NISG 2026: Was das neue Gesetz für KI-Agenten bedeutet

Seit 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), die nationale Umsetzung der NIS2-Richtlinie. Künstliche Intelligenz kommt im Gesetzestext nicht vor, ein KI-Agent auch nicht. Unsere These: Gerade deshalb erfasst das Gesetz Agenten in betroffenen Einrichtungen vollständig. Ein Agent mit Zugriff auf Postfach, Ablage oder Fachsoftware ist ein privilegiertes Konto, und dafür verlangen Gesetz und Verordnung Zugriffskontrolle, Protokolle und Vorfallmeldung. Stand: 19. Oktober 2026.

Was seit 1. Oktober gilt und wer erfasst ist

Das NISG 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und trat nach § 51 neun Monate später mit dem folgenden Monatsersten in Kraft. Zuständig ist das Bundesamt für Cybersicherheit (§ 3a). Erfasst sind grundsätzlich Einrichtungen der Sektoren in Anlage 1 und 2 ab mittlerer Größe, also ab 50 Beschäftigten oder mit mehr als zehn Millionen Euro Jahresumsatz und Jahresbilanzsumme (§§ 24, 25). Große Einrichtungen aus Anlage 1, zu der das Gesundheitswesen zählt, gelten als wesentlich, mittlere aus Anlage 1 und Einrichtungen aus Anlage 2 als wichtig.

Kanzleien und Steuerberatungen sind kein eigener Sektor, Arztpraxen fallen erst ab mittlerer Größe darunter. Kleinere Betriebe können als Dienstleister erfasster Einrichtungen trotzdem betroffen sein.

Ein Agent ist ein privilegiertes Konto

Anders als ein Chatbot ruft ein Agent selbst Werkzeuge auf (Was ist ein KI-Agent?). § 32 verlangt von erfassten Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen, darunter Konzepte für die Zugriffskontrolle (Abs. 4 lit. i), Sicherheit der Lieferkette (lit. d) sowie Sicherheit bei Erwerb und Entwicklung von Systemen (lit. e). Konkret wird das durch die am 1. Oktober 2026 kundgemachte NISV 2026: Sie erklärt die Anforderungen der Durchführungsverordnung (EU) 2024/2690 für alle Arten erfasster Einrichtungen für anwendbar, nicht nur für digitale Anbieter. Drei Vorgaben aus deren Anhang treffen Agenten direkt:

• Rechte nach Bedarf: Zugriffsrechte werden nach Need-to-know, Need-to-use und Aufgabentrennung vergeben und entzogen (Nr. 11.2.2). Ein Agent, der Belege sortiert, braucht kein Schreibrecht in der Buchhaltung: Least Privilege und Rollentrennung in Verordnungsform.
• Privilegierte Konten: Für privilegierte Konten und Systemverwaltungskonten verlangt der Anhang eigene Konzepte, starke Authentifizierung und möglichst eng zugeschnittene Rechte (Nr. 11.3). Ein Agent unter dem Konto der Geschäftsführung passt dazu kaum.
• Protokolle: Soweit angemessen, erfassen Protokolle die Erweiterung von Berechtigungen sowie alle privilegierten Zugriffe und Aktivitäten von Verwaltungskonten (Nr. 3.2.3). Ein Chatverlauf genügt nicht, nötig ist ein Audit-Trail je Aktion.

Wann ein Agent-Vorfall meldepflichtig wird

Erfasste Einrichtungen melden jeden erheblichen Cybersicherheitsvorfall dem zuständigen CSIRT (§ 34), Einrichtungen des Gesundheitswesens dem Austrian HealthCERT (§ 8a GTelG 2012). Erheblich ist ein Vorfall nach § 35, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder andere Personen erheblich schädigt oder schädigen kann. Jedenfalls erheblich sind laut NISG-Verordnung unter anderem der Abfluss von Geschäftsgeheimnissen und ein erfolgreicher, mutmaßlich böswilliger unbefugter Zugriff mit wahrscheinlich schwerwiegenden Betriebsstörungen (§ 5 Abs. 1 Z 2 und 5 NISV 2026).

Ein gedachtes Beispiel: Ein Klinikbetreiber mittlerer Größe lässt einen Agenten eingehende E-Mails vorsortieren. Eine präparierte Nachricht bringt ihn per indirekter Prompt Injection dazu, Befunde an eine fremde Adresse weiterzuleiten. Den Mechanismus erklärt unser Beitrag zu Prompt Injection bei KI-Agenten, reale Fälle zeigen dokumentierte Vorfälle. Ob ein solcher Datenabfluss erheblich ist, muss die Einrichtung rasch einschätzen, denn ab Kenntnis eines erheblichen Vorfalls läuft die 24-Stunden-Frist. Das gelingt nur, wenn belegbar ist, was der Agent wann auf wessen Anlass getan hat.

Lieferkette: Modellanbieter und Agenten-Plattformen

Agenten bestehen meist aus zugekauften Teilen: Sprachmodell, Plattform, Erweiterungen. § 32 Abs. 4 lit. d verlangt, Schwachstellen und Sicherheitspraxis der unmittelbaren Anbieter zu berücksichtigen. Die NISV 2026 führt Risiken in der IKT-Lieferkette als eigene Risikokategorie (§ 3), und die Selbstdeklaration nach § 33 Abs. 1 fragt ausdrücklich nach der Sicherheit der Lieferketten. Klären Sie deshalb, wohin Prompts und Dokumente fließen und wer Modell und Plattform aktualisiert. Anbieter von Cloud- und verwalteten Diensten können selbst erfasst sein (Anlage 1 Nr. 8 und 9), Ihre eigene Risikoanalyse ersetzt das nicht.

Was die Geschäftsführung wissen muss

Die Leitungsorgane stellen die Einhaltung der Risikomanagementmaßnahmen sicher, beaufsichtigen sie und nehmen selbst an Cybersicherheitsschulungen teil. Den Mitarbeitenden sind regelmäßig entsprechende Schulungen anzubieten (§ 31). Den Prüfbericht einer unabhängigen Stelle unterzeichnen die Leitungsorgane mit (§ 33 Abs. 3). Kommt eine wesentliche Einrichtung einem Bescheid nicht nach, kann die Behörde ihren Leitungsorganen die Leitungsaufgaben vorübergehend untersagen (§ 39 Abs. 4 Z 2).

Wer etwa Risikomanagementmaßnahmen nicht umsetzt oder Meldepflichten verletzt, riskiert als wesentliche Einrichtung bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, als wichtige bis zu 7 Millionen Euro oder 1,4 Prozent, je nachdem, welcher Betrag höher ist (§ 45). Erster Schritt ist eine Inventur aller Agenten und ihrer Rechte, wie in unserem Beitrag Was ist KI-Agenten-Governance? beschrieben.

Kontrolle, die sich nachweisen lässt

AEGIS, das lokal betriebene Agentensystem von oQueo, liefert technische Bausteine für mehrere der genannten Anforderungen: Das Sprachmodell selbst hat keine Zugangsdaten, Werkzeuge stehen auf einer Positivliste mit Default-Deny und einer Höchststufe je Agent, ausgeführt wird nur, was eine unabhängige Prüfinstanz signiert hat, und jede Entscheidung landet in einem nur anhängenden Audit-Log als SHA-256-Hash-Kette. Das unterstützt Ihre Pflichten aus dem NISG 2026, ersetzt aber weder Risikoanalyse noch rechtliche Bewertung. Mehr dazu unter Sicherheit.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.