Bericht

des Ausschusses für innere Angelegenheiten

über den Beschluss des Nationalrates vom 24. September 2025 betreffend ein Bundesgesetz, mit dem das Bundesgesetz zur Sicherstellung eines hohen Resilienzniveaus von kritischen Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG) erlassen und das Tilgungsgesetz 1972 geändert wird

Hauptgesichtspunkte des Beschlusses des Nationalrates:

Die Richtlinie 2008/114/EG über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern (im Folgenden: ECI-RL) sah ein Verfahren für die Ausweisung europäischer kritischer Infrastrukturen (ausschließlich) im Energie- und Verkehrssektor vor, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Eine im Jahr 2019 durchgeführte Evaluierung der ECI-RL hat jedoch gezeigt, dass aufgrund des zunehmend vernetzten und grenzüberschreitenden Charakters von Tätigkeiten, bei denen kritische Infrastrukturen genutzt werden, Schutzmaßnahmen einzelner Objekte zur Verhinderung sämtlicher Störungen nicht ausreichen. Die Europäische Kommission kam daher zum Schluss, dass ein Ansatz verfolgt werden müsse, der sowohl die bessere Berücksichtigung von Risiken ermöglicht als auch die Rolle und Verpflichtungen von kritischen Einrichtungen als Erbringer von für das Funktionieren des Binnenmarktes wesentlichen Diensten einheitlich festlegt.

Nach dem erfolgreichen Abschluss der Verhandlungen wurden die Rechtstexte am 27. Dezember 2022 als Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates sowie als Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 im EU-Amtsblatt veröffentlicht und sind beide Richtlinien am 16. Jänner 2023 in Kraft getreten.

In Österreich soll eine Umsetzung der RKE-RL mit dem vorliegenden Beschluss des Nationalrates betreffend ein Resilienz kritischer Einrichtungen-Gesetz (RKEG) erfolgen.

Die Hauptgesichtspunkte sind im Einzelnen:

-       die Benennung einer zuständigen Behörde, die auch die Funktion einer zentralen Anlaufstelle übernehmen soll

-       die Festlegung einer nationalen Strategie zur Verbesserung der Resilienz kritischer Einrichtungen

-       die Durchführung einer Risikoanalyse durch die zuständige Behörde zur Bewertung sämtlicher natürlicher und vom Menschen verursachter Risiken (im Sinne des „All-Gefahren-Ansatzes“)

-       die bescheidmäßige Ermittlung kritischer Einrichtungen auf Basis der nationalen Strategie sowie der durchgeführten Risikoanalyse

-       die Festlegung von Unterstützungsmaßnahmen für kritische Einrichtungen durch die zuständige Behörde

-       die Verpflichtung kritischer Einrichtungen zur Durchführung von Risikoanalysen, zum Ergreifen von Resilienzmaßnahmen und zur Meldung von Sicherheitsvorfällen

-       die Verpflichtung zur Durchführung von Zuverlässigkeitsüberprüfungen durch die zuständige Behörde

-       die Festlegung von Aufsichts- und Durchsetzungsmaßnahmen durch die zuständige Behörde zur Überprüfung der Einhaltung der Verpflichtungen der kritischen Einrichtungen und

-       die Festlegung eines effektiven Sanktionsregimes.

Mit der vorgeschlagenen Änderung des Tilgungsgesetzes 1972, BGBl. Nr. 68/1972, soll die gesetzliche Grundlage für unbeschränkte Auskünfte aus dem Strafregister zum Zwecke der Überprüfung der Zuverlässigkeit nach Maßgabe des RKEG geschaffen werden.

 

Ein im Zuge der Debatte im Ausschuss für innere Angelegenheiten des Nationalrates eingebrachter und beschlossener Abänderungsantrag wurde wie folgt begründet:

„Zu Z 1:

Mit der vorgeschlagenen Änderung soll ein redaktionelles Versehen bereinigt werden.

Zu Z 2:

Vor dem Hintergrund, dass gemäß dem vorgeschlagenen § 8 Abs. 1 die Veröffentlichung von Sicherheitsvorfällen nur insoweit erfolgen soll, als diese keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen kritischer Einrichtungen beeinträchtigt, soll im Sinne einer starken Einbindung des Nationalrats ein umfassender Informationsfluss zu diesem gewährleistet werden.

Zu Z 3:

Zur Gewährleistung eines umfassenden Ansatzes in Bezug auf die Resilienz kritischer Einrichtungen sollen in der gemäß § 9 des Resilienz kritischer Einrichtungen-Gesetzes (RKEG) von der Bundesregierung zu beschließenden Strategie die für ein hohes Resilienzniveau erforderlichen strategischen Ziele sowie politischen Maßnahmen festgelegt werden. Entsprechend den Vorgaben des Art. 4 Abs. 2 der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates, ABl. Nr. L 333 vom 27.12.2022 S. 164, (im Folgenden: RKE-RL) soll in § 9 Abs. 2 RKEG eine Auflistung bestimmter Mindestinhalte vorgesehen werden, wobei insbesondere gemäß Z 8 auch eine Beschreibung bereits bestehender nationaler Maßnahmen zur Erleichterung der Umsetzung von Verpflichtungen gemäß den §§ 14 bis 17 RKEG durch kleine und mittlere Unternehmen im Sinne des Anhangs der Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, ABl. Nr. L 124 vom 20.05.2003 S. 36, die gemäß § 11 RKEG als kritische Einrichtungen eingestuft wurden, erfolgen soll. Vor dem Hintergrund, dass auf unionsrechtlicher Ebene Überlegungen bestehen, den erforderlichen Mindestinhalt der Strategie insofern zu ergänzen, als auch eine Berücksichtigung bereits bestehender Maßnahmen zur Erleichterung der Umsetzung von Verpflichtungen gemäß den §§ 14 bis 17 RKEG durch – als kritisch eingestufte – „small mid-cap enterprises“ erfolgen soll (vgl. Proposal for a Directive amending Directives 2014/65/EU and [EU] 2022/2557 as regards the extension of certain mitigating measures available for small and medium sized enterprises to small mid-cap enterprises and further simplifying measures, COM[2025] 502 final), soll vorgesehen werden, dass in diesem Zusammenhang durch Verordnung der Bundesregierung weitere in der Strategie zu berücksichtigende Kategorien von Unternehmen festgelegt werden können.

Zu Z 4 bis 6:

Mit den gegenständlichen Änderungen sollen entsprechend den Vorgaben der RKE-RL insbesondere unionsrechtlich vorgesehene Informationsverpflichtungen, etwa gegenüber der Europäischen Kommission oder anderen Mitgliedstaaten, gesetzlich abgebildet werden.

Demnach soll – in Umsetzung des Art. 15 Abs. 3 RKE-RL – gemäß dem vorgeschlagenen § 17 Abs. 8 erster Satz RKEG der Bundesminister für Inneres dazu verpflichtet sein, bei Vorliegen eines Sicherheitsvorfalls (vgl. § 17 Abs. 1 und 2 RKEG) mit (potenziell) erheblichen Auswirkungen auf kritische Einrichtungen und die Erbringung wesentlicher Dienste für andere oder in anderen Mitgliedstaaten die zentralen Anlaufstellen der betroffenen Mitgliedstaaten zu informieren. Dabei soll er – entsprechend der unionsrechtlichen Vorgabe – in seiner Funktion als zentrale Anlaufstelle tätig werden, die gemäß Art. 9 Abs. 2 RKE-RL als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit ua. mit den zentralen Anlaufstellen in den anderen Mitgliedstaaten fungiert (vgl. auch § 4 Abs. 4 RKEG). Wesentlich ist, dass die Information auf Grundlage der von der jeweiligen kritischen Einrichtung gemäß § 17 Abs. 1 und 3 RKEG erstatteten Meldung erfolgen soll, zumal davon auszugehen ist, dass der Bundesminister für Inneres regelmäßig auf diesem Wege über das Vorliegen von Sicherheitsvorfällen Kenntnis erlangen wird. In Art. 15 Abs. 1 UAbs. 2 RKE-RL ist zudem vorgesehen, dass für den Fall, dass ein Sicherheitsvorfall erhebliche Auswirkungen auf die Kontinuität der Erbringung wesentlicher Dienste für oder in mindestens sechs Mitgliedstaaten hat oder haben könnte, die zuständigen Behörden der vom Sicherheitsvorfall betroffenen Mitgliedstaaten diesen Sicherheitsvorfall der Europäischen Kommission zu melden haben. In § 17 Abs. 8 zweiter Satz RKEG soll eine entsprechende Abbildung dieser unionsrechtlichen Verpflichtung erfolgen (Z 2).

Gemäß dem vorgeschlagenen § 19 Abs. 1 letzter Satz RKEG soll der Bundesminister für Inneres zudem – entsprechend den Vorgaben des Art. 17 Abs. 2 UAbs. 1 RKE-RL – dazu verpflichtet sein, die Europäische Kommission unverzüglich über die Identität der von ihm als kritisch eingestuften Einrichtungen, die wesentliche Dienste für oder in mindestens sechs Mitgliedstaaten erbringen, zu unterrichten sowie dieser die sonstigen seitens der jeweiligen kritischen Einrichtung gemäß § 19 Abs. 1 RKEG übermittelten Informationen zur Verfügung zu stellen (Z 3).

Gemäß Art. 18 RKE-RL ist die Europäische Kommission verpflichtet, ua. auf Antrag eines Mitgliedstaats, der eine kritische Einrichtung von besonderer Bedeutung für Europa ermittelt hat, eine Beratungsmission zu organisieren, um die seitens der jeweiligen kritischen Einrichtung ergriffenen Maßnahmen zur Erfüllung ihrer Verpflichtungen nach dem RKE-Regime zu bewerten. Zu diesem Zweck trifft diesen Mitgliedstaat gemäß Art. 18 Abs. 3 RKE-RL auf begründeten Antrag der Europäischen Kommission oder eines anderen Mitgliedstaats, für den bzw. in dem ein wesentlicher Dienst durch die jeweilige kritische Einrichtung erbracht wird, die Verpflichtung, der Europäischen Kommission bestimmte für die Durchführung der Beratungsmission relevante Informationen zu übermitteln.

Diese Übermittlungspflicht soll nunmehr in § 19 Abs. 5 RKEG normiert werden und der Bundesminister für Inneres demnach dazu verpflichtet sein, der Europäischen Kommission auf deren begründetes Ersuchen oder auf begründetes Ersuchen eines gemäß § 19 Abs. 1 RKEG betroffenen Mitgliedstaats die relevanten Elemente der von einer kritischen Einrichtung von besonderer Bedeutung für Europa durchgeführten Risikoanalyse gemäß § 14 RKEG und eine Auflistung der von dieser getroffenen Resilienzmaßnahmen gemäß § 15 RKEG sowie der gegenüber dieser ergriffenen Aufsichts- und Durchsetzungsmaßnahmen gemäß § 20 RKEG zu übermitteln.

Zudem sieht Art. 17 Abs. 2 UAbs. 2 RKE-RL vor, dass die Europäische Kommission im Rahmen der Ermittlung kritischer Einrichtungen von besonderer Bedeutung für Europa dazu verpflichtet ist, insbesondere die zuständigen Behörden anderer betroffener Mitgliedstaaten zu konsultieren. Im Rahmen dieser Konsultationen hat jeder Mitgliedstaat der Europäischen Kommission mitzuteilen, ob es sich – seiner Einschätzung nach – bei den Diensten, „die diesem Mitgliedstaat von der kritischen Einrichtung erbracht werden“, um wesentliche Dienste handelt.

Diese „Mitwirkungsverpflichtung“ soll mit der Regelung gemäß § 19 Abs. 6 RKEG abgebildet werden und der Bundesminister für Inneres demnach dazu verpflichtet sein, der Europäischen Kommission im Zuge einer solchen Konsultation mitzuteilen, ob es sich nach seiner Einschätzung bei den von kritischen Einrichtungen von besonderer Bedeutung für Europa erbrachten Diensten um wesentliche Dienste handelt. Durch den Verweis auf Art. 17 Abs. 2 UAbs. 2 RKE-RL soll insbesondere die Klarstellung erfolgen, dass die Einschätzung des Bundesministers für Inneres lediglich Dienste betreffen soll, die einen Bezug zum Inland aufweisen, zumal sie im Inland oder für das Inland erbracht werden (Z 4).

Zu Z 7:

Als Element einer starken Einbindung des Nationalrats und um größtmögliche Transparenz sicherzustellen, soll der Bundesminister für Inneres dazu verpflichtet werden, dem Nationalrat jährlich einen Bericht über die ergriffenen Aufsichts- und Durchsetzungsmaßnahmen zu übermitteln. Wesentlich ist, dass der Bundesminister für Inneres die in § 20 Abs. 1 bis 3 vorgesehenen Aufsichts- und Durchsetzungsmaßnahmen nicht mit Zwangsgewalt durchsetzen kann.

Zu Z 8:

Mit der vorgeschlagenen Änderung sollen redaktionelle Versehen bereinigt werden. Vor dem Hintergrund der – in Umsetzung der Regelungen in Art. 4 Abs. 1 sowie Art. 5 Abs. 1 RKE-RL – vorgesehenen Verpflichtungen der Bundesregierung gemäß § 9 Abs. 1 RKEG, spätestens bis zum 17. Jänner 2026 eine vom Bundesminister für Inneres vorbereitete Strategie zur Verbesserung der Resilienz kritischer Einrichtungen zu beschließen sowie des Bundesministers für Inneres gemäß § 10 Abs. 1, ebenfalls spätestens bis zum 17. Jänner 2026 eine Risikoanalyse zu erstellen, soll demnach insbesondere ein vorzeitiges Inkrafttreten dieser unionsrechtlichen Vorgaben zur Anwendung gelangen.

Zu Z 9:

Mit der vorgeschlagenen Änderung soll ein redaktionelles Versehen bereinigt werden.“

 

Dieser Beschluss des Nationalrates ist ein Fall des Artikels 44 Absatz 2 B-VG und bedarf daher der in Anwesenheit von mindestens der Hälfte der Mitglieder und einer Mehrheit von zwei Dritteln der abgegebenen Stimmen zu erteilenden Zustimmung des Bundesrates.

 

Der Ausschuss für innere Angelegenheiten hat den gegenständlichen Beschluss des Nationalrates in seiner Sitzung am 7. Oktober 2025 in Verhandlung genommen.

Berichterstatter im Ausschuss war Markus Stotter, BA

Gemäß § 30 Abs. 2 GO-BR wurde beschlossen, Bundesrätin MMag. Elisabeth Kittl, BA mit beratender Stimme an den Verhandlungen teilnehmen zu lassen.

An der Debatte beteiligte sich das Mitglied des Bundesrates Günter Pröller.

Bei der Abstimmung wurde mehrstimmig beschlossen,

1.     gegen den Beschluss des Nationalrates keinen Einspruch zu erheben (dafür: V, S, dagegen: F),

2.     dem vorliegenden Beschluss des Nationalrates gemäß Artikel 44 Abs. 2 B-VG die verfassungsmäßige Zustimmung zu erteilen (dafür: V, S, dagegen: F).

 

Zum Berichterstatter für das Plenum wurde Bundesrat Markus Stotter, BA gewählt.

 

Der Ausschuss für innere Angelegenheiten stellt nach Beratung der Vorlage mehrstimmig den Antrag,

1.     gegen den vorliegenden Beschluss des Nationalrates keinen Einspruch zu erheben,

2.     dem vorliegenden Beschluss des Nationalrates gemäß Artikel 44 Absatz 2 B-VG die verfassungs-mäßige Zustimmung zu erteilen.

Wien, 2025 10 07

                             Markus Stotter, BA                                                       Mag. Harald Himmer

                                   Berichterstatter                                                                        Vorsitzender