Die technischen und methodischen Anforderungen der DVO Art. 2 und des zugehörigen Anhangs gelten unmittelbar für die unter DVO Art. 1 genannten Arten von Einrichtungen (wie DNS-Diensteanbieter, Anbieter von Cloud Computing Diensten, Anbieter von Rechenzentrumsdiensten u.a.). Über die NISV 2026 werden diese Anforderungen nun auch auf alle anderen wesentlichen und wichtigen Einrichtungen in Österreich verbindlich gemacht, die in den Anlagen 1 und 2 des NISG 2026 gelistet sind. Dadurch wird ein gemeinsamer Anforderungskatalog für alle normunterworfenen Einrichtungen geschaffen.

Es gelten die Vorgaben aus Art. 2 samt des dazugehörigen Anhangs der DVO direkt anwendbar für bestimmte Einrichtungen insb. im Bereich der digitalen Infrastruktur (DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter) sowie alle weiteren Einrichtungen über § 2 NISV 2026.

Bei der Beurteilung der Verhältnismäßigkeit der Risikomanagementmaßnahmen sind folgende Kriterien gebührend zu berücksichtigen (siehe auch § 32 (3) NISG 2026):

• das Ausmaß der Risikoexposition der Einrichtung sowie ihrer Dienste,
• die Größe der Einrichtung sowie
• die Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen.

Ein Beispiel hierfür wäre: Der Einsatz geeigneter Werkzeuge kann an Größe und Komplexität der Einrichtung gemessen werden. So kann in einem Kleinstunternehmen die Umsetzung der Asset-Verwaltung oder das Verzeichnis der direkten Anbieter und Diensteanbieter mit einer Tabellenkalkulation noch durchführbar sein, in Unternehmen mit komplexerer Netz- und Informationssystem-Landschaft jedoch den Einsatz geeigneter Datenbanksysteme erfordern. (Anhang Pkt. 12.4 DVO).

Möglichkeiten zum Abweichen von Anforderungen an Risikomanagementmaßnahmen:

Die NISV 2026 definiert auf Basis der DVO zwei Fälle, in denen von den darin beschriebenen Anforderungen abgewichen werden darf; eine ist umstandsabhängig, die andere risikomanagementmaßnahmenabhängig:

1. Einer Anforderung ist nicht verpflichtend zu entsprechen, wenn eine Einrichtung ihr
   1. vorübergehend oder
   2. aufgrund ihrer Größe
   nicht entsprechen kann und kompensierende Maßnahmen setzt, diese nachvollziehbar und begründet dokumentiert und deren Wirksamkeit in regelmäßigen Abständen, jedoch mindestens jährlich, überprüft.
   
   Ein Beispiel hierfür wäre: Die Trennung von widerstrebenden Pflichten und Verantwortlichkeiten (Anhang Pkt. 1.2.4 DVO) kann gerade in Kleinstunternehmen aufgrund beschränkter Personenzahlen vielleicht nicht immer klar vollzogen werden. Eine gezielte Beaufsichtigung durch das Management oder eine verstärkte Überwachung und Protokollierung könnten in solchen Fällen im Sinne von kompensierenden Maßnahmen als verhältnismäßig erachtet werden.
2. Einer Anforderung ist nicht verpflichtend zu entsprechen, sofern im Text der DVO dieser nur soweit angemessen, anwendbar oder durchführbar zu entsprechen ist und eine wesentliche oder wichtige Einrichtung das Vorliegen von Unangemessenheit, Unanwendbarkeit oder Undurchführbarkeit jeweils nachvollziehbar und begründet dokumentiert.
   
   Eine Übersicht über all jene konkreten Anforderungen auf die dies im Text der DVO zutrifft findet sich in der FAQ „Wo finde ich die Anforderungen, bei denen die Umsetzung kompensierender Maßnahmen nur dann verpflichtend ist, wenn diese angemessen, anwendbar oder durchführbar sind?“).
   
   Ein Beispiel hierfür wäre: Die Überprüfung des Konzepts für die Sicherheit von Netz- und Informationssystemen (Anhang Pkt. 1.1.2 DVO) ist zumindest jährlich durchzuführen. Eine Aktualisierung des Konzeptes ist jedoch nur dann angemessen, wenn sich aufgrund der Überprüfung ein entsprechender Änderungsbedarf ergeben hat.

Hilfreiche praxisnahe Erklärungen und Beispiele dazu liefert die offizielle ENISA Technical Guidance  .

Ja, die Excel-Tabelle  ENISA Technical Implementation Guidance Mapping Table bietet eine detaillierte Gegenüberstellung, die aufzeigt, wie sich die regulatorischen Anforderungen mit gängigen Sicherheitsstandards decken.