NIS2 · NISG 2026
Cybersicherheit wird zur gesetzlichen Pflicht.
Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die EU-Richtlinie NIS2 in Österreich um. Es tritt am 1. Oktober 2026 in Kraft, betrifft mittlere und große Unternehmen aus 18 Sektoren und verlangt Registrierung, nachweisbare Sicherheitsmaßnahmen und Meldungen binnen Stunden. Diese Seite sagt Ihnen, ob Sie dazugehören und was bis wann zu tun ist.
- Gilt ab 1. Oktober 2026
- 18 Sektoren
- Bußgelder bis 10 Mio. €
AUSGANGSLAGE
Aus einer Empfehlung wird eine Pflicht mit Frist.
IT-Sicherheit war für die meisten österreichischen Betriebe bisher eine Frage der Vernunft: Man tut, was man für angemessen hält, und niemand verlangt einen Nachweis. Mit dem NISG 2026 endet das für einen erheblichen Teil der Wirtschaft. Ab dem 1. Oktober 2026 ist ein definierter Satz an Sicherheitsmaßnahmen nicht mehr gute Praxis, sondern geltendes Recht — mit Registrierungspflicht, Meldefristen in Stunden, behördlicher Aufsicht und einem Strafrahmen, der bis zu zehn Millionen Euro reicht.
Der Weg dorthin war lang. Die EU-Richtlinie NIS2 hätte bis 17. Oktober 2024 in nationales Recht gegossen werden müssen. Österreich hat diese Frist versäumt, kassierte dafür ein Vertragsverletzungsverfahren, und erst am 12. Dezember 2025 beschloss der Nationalrat das Gesetz mit der nötigen Zweidrittelmehrheit. Kundgemacht wurde es am 23. Dezember 2025. Diese Verzögerung hat bei vielen Unternehmen den Eindruck hinterlassen, das Thema erledige sich von selbst. Das Gegenteil ist eingetreten: Der Gesetzestext steht, das Datum steht, und die Vorbereitungszeit, die andere Mitgliedstaaten über zwei Jahre verteilen konnten, ist hier auf wenige Monate zusammengeschmolzen.
Dazu kommt die Eigenheit, die dieses Gesetz von der DSGVO unterscheidet: Es gibt keinen Bescheid. Niemand teilt Ihnen mit, dass Sie betroffen sind. Die Einordnung ist eine Selbsteinschätzung, die Registrierung eine Bringschuld, und wer sich für nicht betroffen hält und damit falschliegt, hat die Frist trotzdem versäumt. Der erste Schritt ist deshalb kein technischer, sondern eine ehrliche Antwort auf die Frage, in welchen Sektor Ihr Unternehmen fällt und wie groß es im Sinne des Gesetzes ist.
ANWENDUNGSBEREICH
Drei Wege führen in den Anwendungsbereich.
Das Gesetz kombiniert zwei Kriterien: den Sektor, in dem Sie tätig sind, und die Größe Ihres Unternehmens. Aus dieser Kombination ergibt sich, ob Sie als wesentliche oder als wichtige Einrichtung gelten — und damit, wie streng Sie beaufsichtigt werden. Der dritte Weg steht in keiner Anlage und trifft trotzdem die meisten KMU: die Lieferkette.
Wesentliche Einrichtung
Große Unternehmen aus den elf Sektoren mit hoher Kritikalität (Anlage 1). Sie unterliegen proaktiver Aufsicht: Die Cybersicherheitsbehörde kann prüfen, ohne dass ein Anlass vorliegt. Strafrahmen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Wert höher ist.
Wichtige Einrichtung
Mittlere Unternehmen aus Anlage-1-Sektoren sowie alle mittleren und großen Unternehmen aus den sieben sonstigen kritischen Sektoren (Anlage 2). Geprüft wird hier nur anlassbezogen, also bei Verdacht oder nach einem Vorfall. Strafrahmen bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Zulieferer und Dienstleister
Sie fallen selbst nicht unter das Gesetz, beliefern aber jemanden, der es tut. Betroffene Einrichtungen müssen die Sicherheit ihrer unmittelbaren Anbieter gewährleisten und geben ihre Pflichten deshalb vertraglich weiter. Für viele kleine Betriebe kommt NIS2 nicht über die Behörde, sondern über den Einkauf des größten Kunden.
Was „mittel“ und „groß“ im Gesetz bedeuten
- Großes Unternehmen
- ab 250 Mitarbeitern — oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme
- Mittleres Unternehmen
- ab 50 Mitarbeitern — oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme
- Kleines Unternehmen
- grundsätzlich ausgenommen — mit Ausnahmen, die unabhängig von der Größe gelten (siehe unten)
Maßgeblich sind § 25 NISG 2026 und die EU-Definition der Unternehmensgrößen. Verbundene Unternehmen werden mitgerechnet — eine Konzerntochter ist nicht automatisch klein, nur weil sie an ihrem Standort wenige Mitarbeiter hat.
Die 18 Sektoren
Anlage 1 — hohe Kritikalität
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Verwaltung von IKT-Diensten (B2B)
- Öffentliche Verwaltung
- Weltraum
Anlage 2 — sonstige kritische Sektoren
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Anbieter digitaler Dienste
- Forschungseinrichtungen
FRISTEN
Vier Termine, an denen sich alles entscheidet.
Für die materiellen Pflichten gibt es keine Schonfrist. Risikomanagement, Meldeprozess und Zuständigkeiten müssen am Stichtag stehen, nicht erst zur ersten Prüfung. Die späteren Termine betreffen die Formalitäten — nicht die Substanz.
Das NISG 2026 tritt in Kraft
Das NISG 2018 tritt gleichzeitig außer Kraft. Ab diesem Tag gelten die Risikomanagement- und Meldepflichten vollständig. Wer an diesem Datum kein funktionierendes Backup, keine Zugriffskontrolle und keinen definierten Meldeweg hat, erfüllt das Gesetz nicht — auch wenn die erste behördliche Nachfrage noch Jahre entfernt ist.
Registrierung bei der Cybersicherheitsbehörde
Drei Monate nach Inkrafttreten müssen sich betroffene Einrichtungen registriert haben (§ 29 Abs. 3). Gemeldet werden unter anderem Name, Sektor, Kontaktdaten und die für Cybersicherheit verantwortliche Person. Ändern sich diese Angaben später, ist die Änderung binnen zwei Wochen nachzureichen.
Selbstdeklaration
Zwölf Monate nach Eintritt der Registrierungspflicht ist eine strukturierte Erklärung einzureichen (§ 29 Abs. 2): welche Netz- und Informationssysteme im Einsatz sind, wie die Lieferkette abgesichert ist und welche Risikomanagementmaßnahmen umgesetzt wurden, samt Ergebnissen der Risikoanalyse. Das ist der Punkt, an dem sich zeigt, ob im Jahr davor tatsächlich etwas geschehen ist.
Nachweise und Prüfungen
Erst zwei Jahre nach Inkrafttreten darf die Behörde Nachweise über die tatsächliche Umsetzung der Risikomanagementmaßnahmen verlangen. Als Nachweis gelten unter anderem Zertifizierungen nach ISO/IEC 27001 und Penetrationstests. Bei wesentlichen Einrichtungen kann geprüft werden, ohne dass ein Vorfall vorausgegangen ist.
MASSNAHMENKATALOG
Zehn Maßnahmen, die das Gesetz namentlich verlangt.
Der Katalog ist keine Empfehlung und keine Auswahl. Er ist der Mindeststandard, an dem im Anlassfall gemessen wird — und er ist bewusst technologieneutral formuliert, damit ein Betrieb mit 60 Arbeitsplätzen ihn ebenso erfüllen kann wie ein Konzern. Angemessen heißt dabei: passend zum Risiko, zur Größe und zu den möglichen Folgen eines Ausfalls.
Risikoanalyse und Sicherheitskonzepte
Eine dokumentierte Bewertung, welche Systeme geschäftskritisch sind, welche Bedrohungen realistisch sind und welche Maßnahmen daraus folgen. Ohne diese Grundlage ist keine der übrigen neun Maßnahmen begründbar.
Bewältigung von Sicherheitsvorfällen
Ein festgelegter Ablauf für Erkennung, Eindämmung, Behebung und Meldung — mit benannten Zuständigkeiten. Wer im Ernstfall erst klärt, wer entscheiden darf, verliert die 24-Stunden-Frist im Organisatorischen.
Betriebskontinuität und Backup
Sicherung, Wiederherstellung und Krisenmanagement, einschließlich der Frage, wie lange der Betrieb ohne welches System bestehen kann. Ein Backup, dessen Rückspielung nie getestet wurde, erfüllt diesen Punkt nicht.
Sicherheit der Lieferkette
Die Sicherheit der unmittelbaren Anbieter und Dienstleister ist mitzuverantworten — vertraglich und in der Praxis. Das betrifft auch Ihren IT-Dienstleister, Ihre Cloud-Anbieter und jeden mit Fernzugriff auf Ihre Systeme.
Sichere Beschaffung, Entwicklung und Wartung
Schwachstellenmanagement über den gesamten Lebenszyklus: bekannte Lücken müssen erkannt, bewertet und in angemessener Zeit geschlossen werden. Das ist die Maßnahme, an der ungepatchte Systeme scheitern.
Bewertung der Wirksamkeit
Konzepte und Verfahren, mit denen überprüft wird, ob die getroffenen Maßnahmen tatsächlich wirken. Getroffen und wirksam sind zwei verschiedene Aussagen, und das Gesetz verlangt die zweite.
Cyberhygiene und Schulungen
Grundlegende Sicherheitspraxis im Alltag und regelmäßige Schulung der Mitarbeiterinnen und Mitarbeiter. Die Geschäftsleitung selbst ist ausdrücklich zur Teilnahme verpflichtet.
Kryptografie und Verschlüsselung
Konzepte für den Einsatz von Verschlüsselung — bei der Übertragung ebenso wie bei ruhenden Daten, insbesondere auf mobilen Geräten und in Sicherungen.
Personalsicherheit, Zugriff und Assets
Zugriffskontrolle nach dem Prinzip der geringsten Rechte, ein gepflegtes Verzeichnis der Anlagen und Systeme, und geregelte Abläufe beim Ein- und Austritt von Personal. Das Konto einer längst ausgeschiedenen Mitarbeiterin ist hier ein Verstoß, kein Schönheitsfehler.
Multi-Faktor-Authentifizierung
MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie eine Notfallkommunikation, die auch dann funktioniert, wenn die eigenen Systeme kompromittiert sind.
IM ERNSTFALL
Was bei einem Vorfall passiert — und was er kosten kann.
Ein erheblicher Cybersicherheitsvorfall löst eine Meldekette an das zuständige CSIRT aus. Die erste Frist läuft in Stunden, nicht in Tagen, und sie beginnt mit der Kenntnisnahme — nicht mit dem Abschluss der Analyse. Wer erst dann meldet, wenn er versteht, was passiert ist, meldet zu spät.
24 Stunden — Frühwarnung
Eine erste Meldung, dass ein erheblicher Vorfall vorliegt, samt der Einschätzung, ob rechtswidriges oder böswilliges Handeln vermutet wird. Es geht hier nicht um Vollständigkeit, sondern um Geschwindigkeit.
72 Stunden — Meldung
Die eigentliche Vorfallsmeldung mit einer ersten Bewertung von Schweregrad, Auswirkungen und, soweit bekannt, den Kompromittierungsindikatoren.
Ein Monat — Abschlussbericht
Eine ausführliche Beschreibung des Vorfalls, seiner Ursache, der ergriffenen Abhilfemaßnahmen und der grenzüberschreitenden Auswirkungen.
Strafrahmen
- Wesentliche Einrichtungenbis 10 Mio. € oder 2 %des weltweiten Jahresumsatzes — maßgeblich ist der höhere Wert.
- Wichtige Einrichtungenbis 7 Mio. € oder 1,4 %des weltweiten Jahresumsatzes — ebenfalls der höhere der beiden Werte.
- Organisatorische Verstößebis 50.000 €etwa für eine versäumte Registrierung; im Wiederholungsfall bis 100.000 €.
UNSER ANTEIL
Was davon wir für Sie übernehmen.
Der Maßnahmenkatalog liest sich wie eine Aufzählung dessen, was ein ordentlich betreuter IT-Betrieb ohnehin tut. Genau das ist er auch. Der Unterschied zwischen „wir machen das schon“ und „wir können das belegen“ ist die Dokumentation — und die ist ab Oktober der eigentliche Prüfgegenstand. Unsere drei Stufen decken den technischen Teil dieses Katalogs ab; hier steht, welcher Punkt zu welcher gehört.
Bestandsaufnahme und Inventar
Ein vollständiges Verzeichnis aller Geräte, Betriebssysteme, Lizenzen und Zugänge — die Grundlage sowohl für die Risikoanalyse als auch für die Frage „was war betroffen“ nach einem Vorfall.
ManagePatch- und Schwachstellenmanagement
Automatisierte Aktualisierung von Betriebssystemen und Drittanbieter-Software, mit Protokoll darüber, was wann geschlossen wurde. Deckt die Maßnahme zur sicheren Wartung ab.
ManageMonitoring rund um die Uhr
Überwachung, die einen Vorfall bemerkt, während die 24-Stunden-Frist noch läuft. Ohne kontinuierliche Erkennung beginnt die Frist faktisch erst, wenn jemandem zufällig etwas auffällt.
ManageDokumentation und Nachweise
Regelmäßiges Reporting über Zustand, Updates, Vorfälle und Sicherungsläufe. Das ist das Material, aus dem die Selbstdeklaration 2027 und ein späterer Nachweis gegenüber der Behörde entstehen.
ManageEndpoint-Schutz und Angriffserkennung
Geräteschutz und EDR auf der Kaseya-Plattform — die technische Seite von Vorfallserkennung und -bewältigung.
ProtectZugriffskontrolle und MFA
Rechtevergabe nach dem Prinzip der geringsten Rechte, Multi-Faktor-Authentifizierung und geregelte Abläufe bei Ein- und Austritten. Deckt zwei der zehn Maßnahmen direkt ab.
ProtectBackup und getestete Wiederherstellung
Gesicherte Daten, dokumentierte Wiederherstellungszeiten und die regelmäßige Probe darauf, dass die Rückspielung tatsächlich funktioniert.
RecoverNotfallplan und Krisenkommunikation
Ein festgelegter Ablauf für den Ernstfall, samt Kommunikationswegen, die auch dann tragen, wenn die eigenen Systeme kompromittiert sind.
Recover
Die drei Stufen im Detail
ABLAUF
Wie ein NIS2-Projekt bei uns abläuft.
Kein Standardpaket, sondern die Reihenfolge, in der die Arbeit tatsächlich sinnvoll ist. Der erste Schritt kostet Sie ein Gespräch — und beantwortet in den meisten Fällen schon die Frage, ob die übrigen drei überhaupt nötig sind.
Betroffenheit klären
Sektor, Größe, Konzernstruktur und Kundenverträge. Am Ende steht eine klare Aussage: betroffen als wesentliche Einrichtung, als wichtige Einrichtung, über die Lieferkette — oder gar nicht. Wenn Sie nicht betroffen sind, sagen wir Ihnen das auch.
Ist-Stand gegen den Katalog
Wir gehen die zehn Maßnahmen durch und halten fest, was bereits vorhanden ist, was vorhanden aber nicht belegbar ist, und was fehlt. Erfahrungsgemäß ist die zweite Kategorie die größte.
Lücken schließen
Die fehlenden Maßnahmen werden umgesetzt, nach Risiko geordnet — zuerst das, was einen Betrieb tatsächlich zum Stillstand bringen kann, dann das, was primär der Nachweisbarkeit dient.
Betrieb und Nachweis
Laufender Betrieb mit Monitoring, Reporting und einem definierten Meldeweg, damit die Fristen im Ernstfall eingehalten werden können — und damit die Selbstdeklaration im September 2027 aus vorhandenen Unterlagen entsteht statt aus einer Nachtschicht.
HÄUFIGE FRAGEN
Fragen zu NIS2 und dem NISG 2026
Wir haben unter 50 Mitarbeiter. Sind wir damit raus?
In den allermeisten Fällen ja — kleine Unternehmen sind grundsätzlich ausgenommen. Zwei Einschränkungen gibt es aber. Erstens gelten einige Einrichtungen unabhängig von ihrer Größe als betroffen, etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregister und Anbieter öffentlicher Kommunikationsnetze. Zweitens werden verbundene Unternehmen mitgerechnet: Eine Tochtergesellschaft mit 30 Mitarbeitern kann über den Konzern in die Kategorie „mittel“ oder „groß“ rutschen. Und selbst wenn Sie sauber draußen sind, kann Ihr größter Kunde Ihnen die Maßnahmen vertraglich vorschreiben.
Wer stellt fest, ob wir betroffen sind?
Sie selbst. Das ist der wichtigste Unterschied zu vielen anderen Vorschriften: Es gibt keinen Bescheid und keine Verständigung durch die Behörde. Die Einordnung ist eine Selbsteinschätzung, und die Registrierung bis 31. Dezember 2026 ist eine Bringschuld. Wer sich irrtümlich für nicht betroffen hält, hat die Frist dennoch versäumt. Genau deshalb ist die Betroffenheitsprüfung der erste und wichtigste Schritt — und deshalb sollte sie nicht allein auf dem Bauchgefühl der Geschäftsführung beruhen.
Wir sind nach ISO 27001 zertifiziert. Reicht das?
Für den technisch-organisatorischen Teil deckt eine gelebte ISO/IEC 27001 den Maßnahmenkatalog weitgehend ab, und die Zertifizierung wird ausdrücklich als Nachweis gegenüber der Behörde akzeptiert. Sie ersetzt aber nicht die eigenständigen Pflichten des Gesetzes: Registrierung, Selbstdeklaration, die Meldefristen von 24 und 72 Stunden und die persönliche Schulungs- und Aufsichtspflicht der Leitungsorgane. Eine Zertifizierung erspart Ihnen viel Arbeit, aber keinen dieser vier Punkte.
Können wir NIS2 einfach an Sie auslagern?
Die Umsetzung ja, die Verantwortung nein. Wir können Monitoring, Patching, Zugriffskontrolle, Backup, Notfallplan und die dazugehörige Dokumentation übernehmen — das ist der Großteil der Arbeit und der Teil, der laufend Aufwand macht. Nicht übertragbar ist die Pflicht der Geschäftsleitung, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen, und nicht übertragbar sind Ihre Erklärungen gegenüber der Behörde. Jeder Anbieter, der Ihnen etwas anderes verspricht, verkauft Ihnen eine Sicherheit, die das Gesetz nicht kennt.
Unser Kunde schickt uns einen NIS2-Fragebogen. Was jetzt?
Das ist die Lieferkettenpflicht in der Praxis: Betroffene Einrichtungen müssen die Sicherheit ihrer unmittelbaren Anbieter gewährleisten und geben das über Verträge und Fragebögen weiter. Für Sie heißt das, Sie müssen Auskunft über Ihre eigenen Maßnahmen geben können — Zugriffsregelungen, Patchstand, Backup, Meldewege. Wenn Sie diese Fragen nicht belastbar beantworten können, wird daraus im schlechtesten Fall ein Ausschreibungskriterium. Wir helfen dabei, solche Fragebögen ehrlich und vollständig zu beantworten.
Ist die NIS2-Meldung dasselbe wie eine DSGVO-Datenpanne?
Nein, und das wird häufig verwechselt. Die beiden Meldewege existieren nebeneinander und haben unterschiedliche Adressaten, Fristen und Auslöser. Ein Ransomware-Vorfall in einem betroffenen Unternehmen kann beides auslösen: die Frühwarnung binnen 24 Stunden an das zuständige CSIRT und, wenn personenbezogene Daten betroffen sind, zusätzlich die Meldung an die Datenschutzbehörde. Ein Notfallplan, der nur einen der beiden Wege kennt, ist unvollständig.
Was kostet die Umsetzung?
Das hängt fast vollständig davon ab, wo Sie heute stehen. Bei einem Betrieb, dessen IT bereits laufend betreut wird, ist ein erheblicher Teil des Katalogs schon erfüllt und es fehlt hauptsächlich die Dokumentation. Bei einer über Jahre gewachsenen Umgebung ohne Inventar, ohne Patchprozess und mit einem ungeprüften Backup ist es ein Projekt. Deshalb steht auf dieser Seite kein Preis: Die erste ehrliche Zahl entsteht nach der Bestandsaufnahme, nicht davor.
Wir sind spät dran. Ist das noch zu schaffen?
Ja, und der Zeitplan spricht dabei für Sie. Die Registrierung läuft bis 31. Dezember 2026, die Selbstdeklaration erst bis 30. September 2027, und Nachweise über die tatsächliche Umsetzung der Risikomanagementmaßnahmen darf die Behörde frühestens ab 1. Oktober 2028 verlangen. Ein Rückstand ist also aufholbar. Zwei Dinge warten allerdings nicht: Die Meldepflichten gelten ab dem Stichtag unabhängig davon, wie weit Sie mit dem Rest sind — und ein Vorfall hält sich ohnehin an keinen Termin. Der sinnvollste erste Schritt ist deshalb derselbe wie am ersten Tag: klären, ob und wie Sie betroffen sind.
Diese Seite fasst den Stand des NISG 2026 nach der Kundmachung vom 23. Dezember 2025 zusammen und dient der Orientierung. Sie ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der geltenden Fassung.