Rechtstracker.at · Quelle: RIS (Bundeskanzleramt)
Kurztitel
Netz- und Informationssystemsicherheitsgesetz 2026
Kundmachungsorgan
BGBl. I Nr. 94/2025Bundesgesetzblatt Teil eins, Nr. 94 aus 2025,
§/Artikel/AnlageParagraph/Artikel/Anlage
§ 45Paragraph 45
Index
41/01 Sicherheitsrecht
Text
Verwaltungsstrafbestimmungen
§ 45.Paragraph 45,
(1)Absatz eins,Wer
seiner Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß § 31 Abs. 2 vorzusehen, nicht nachkommt,seiner Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß Paragraph 31, Absatz 2, vorzusehen, nicht nachkommt,
seiner Verpflichtung, Cybersicherheitsschulungen für Mitarbeiter (Arbeitnehmer) gemäß § 31 Abs. 2 zweiter Satz vorzusehen, nicht nachkommt,seiner Verpflichtung, Cybersicherheitsschulungen für Mitarbeiter (Arbeitnehmer) gemäß Paragraph 31, Absatz 2, zweiter Satz vorzusehen, nicht nachkommt,
Risikomanagementmaßnahmen gemäß § 32 nicht umsetzt, soweit dieser Umstand der Cybersicherheitsbehörde nicht nur aufgrund einer Selbstdeklaration gemäß § 33 Abs. 1 bekanntgeworden ist,Risikomanagementmaßnahmen gemäß Paragraph 32, nicht umsetzt, soweit dieser Umstand der Cybersicherheitsbehörde nicht nur aufgrund einer Selbstdeklaration gemäß Paragraph 33, Absatz eins, bekanntgeworden ist,
seiner Verpflichtung zur Meldung eines erheblichen Cybersicherheitsvorfalls gemäß § 34 Abs. 1 und 2 sowie den damit zusammenhängenden Berichtspflichten nicht entspricht,seiner Verpflichtung zur Meldung eines erheblichen Cybersicherheitsvorfalls gemäß Paragraph 34, Absatz eins und 2 sowie den damit zusammenhängenden Berichtspflichten nicht entspricht,
seiner Verpflichtung zur unverzüglichen Unterrichtung der Empfänger der Dienste einer wesentlichen oder wichtigen Einrichtung gemäß § 34 Abs. 3 nicht entspricht, oderseiner Verpflichtung zur unverzüglichen Unterrichtung der Empfänger der Dienste einer wesentlichen oder wichtigen Einrichtung gemäß Paragraph 34, Absatz 3, nicht entspricht, oder
den gemäß § 39 Abs. 2 angeordneten Durchsetzungsmaßnahmen nicht fristgerecht nachkommt, sofern nicht wegen desselben zugrundeliegenden Sachverhalts eine Strafbarkeit nach den Abs. 1 oder 4 besteht,den gemäß Paragraph 39, Absatz 2, angeordneten Durchsetzungsmaßnahmen nicht fristgerecht nachkommt, sofern nicht wegen desselben zugrundeliegenden Sachverhalts eine Strafbarkeit nach den Absatz eins, oder 4 besteht,
begeht eine Verwaltungsübertretung und ist mit einer Geldstrafe nach Maßgabe der Abs. 2 und 3 zu bestrafen.begeht eine Verwaltungsübertretung und ist mit einer Geldstrafe nach Maßgabe der Absatz 2 und 3 zu bestrafen.
(2)Absatz 2,Wer als wesentliche Einrichtung (§ 24 Abs. 1) eine Verwaltungsübertretung gemäß Abs. 1 begeht, ist mit Geldstrafe in Höhe von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.Wer als wesentliche Einrichtung (Paragraph 24, Absatz eins,) eine Verwaltungsübertretung gemäß Absatz eins, begeht, ist mit Geldstrafe in Höhe von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.
(3)Absatz 3,Wer als wichtige Einrichtung (§ 24 Abs. 2) eine Verwaltungsübertretung gemäß Abs. 1 begeht, ist mit Geldstrafe in Höhe von bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.Wer als wichtige Einrichtung (Paragraph 24, Absatz 2,) eine Verwaltungsübertretung gemäß Absatz eins, begeht, ist mit Geldstrafe in Höhe von bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.
(4)Absatz 4,Wer
sich bei der Cybersicherheitsbehörde nicht fristgerecht gemäß § 29 Abs. 3 registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt,sich bei der Cybersicherheitsbehörde nicht fristgerecht gemäß Paragraph 29, Absatz 3, registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt,
der Cybersicherheitsbehörde Änderungen gemäß § 29 Abs. 4 nicht im dort vorgegebenen Zeitraum bekannt gibt,der Cybersicherheitsbehörde Änderungen gemäß Paragraph 29, Absatz 4, nicht im dort vorgegebenen Zeitraum bekannt gibt,
seiner Verpflichtung zur Führung einer Datenbank gemäß § 30 Abs. 1 nicht nachkommt,seiner Verpflichtung zur Führung einer Datenbank gemäß Paragraph 30, Absatz eins, nicht nachkommt,
entgegen § 30 Abs. 3 über keine Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, verfügt oder diese Vorgaben und Verfahren nicht öffentlich zugänglich macht,entgegen Paragraph 30, Absatz 3, über keine Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, verfügt oder diese Vorgaben und Verfahren nicht öffentlich zugänglich macht,
entgegen § 30 Abs. 4 nicht unverzüglich nach der Registrierung eines Domänenamens die nicht personenbezogenen Domänennamen-Registrierungsdaten öffentlich zugänglich macht,entgegen Paragraph 30, Absatz 4, nicht unverzüglich nach der Registrierung eines Domänenamens die nicht personenbezogenen Domänennamen-Registrierungsdaten öffentlich zugänglich macht,
entgegen § 30 Abs. 5 trotz rechtmäßigen und begründeten Antrags keinen Zugang zu den Domänennamen-Registrierungsdaten gewährt, alle Anträge auf Zugang nicht unverzüglich, längstens jedoch innerhalb von 72 Stunden nach Eingang des jeweiligen Antrags, beantwortet oder die Vorgaben und Verfahren im Hinblick auf die Offenlegung solcher Daten nicht öffentlich zugänglich macht,entgegen Paragraph 30, Absatz 5, trotz rechtmäßigen und begründeten Antrags keinen Zugang zu den Domänennamen-Registrierungsdaten gewährt, alle Anträge auf Zugang nicht unverzüglich, längstens jedoch innerhalb von 72 Stunden nach Eingang des jeweiligen Antrags, beantwortet oder die Vorgaben und Verfahren im Hinblick auf die Offenlegung solcher Daten nicht öffentlich zugänglich macht,
entgegen § 33 Abs. 1 seiner Verpflichtung zur Selbstdeklaration nicht fristgerecht nachkommt,entgegen Paragraph 33, Absatz eins, seiner Verpflichtung zur Selbstdeklaration nicht fristgerecht nachkommt,
in einer Selbstdeklaration gemäß § 33 Abs. 1 wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen macht,in einer Selbstdeklaration gemäß Paragraph 33, Absatz eins, wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen macht,
entgegen § 33 Abs. 3 seiner Verpflichtung zur Übermittlung eines Prüfberichts nicht fristgerecht nachkommt,entgegen Paragraph 33, Absatz 3, seiner Verpflichtung zur Übermittlung eines Prüfberichts nicht fristgerecht nachkommt,
entgegen § 33 Abs. 5 der Cybersicherheitsbehörde die geplanten Prüfungen nicht fristgerecht bekanntgibt,entgegen Paragraph 33, Absatz 5, der Cybersicherheitsbehörde die geplanten Prüfungen nicht fristgerecht bekanntgibt,
seiner Verpflichtung zur Bekanntgabe von Abschlüssen sowie Rücktritten von Vereinbarungen zum Informationsaustausch gemäß § 36 Abs. 4 nicht entspricht,seiner Verpflichtung zur Bekanntgabe von Abschlüssen sowie Rücktritten von Vereinbarungen zum Informationsaustausch gemäß Paragraph 36, Absatz 4, nicht entspricht,
die Durchführung einer Kontrolle der jeweiligen Einrichtung gemäß § 38 Abs. 1 Z 1 be- oder verhindert,die Durchführung einer Kontrolle der jeweiligen Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer eins, be- oder verhindert,
die Durchführung von Sicherheitsscans betreffend die jeweilige Einrichtung gemäß § 38 Abs. 1 Z 2 be- oder verhindert,die Durchführung von Sicherheitsscans betreffend die jeweilige Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer 2, be- oder verhindert,
seiner Verpflichtung zur Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte gemäß § 38 Abs. 1 Z 3 nicht entspricht,seiner Verpflichtung zur Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte gemäß Paragraph 38, Absatz eins, Ziffer 3, nicht entspricht,
seiner Verpflichtung zur Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung gemäß § 38 Abs. 1 Z 4 nicht entspricht,seiner Verpflichtung zur Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung gemäß Paragraph 38, Absatz eins, Ziffer 4, nicht entspricht,
die Durchführung einer Ad-hoc-Prüfung der jeweiligen Einrichtung gemäß § 38 Abs. 1 Z 5 be- oder verhindert,die Durchführung einer Ad-hoc-Prüfung der jeweiligen Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer 5, be- oder verhindert,
den gemäß § 39 Abs. 3 Z 1 lit. a und b angeordneten Maßnahmen nicht fristgerecht nachkommt,den gemäß Paragraph 39, Absatz 3, Ziffer eins, Litera a, und b angeordneten Maßnahmen nicht fristgerecht nachkommt,
den Überwachungsbeauftragten gemäß § 39 Abs. 3 Z 2 bei seiner Tätigkeit behindert oderden Überwachungsbeauftragten gemäß Paragraph 39, Absatz 3, Ziffer 2, bei seiner Tätigkeit behindert oder
seiner Verpflichtung zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse gemäß § 40 nicht nachkommt,seiner Verpflichtung zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse gemäß Paragraph 40, nicht nachkommt,
ist mit Geldstrafe in Höhe von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR zu bestrafen.
Zuletzt aktualisiert am
30.12.2025
Dokumentnummer
NOR40273906