NIS2 IN DER GEBÄUDEAUTOMATION — Gerhard David Gschwandtl

Gebäudeautomation wird durch NIS2 nicht automatisch zur regulierten Branche. Entscheidend sind Sektor, Unternehmensgröße und einzelne Sonderfälle.

Für Österreich ist das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, maßgeblich. Laut WKO wurde es am 23. Dezember 2025 kundgemacht und gilt ab 1. Oktober 2026. Ab diesem Zeitpunkt treffen betroffene Einrichtungen Pflichten zu Risikomanagement, Meldung erheblicher Sicherheitsvorfälle und Lieferkettensicherheit.

Das Gesetz unterscheidet dabei zwei Stufen: wesentliche Einrichtungen in besonders kritischen Sektoren (z. B. Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung) und wichtige Einrichtungen in weiteren Sektoren (z. B. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung).

Die direkte Betroffenheit entsteht nicht durch eine vorhandene Gebäudeleittechnik. Sie entsteht grundsätzlich dann, wenn ein Betrieb in einem erfassten Sektor tätig ist und zumindest die Größe eines mittleren Unternehmens erreicht. Zusätzlich nennt das Gesetz mehrere größenunabhängige Sonderfälle.

Betroffenheit in Zahlen

Prüfpunkt	Zahl oder Schwelle	Einordnung
Start in Österreich	1. Oktober 2026	Ab dann gelten Risikomanagement, Meldepflichten und Anforderungen an die Lieferkette.
Mittleres Unternehmen	ab 50 Mitarbeitende oder Umsatz > 10 Mio. € und Bilanzsumme > 10 Mio. €	Ab dieser Schwelle kann ein Betrieb in einem erfassten Sektor direkt betroffen sein.
Großes Unternehmen	ab 250 Mitarbeitende oder Umsatz > 50 Mio. € und Bilanzsumme > 43 Mio. €	Große Unternehmen in besonders kritischen Sektoren gelten im Kern als wesentliche Einrichtungen.
Erfasste Sektoren	18 Sektoren insgesamt	11 besonders kritische Sektoren (wesentliche Einrichtungen) und 7 weitere Sektoren (wichtige Einrichtungen).
Sonderfälle	unabhängig von Größe	Z. B. qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, bestimmte öffentliche Verwaltung, behördlich eingestufte Einrichtungen.
Schätzung Österreich	rund 4.000 Unternehmen und Einrichtungen	Zahl der WKO für die direkte Betroffenheit ab Herbst 2026.
Gebäudeautomation	kein eigener NISG-Sektor	Direkt nur betroffen, wenn der Betrieb selbst in einen NISG-Sektor fällt. Indirekt oft betroffen über Betreiber, Kunden und Lieferketten.

Was das für Betreiber bedeutet

Eine GLT, ein DDC-System, ein BACnet-Netzwerk oder eine Fernwartungslösung ist nicht deshalb NIS2-relevant, weil sie technisch anspruchsvoll ist. Sie wird relevant, wenn sie Teil des Betriebs einer betroffenen Einrichtung ist. Das betrifft typischerweise Krankenhäuser, Energieversorger, Wasser- und Abwasserbetriebe, Banken, Verkehrsbetriebe, große Lebensmittelunternehmen, große Industrieunternehmen oder Betreiber digitaler Infrastruktur.

Was das für Gebäudeautomationsunternehmen bedeutet

Ein klassischer MSR-Dienstleister fällt nicht automatisch direkt unter NIS2. Er kann aber direkt betroffen sein, wenn er selbst als Managed Service Provider, Betreiber digitaler Infrastruktur oder als Unternehmen in einem erfassten Sektor tätig ist und die Größenschwellen erreicht.

Praktisch wichtiger ist oft die indirekte Betroffenheit: NIS2-pflichtige Kunden werden künftig vertraglich mehr Nachweise verlangen. Dazu gehören sichere Fernwartung, dokumentierte Zugriffsrechte, Backup-Konzepte, Patchmanagement, Netztrennung, Protokollierung und ein nachvollziehbarer Umgang mit Schwachstellen.

Ordnung statt Aktionismus

Die Gebäudeautomation ist damit kein Nebenschauplatz mehr. Sie ist ein technischer Bestandteil der Betriebsfähigkeit. Wer Anlagen modernisiert, sollte daher nicht nur auf Regelqualität und Energieeffizienz achten, sondern auch auf Dokumentation, Netzwerkarchitektur, Benutzerverwaltung, Wartbarkeit und Lieferkettennachweise.

Besonders bei Bestandsanlagen ist eine nüchterne Erstprüfung sinnvoll:

Welche Systeme sind erreichbar?
Welche Passwörter sind aktiv?
Wer hat Fernzugriff?
Gibt es aktuelle Projektsicherungen?
Welche Komponenten sind nicht mehr wartbar?

Der richtige Zugang ist nicht Aktionismus, sondern Ordnung. NIS2 verlangt keine pauschale Erneuerung jeder Gebäudeautomation. Es verlangt aber, dass Risiken bekannt sind, Verantwortlichkeiten geklärt werden und technische Systeme so betrieben werden, dass sie zur Cyberresilienz des Unternehmens passen.

Quellen und Grundlagen

Stand: 1. Juli 2026. Spätere Novellen sind hier nicht berücksichtigt.