NORMATIVO

RKEG - Resilienz-kritischer-Einrichtungen

In Österreich sind schätzungsweise 400 bis 600 Unternehmen und Organisationen vom Resilienz kritischer Einrichtungen-Gesetz (RKEG) betroffen. Ein wichtiges Detail vorweg: Sie müssen nicht selbst aktiv werden, sondern werden vom Bundesministerium für Inneres (BMI) per offiziellem Bescheid als kritische Einrichtung eingestuft.
   
Unternehmen die per Bescheid nach dem RKEG als kritische Einrichtung eingestuft wurde, sind automatisch auch wesentliche Einrichtung im Sinne des NISG. => Registrierungspflicht.
  
Wer ist vom RKEG betroffen?
Betroffen sind Betreiber, die im Inland tätig sind, deren Infrastruktur sich in Österreich befindet und die einen sogenannten „wesentlichen Dienst“  für Staat, Wirtschaft und Gesellschaft erbringen (Kombination aus Branche und Marktanteil/Größe).
  
Das Gesetz basiert auf der EU-CER-Richtlinie und konzentriert sich primär auf die physische Sicherheit und operative Ausfallsicherheit (z. B. Schutz vor Naturkatastrophen, Sabotage, Terrorismus, Lieferkettenausfälle).
  
Die genauen Schwellenwerte (z. B. Stromerzeuger ab 150 MW Engpassleistung, Molkereien ab 300.000 t Milch pro Jahr) regelt die ergänzende Resilienz kritischer Einrichtungen-Verordnung (RKEV).
  
Das Ziel des Gesetzes
  • Schutz der physischen Widerstandsfähigkeit (Resilienz) von kritischen Infrastrukturen gegen alle "analogen" Gefahren (z. B. Naturkatastrophen, Sabotage, Terrorismus, Pandemien oder Stromausfälle).
  • Sicherstellung, dass lebenswichtige Dienste für die Bevölkerung auch in schweren Krisen aufrechterhalten bleiben.
  
Was sind „kritische Einrichtungen“?
Das Gesetz teilt die betroffenen Einrichtungen in 11 Sektoren ein. Wenn Sie zu einem dieser Bereiche gehören und die Schwellenwerte überschreiten, gelten Sie als kritische Einrichtung:
  • Energie: Strom, Gas, Erdöl, Fernwärme, Wasserstoff
  • Verkehr: Luftfahrt, Schienenverkehr, Straßenverkehr, Schifffahrt, öffentlicher Nahverkehr
  • Bankwesen: Kreditinstitute
  • Finanzmarktinfrastruktur: Handelsplätze, zentrale Gegenparteien
  • Gesundheit: Krankenhäuser, Hersteller von Arzneimitteln, Gesundheitsdienstleister
  • Trinkwasser: Wasserversorger
  • Abwasser: Abwasserentsorgung
  • Digitale Infrastruktur: Cloud- und SaaS-Anbieter, Rechenzentren, Vertrauensdienste
  • Lebensmittel: Produktion, Verarbeitung und Großvertrieb
  • Öffentliche Verwaltung: Bestimmte staatliche Kernbehörden
  • Weltraum: Betreiber von bodengestützten Infrastrukturen

  

Die zentralen Pflichten für Betreiber

Sobald ein Unternehmen den Einstufungsbescheid erhält, tickt eine strikte Zeitachse:

  • Risikoanalyse (Frist: 9 Monate): Durchführung einer detaillierten, betriebsspezifischen Risiko- und Bedrohungsanalyse basierend auf der staatlichen Makro-Risikoanalyse.
  • Resilienzplan & Maßnahmen (Frist: 10 Monate): Erstellung eines physischen Sicherheitskonzepts (z. B. baulicher Werkschutz, Business Continuity Management/BCM, Notfallvorsorge).
  • Meldepflichten: Unverzügliche Meldung von physischen Sicherheitsvorfällen, die die Bereitstellung des kritischen Dienstes erheblich stören.
  • Sanktionen: Bei schwerwiegenden Verstößen gegen die Auflagen drohen Strafen von bis zu 500.000 Euro.

Sind Ihre Prozesse rechtssicher für das nächste ISO-Audit?
Die Verknüpfung von gesetzlichen Vorgaben und ISO-Standards ist komplex. Ein einziger Fehler bei den Compliance-Nachweisen kann das Zertifikat gefährden oder zu Haftungsrisiken für die Geschäftsführung führen.
 
Machen Sie Ihr Unternehmen auditsicher. 
Haben Sie Fragen zu den gesetzlichen Anforderungen für Ihre ISO 9001 oder ISO 27001 Zertifizierung? Sichern Sie sich jetzt Ihr unverbindliches Erstgespräch. Gemeinsam prüfen wir Ihre Compliance-Struktur und bereiten Sie optimal auf das Audit vor.
Kontaktieren Sie uns für eine unverbindliche Erstberatung oder eine strukturierte GAP-Analyse.