Welche Behörden sind in Österreich für den CRA zuständig?
CERT.at als koordinierendes CSIRT und das BKA als notifizierende Behörde; Marktüberwachungsbehörde, Rückfallverfahren und Begleitgesetz sind noch offen.
| Funktion | Rechtsgrundlage | Stand in Österreich (21. Oktober 2026) |
|---|---|---|
| Koordinierendes CSIRT für CRA-Meldungen | Art. 14 Abs. 7 CRA; § 11 NISG 2026 für die koordinierte Offenlegung | CERT.at, benannt laut ENISA-Liste vom 4. September 2026. Meldungen über die ENISA-Plattform erreichen CERT.at und ENISA gleichzeitig. Ein förmlicher österreichischer Benennungsakt war nicht auffindbar. |
| Notifizierende Behörde (für Konformitätsbewertungsstellen) | Art. 35 ff. CRA, einzurichten bis 11. Juni 2026 | Bundeskanzleramt über die Cybersicherheits-Zertifizierungsbehörde nach dem CSZG; Abstimmung mit Akkreditierung Austria. |
| Marktüberwachungsbehörde | Art. 52 ff. CRA, einzurichten bis 11. Dezember 2027 | Offen. Das BKA bezeichnete den Aufbau im September 2026 selbst als „Baustelle“; geplant ist eine Abstimmung mit der Marktüberwachung zum AI Act. Für beaufsichtigte Finanzinstitute ist eine Rolle der FMA denkbar, aber nicht festgelegt. |
| Rückfallverfahren bei Ausfall der ENISA-Plattform | ENISA-FAQ vom 17. September 2026, Frage 25 | Nicht veröffentlicht. Deutschland (E-Mail an CERT-Bund) und Irland haben nationale Ausweichwege beschrieben; für Österreich fehlt ein solcher Hinweis. |
| Nationales Begleitgesetz (CRA-Begleitgesetz) | Durchführung der Behörden- und Sanktionsvorschriften | Geplanter Weg laut BKA: Ministerrat März 2026, Nationalrat April, Bundesrat Mai, Kundmachung Juni 2026. Einen Beschluss im Bundesgesetzblatt konnten wir bei unserer Prüfung nicht bestätigen. |
Die WKO weist darauf hin, dass Meldungen über die Single Reporting Platform automatisch an CERT.at und ENISA weitergeleitet werden; dabei ist „I am an assigned representative“ und das CSIRT Österreich auszuwählen. Nach der ENISA-FAQ trägt der Hersteller das Risiko einer falschen Auswahl. Unternehmen sollten ihren rechtlichen Firmennamen eintragen.
Wie hoch sind die Bußgelder nach Art. 64 CRA?
Von 15 Mio. Euro oder 2,5 % bis 5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes; der Vollzug braucht eine Marktüberwachungsbehörde.
| Verstoß | Rahmen |
|---|---|
| Grundlegende Anforderungen nach Anhang I; Herstellerpflichten nach Art. 13 und 14 (einschließlich Meldepflichten) | bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist |
| Sonstige Pflichten der Verordnung | bis 10 Mio. Euro oder 2 % |
| Unrichtige, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden | bis 5 Mio. Euro oder 1 % |
| Ausnahmen (Abs. 10) | Kleinst- und Kleinunternehmen bei Versäumnis der Frühwarnfrist; Verwalter quelloffener Software bei jedem Verstoß – die Pflicht selbst bleibt, die übrigen Durchsetzungsbefugnisse ebenso |
Die Verhängung setzt eine nationale Behörde voraus. Solange die Marktüberwachung nicht eingerichtet ist, fehlt der Vollzug – nicht die Pflicht. Art. 17 Abs. 4 stellt klar, dass eine Meldung nach Art. 14 als solche keine erhöhte Haftung begründet.
Produkthaftung: Wo steht die Umsetzung der neuen Richtlinie?
Die Richtlinie (EU) 2024/2853 ersetzt die Produkthaftungsrichtlinie von 1985. Software ist ausdrücklich Produkt (Art. 4 Nr. 1); ein Produkt kann fehlerhaft sein, weil es sicherheitsrelevante Cybersicherheitsanforderungen nicht erfüllt (Art. 7 Abs. 2 lit. f); und wer ein nötiges Sicherheitsupdate nicht liefert, obwohl er es könnte, kann sich nicht darauf berufen, der Fehler sei erst später entstanden (Art. 11 Abs. 2 lit. c). Die Umsetzungsfrist endet am 9. Dezember 2026; die neuen Regeln gelten für Produkte, die danach in Verkehr gebracht werden.
Das Produkthaftungsgesetz gilt in der Fassung BGBl. I Nr. 98/2001; das Wort Software kommt darin nicht vor. Unter den 141 Ministerialentwürfen der XXVIII. Gesetzgebungsperiode betrifft keiner die Produkthaftung; eine Regierungsvorlage oder ein Initiativantrag liegt nicht vor; der Kommission hat Österreich keine Umsetzungsmaßnahme mitgeteilt. Zum Vergleich: In Deutschland liegt seit 25. Februar 2026 ein Regierungsentwurf im Bundestag (Drucksache 21/4297). Bis zum Inkrafttreten eines österreichischen Umsetzungsgesetzes gilt das alte Gesetz; eine Auslegung gegen das Gesetz ist auch richtlinienkonform nicht möglich. Wie ein verspätetes Gesetz Produkte behandelt, die zwischen dem 9. Dezember 2026 und seinem Inkrafttreten in Verkehr kommen, entscheidet seine Übergangsbestimmung – die niemand kennt, weil es keinen Text gibt. Der Verzug verschiebt den Zeitpunkt, nicht die Richtung.
Organhaftung: Was muss die Geschäftsleitung beim CRA organisieren?
Für Vorstand und Geschäftsführung ist der CRA eine Organisationspflicht. § 84 AktG und § 25 GmbHG verlangen die Sorgfalt eines ordentlichen Geschäftsleiters; § 39 BWG verpflichtet Kreditinstitute zu angemessenen Verfahren für das Management operationeller und IKT-Risiken, DORA konkretisiert das. Wer unter eigener Marke eine App im Store hat und seit 11. September 2026 keine Meldefähigkeit organisiert hat, verletzt eine bereits geltende Pflicht – ein Umstand, der in einer Prüfung durch Aufsicht, Abschlussprüfer oder Aufsichtsrat nicht als Zukunftsthema gilt. Die Themenseite Vorstandshaftung ordnet die Organpflichten im Zusammenhang ein.
NISG 2026 und CRA: Wie hängen die Meldewege zusammen?
Das NISG 2026 (BGBl. I Nr. 94/2025) ist seit 1. Oktober 2026 in Kraft; erfasste Einrichtungen registrieren sich bis 31. Dezember 2026 bei der Cybersicherheitsbehörde. Das CRA-Meldewesen läuft davon getrennt über die ENISA-Plattform, erreicht aber dasselbe CERT.at. Für Finanzunternehmen ist DORA das Spezialregime für IKT-Vorfälle; ein Produktvorfall kann dennoch alle drei Wege berühren – Produkt (CRA), Betreiber (DORA, an die FMA) und gegebenenfalls Einrichtung (NISG 2026).
Was sollte ein Institut in Österreich jetzt tun?
Fünf Schritte, von CERT.at im Runbook über die Ausrichtung der Update-Prozesse auf Dezember 2027 bis zur Information von Vorstand und Aufsichtsrat.
- CERT.at als koordinierendes CSIRT in Runbook und Plattformprofil hinterlegen; den direkten Kontaktweg dokumentieren, weil kein Rückfallverfahren veröffentlicht ist.
- Die Zuständigkeitsfrage Marktüberwachung beobachten – sie entscheidet, wer Bußgelder verhängt und Auskünfte nach Art. 13 Abs. 22 verlangt.
- Unterstützungszeitraum und Update-Prozess so aufsetzen, als gälte die Produkthaftungsrichtlinie ab 9. Dezember 2026 bereits – der Verzug des Gesetzgebers ändert die Richtung nicht.
- Den CRA-Stand in die Berichterstattung an Vorstand und Aufsichtsrat aufnehmen: Produktinventar, Rollen, Meldefähigkeit, Produktklasse, offene Nachweise.
- Den delegierten Rechtsakt nach Art. 27 Abs. 9, die Amtsblatt-Zitierung der Normen und das Begleitgesetz als datierte Beobachtungspunkte führen.
Häufige Fragen
An wen meldet ein österreichischer Hersteller nach Art. 14 CRA?
Über die ENISA Single Reporting Platform an CERT.at als koordinierendes CSIRT und gleichzeitig an ENISA. CERT.at ist bei der Meldung auszuwählen; die Plattform bestimmt die Zuständigkeit nicht selbst.
Welche Behörde verhängt in Österreich CRA-Bußgelder?
Die Marktüberwachungsbehörde nach Art. 52 ff. CRA. Sie ist bis 11. Dezember 2027 einzurichten und war zum 21. Oktober 2026 nicht benannt. Die Bußgeldrahmen des Art. 64 gelten unabhängig davon.
Gilt die neue Produkthaftung in Österreich ab 9. Dezember 2026?
Nur mit einem Umsetzungsgesetz. Bei unserer Prüfung am 8. Oktober 2026 lag kein Entwurf vor. Bis zum Inkrafttreten gilt das Produkthaftungsgesetz in der Fassung von 2001; die EU-Regeln kommen, offen ist nur, ab wann sie vor österreichischen Gerichten gelten.
Ist die FMA für den CRA zuständig?
Nicht nach dem CRA selbst. Die FMA ist Adressat der DORA-Meldungen. Ob ihr für beaufsichtigte Institute Aufgaben der CRA-Marktüberwachung übertragen werden, entscheidet das nationale Begleitgesetz.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).