmen zu billigen, deren Umsetzung zu überwachen und selbst an Schulungen teilzunehmen.
Unvollständige oder geschönte Angaben sind riskant, weil sie bei späteren Prüfungen auffallen. Eine versäumte, verspätete oder unrichtige Selbstdeklaration ist eine Verwaltungsübertretung nach § 45 Abs. 4 NISG 2026 und mit Geldstrafe bis zu 50.000 Euro bedroht, im Wiederholungsfall bis zu 100.000 Euro; verhängt wird sie von der Bezirksverwaltungsbehörde. Davon zu unterscheiden ist das Unterlassen der Sicherheitsmaßnahmen selbst: Das fällt unter § 45 Abs. 1 bis 3 und kann wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes kosten, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Beide Strafdrohungen hängen nicht davon ab, ob es tatsächlich einen Sicherheitsvorfall gegeben hat.
Praxisbeispiel
Ein oberösterreichischer Lebensmittelgroßhändler mit 120 Mitarbeiterinnen und Mitarbeitern fällt als wichtige Einrichtung unter das NISG 2026 und registriert sich fristgerecht bis 31. Dezember 2026 über das USP. Bis 30. September 2027 reicht das Unternehmen dort seine Selbstdeklaration ein und dokumentiert darin die Risikoanalyse, die Zugriffskontrollen, die Backup- und Wiederherstellungsverfahren sowie die Sicherheitsanforderungen an den Dienstleister, der das Warenwirtschaftssystem betreibt. Die Geschäftsführung lässt sich die Angaben vorab von der IT-Leitung belegen, damit die Deklaration mit den tatsächlich umgesetzten Maßnahmen übereinstimmt.
Quellen
Diese Definition verlinken
Sie dürfen diese Definition gern zitieren oder verlinken — mit Quellenangabe.
„Selbstdeklaration (NISG 2026)“ — Definition im Strukturaflow IT Glossar: https://begriffe.strukturaflow.com/begriff/selbstdeklaration-nisg-2026 <a href="https://begriffe.strukturaflow.com/begriff/selbstdeklaration-nisg-2026">Selbstdeklaration (NISG 2026)</a> — Definition im Strukturaflow IT Glossar