Österreich hat als kleiner, hochdigitalisierter Markt eine schlanke Aufsichtsarchitektur. Für Hersteller mit Sitz in Wien, Graz oder Linz — oder mit österreichischen Bevollmächtigten — ist der Meldeweg klar geregelt, die operative Umsetzung aber anspruchsvoller als es aussieht.
Zuständige Meldebehörde: GovCERT.gv.at
Nationaler CSIRT nach Art. 14 CRA ist GovCERT Austria im Bundeskanzleramt / Bundesministerium für Inneres. Kontakt: reports@govcert.gv.at, Web https://www.govcert.gv.at. Alternativ steht CERT.at (nic.at) als Community-CSIRT bereit — für CRA-Meldungen ist aber GovCERT die formell zuständige Stelle.
Marktüberwachung
Marktüberwachungsbehörde für Cybersicherheit von Produkten wird voraussichtlich das Bundesministerium für Inneres (BMI) in Kooperation mit der Rundfunk- und Telekom Regulierungs-GmbH (RTR) — bereits heute NIS-Koordinationsstelle. Zoll und Wirtschaftskammer flankieren den Vollzug.
Notified Bodies
TÜV Austria positioniert sich für die CRA-Notifizierung. Für viele österreichische Hersteller wird die tatsächliche Konformitätsbewertung aber pragmatisch bei deutschen oder tschechischen Notified Bodies stattfinden — Sprache und Kapazität sind meist entscheidend, nicht das Land.
Sprachanforderungen
Deutsch ist Pflichtsprache für nutzerseitige Dokumentation und Konformitätserklärung. Die technische Dokumentation nach Anhang VII darf in Englisch geführt werden.
Praktischer Fahrplan
- GovCERT-Kontakt aufsetzen und PGP-Schlüssel austauschen (Meldungen sind verschlüsselt zu übermitteln).
- 24-h-Rufbereitschaft aufbauen — für kleinere österreichische Hersteller oft die härteste Hürde.
- Prüfen Sie, ob ein EU-Bevollmächtigter in Österreich sinnvoll ist, wenn Sie außerhalb der Union produzieren.
- Nutzen Sie das RTR-NIS-Informationsangebot als Frühwarnkanal für nationale Umsetzungsdetails.