Österreich erlaubt Bescheide ohne Menschen, eine Woche später startet die Cyber-Aufsicht

Der Nationalrat hat am 24. September einen neuen §18a in das Allgemeine Verwaltungsverfahrensgesetz 1991 eingefügt. Behörden dürfen damit schriftliche Bescheide vollautomatisiert erlassen, ohne dass ein Mensch den einzelnen Fall ansieht. Die Zustimmung des Bundesrats gilt als Formsache.

Erfasst sind erstinstanzliche Bescheide, Verwaltungsstrafverfügungen und Anonymverfügungen. In Berufungsverfahren und in ordentlichen Verwaltungsstrafverfahren bleibt der Mensch zuständig.

An Bedingungen hängt das Ganze schon. Die Angelegenheit muss für eine vollautomatisierte Erledigung geeignet sein, die Behörde muss bestimmenden Einfluss behalten, wobei Stichproben genügen und keine Kontrolle jedes Einzelfalls verlangt wird.

Dazu kommen eine dokumentierte Testphase und die Vorgabe, dass das System technisch nachvollziehbar sein muss. Selbstlernende KI ist ausgeschlossen.

Welche Verfahren automatisiert werden, entscheidet jede Verwaltungseinheit für sich. Eine Liste erlaubter Verfahrensarten steht nicht im Gesetz.

Der Rechtsschutz besteht aus einer Frist. Betroffene können binnen zwei Wochen Vorstellung erheben, ohne Begründung, der Bescheid wird damit rückwirkend nichtig und ein Mensch muss neu entscheiden. Wer die zwei Wochen versäumt, hat den automatisierten Bescheid.

Die FPÖ hält die Bestimmungen für „zu unbestimmt, zu weitreichend und verfassungsmäßig fragwürdig“. Die Grünen kritisieren, dass unklar bleibt, wer für Fehler verantwortlich ist, und dass über die Automatisierung die Behörden entscheiden und nicht das Parlament.

Sieben Tage nach dem Beschluss beginnt der zweite Teil. Am 1. Oktober tritt das Netz- und Informationssystemsicherheitsgesetz 2026 in Kraft, mit dem Österreich die NIS2-Richtlinie umsetzt, und das neue Bundesamt für Cybersicherheit nimmt seine Arbeit auf. Es ist dem Innenminister nachgeordnet; erster Direktor ist Markus Kasinger, davor CIO der Austrian Power Grid AG.

Betroffene Unternehmen und Behörden müssen sich registrieren, IT-Vorfälle melden und ihre leitenden Mitarbeiter in IT-Sicherheit schulen lassen. Gemeinden sind ausgenommen, für den Finanzsektor geht die EU-Verordnung DORA vor.

Die Fristen sind eng. Eine Frühwarnung ist binnen 24 Stunden fällig, die vollständige Meldung binnen 72 Stunden, der Abschlussbericht binnen eines Monats.

Die Wirtschaftskammer rechnet mit rund 4.000 betroffenen Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren. Registriert sein müssen sie binnen drei Monaten, also bis Ende Dezember 2026. Für wesentliche Einrichtungen sind Strafen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent.

Eine Befugnis fällt auf: Das Bundesamt darf fremde, ans Internet angebundene Systeme wesentlicher Einrichtungen aktiv scannen. Diese Scans zu blockieren ist strafbar, mitwirken muss man auf Aufforderung auch.

Aus demselben Gesetzespaket stammt ein dritter Punkt, der KI-Rechenzentren direkt trifft: eine Umweltprüfung für Rechenzentren, dazu die Erlaubnis von CO2-Speicherung.

Zusammengenommen ergibt die Woche ein Bild, das man so selten sieht. Der Staat automatisiert seine eigenen Entscheidungen und baut gleichzeitig eine Aufsicht auf, die von anderen Sorgfalt im Umgang mit IT-Systemen verlangt. Bleibt die Frage, wer in zwei Jahren prüft, ob die Bescheid-Automaten der Behörden selbst nachvollziehbar geblieben sind.