Seit 1. Oktober 2026 gilt in Österreich das neue Netz- und Informationssystemsicherheitsgesetz, kurz NISG 2026. Es setzt die EU-Richtlinie NIS2 um und macht Cybersicherheit für tausende Unternehmen zur gesetzlichen Pflicht. Laut Wirtschaftskammer sind rund 4.000 Unternehmen und Einrichtungen aus 18 Sektoren direkt betroffen, dazu kommen viele Zulieferer, die über ihre Kunden in die Pflicht genommen werden.
Eine der besten deutschsprachigen Übersichten dazu hat der Wiener Jurist und Unternehmensberater Franz Kopp auf https://nis-2-ready.at zusammengestellt, ergänzend zu seinem Buch „Quick Guide NIS-2 in Österreich“ (Springer Gabler). Ich habe die Seite und ihre Ratgeber durchgearbeitet und fasse hier zusammen, was Geschäftsführerinnen und Geschäftsführer jetzt wissen müssen: wer betroffen ist, welche Fristen laufen, was im Ernstfall zu melden ist und welche Strafen drohen. Mein eigenes Unternehmen geht diesen Weg gerade selbst, deshalb ergänze ich an einigen Stellen, was sich in der Praxis gezeigt hat.
Was ist NIS2 und was ist das NISG 2026?
NIS2 ist die zweite EU-Richtlinie über Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie verpflichtet die Mitgliedstaaten, für kritische und wichtige Bereiche der Wirtschaft verbindliche Mindeststandards für Cybersicherheit einzuführen. Österreich hat das mit dem NISG 2026 getan, kundgemacht im BGBl. I Nr. 94/2025. Die operativen Bestimmungen gelten seit 1. Oktober 2026, die dazugehörige Verordnung NISV 2026 seit 2. Oktober 2026.
Der Kern des Gesetzes lässt sich in vier Sätzen sagen. Betroffene Unternehmen müssen sich registrieren. Sie müssen ein Risikomanagement für ihre IT aufbauen, das zehn festgelegte Themenfelder abdeckt. Sie müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden. Und die Geschäftsführung ist persönlich dafür verantwortlich, dass das alles passiert.
Bin ich betroffen? Die drei Prüffragen
Ob ein Unternehmen unter das NISG 2026 fällt, entscheidet sich nicht an der Branche allein und nicht an der Größe allein, sondern an beidem zusammen. Dazu kommen einige Sonderfälle, die unabhängig von der Größe gelten.
Die erste Frage ist die Größe. Erfasst sind grundsätzlich mittlere Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Als groß gilt ein Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Wichtig: Weniger als 50 Mitarbeiter schließen eine Betroffenheit nicht automatisch aus, weil auch die Finanzkennzahlen zählen. Bei Konzernen werden Partner- und verbundene Unternehmen grundsätzlich mitgerechnet, außer die Gesellschaft ist organisatorisch, technisch und operativ tatsächlich eigenständig.
Die zweite Frage ist die Tätigkeit. Das Gesetz listet in zwei Anlagen, welche Leistungen erfasst sind. Anlage 1 umfasst die Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anlage 2 umfasst sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe etwa bei Medizinprodukten, Elektronik, Maschinen und Fahrzeugen, digitale Dienste und Forschung. Entscheidend ist dabei die konkrete Leistung, wie sie im Gesetz beschrieben ist, nicht ein allgemeines Branchenetikett.
Die dritte Frage betrifft die Kunden. Auch wer selbst nicht erfasst ist, kann über seine Auftraggeber in die Pflicht kommen, weil diese ihre Lieferkette absichern müssen. Dazu weiter unten mehr.
Wesentliche oder wichtige Einrichtung?
Das NISG 2026 unterscheidet zwei Klassen. Große Unternehmen in einem Sektor der Anlage 1 sind in der Regel wesentliche Einrichtungen. Mittlere Unternehmen in beiden Anlagen sowie große Unternehmen in Anlage 2 sind wichtige Einrichtungen. Die Pflichten sind im Kern dieselben, wesentliche Einrichtungen unterliegen aber einer strengeren Aufsicht und einem höheren Strafrahmen.
Unabhängig von der Größe erfasst sind qualifizierte Vertrauensdiensteanbieter, Namensregister für Top-Level-Domains, DNS-Diensteanbieter und bestimmte Anbieter öffentlicher Kommunikationsdienste. Außerdem kann die Cybersicherheitsbehörde ein Unternehmen per Bescheid einstufen, etwa wenn es in Österreich der einzige Anbieter eines kritischen Dienstes ist. Genau dieser Fall betrifft mein eigenes Unternehmen: Weil wir DNS-Dienste betreiben, sind wir trotz unserer Größe eine wesentliche Einrichtung. Wer Hosting, Domains oder IT-Infrastruktur anbietet, sollte diesen Punkt daher besonders genau prüfen.
Die Fristen: Registrierung bis 31. Dezember 2026
Für Unternehmen, die die Voraussetzungen schon am 1. Oktober 2026 erfüllt haben, läuft der Fahrplan in vier Stationen.
Erstens die Registrierung nach § 29 bei der Cybersicherheitsbehörde. Sie muss innerhalb von drei Monaten ab Inkrafttreten erfolgen, also bis Ende 2026. Anzugeben sind unter anderem Name und Kontaktdaten, Sektor und Art der Einrichtung, die betroffenen EU-Staaten, die Hauptniederlassung und die Schwellenwerte. Außerdem ist eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse zu benennen. Ändern sich diese Angaben später, ist das binnen zwei Wochen bzw. drei Monaten nachzumelden. In der Praxis läuft die Registrierung über das Unternehmensserviceportal (USP) und dort über „NIS2 Services“. Wer die Voraussetzungen erst später erfüllt, etwa durch Wachstum, muss sich spätestens drei Monate ab diesem Zeitpunkt registrieren.
Zweitens das Risikomanagement nach § 32. Hier gibt es keine allgemeine Übergangsfrist, die Maßnahmen sind also parallel zur Registrierung aufzubauen.
Drittens die Selbstdeklaration nach § 33 Abs. 1. Binnen zwölf Monaten nach Eintritt der Registrierungspflicht muss das Unternehmen der Behörde strukturiert melden, welche Maßnahmen es umgesetzt hat, einschließlich Lieferkettensicherheit und Ergebnissen der Risikoanalyse. Für die meisten bereits erfassten Unternehmen bedeutet das: bis Ende September 2027.
Viertens die unabhängige Prüfung nach § 33 Abs. 2. Sie kommt nicht automatisch, sondern auf Aufforderung der Behörde, frühestens zwei Jahre nach Inkrafttreten. Grundsätzlich ist die Umsetzung dann binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen. Wesentliche Einrichtungen müssen den operativen und organisatorischen Teil dagegen binnen zwei Monaten belegen. Gültige Zertifikate können nur diesen operativen und organisatorischen Teil abdecken, nicht den technischen.
Die zehn Maßnahmenfelder nach § 32
Das Herzstück des Gesetzes ist § 32. Er verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach einem gefahrenübergreifenden Ansatz. Mindestens zehn Felder sind abzudecken.
Erstens eine Risikoanalyse und die Sicherheit der Informationssysteme: Welche Systeme, Dienste und Bedrohungen bestimmen das eigene Risiko? Zweitens die Bewältigung von Sicherheitsvorfällen, also Erkennung, Bewertung, Eskalation und Behandlung. Drittens die Aufrechterhaltung des Betriebs mit Backup, Wiederherstellung und Krisenmanagement. Viertens die Sicherheit der Lieferkette und der Dienstleister. Fünftens Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich des Umgangs mit Schwachstellen. Sechstens Verfahren, mit denen die Wirksamkeit der Maßnahmen bewertet wird, etwa Kennzahlen, Kontrolltests und Audits. Siebtens Cyberhygiene und Schulungen. Achtens Kryptografie und Verschlüsselung. Neuntens Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung. Zehntens Multi-Faktor-Authentifizierung, gesicherte Kommunikation und gegebenenfalls Notfallkommunikation.
Was „verhältnismäßig“ heißt, hängt von Risikoexposition, Größe, Eintrittswahrscheinlichkeit und möglicher Schwere eines Vorfalls ab, einschließlich gesellschaftlicher und wirtschaftlicher Folgen. Kosten allein sind kein Ausnahmegrund. Die NISV 2026 ergänzt, dass die Risikoanalyse technologische, menschliche, lieferkettenbezogene und standortbezogene Risiken betrachten soll. Wer eine Anforderung vorübergehend oder wegen seiner Größe nicht erfüllen kann, muss Ersatzmaßnahmen begründen, dokumentieren und mindestens jährlich auf Wirksamkeit prüfen.
Meldepflicht: 24 Stunden, 72 Stunden, ein Monat
Kommt es zu einem erheblichen Sicherheitsvorfall, gilt ein dreistufiges Meldeverfahren an das zuständige sektorspezifische CSIRT oder, wenn es keines gibt, an das nationale CSIRT. Die Fristen laufen ab Kenntnis des Vorfalls.
Innerhalb von 24 Stunden ist eine Frühwarnung abzusetzen, mit dem Hinweis, ob ein Angriff vermutet wird und ob andere Länder betroffen sein könnten. Innerhalb von 72 Stunden folgt die eigentliche Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen und gegebenenfalls Kompromittierungsindikatoren. Spätestens einen Monat danach ist ein Abschlussbericht fällig, der Ursachen, Bedrohungsart, Abhilfemaßnahmen und grenzüberschreitende Auswirkungen beschreibt. Dauert der Vorfall noch an, gibt es zunächst einen Fortschrittsbericht. Zusätzlich müssen Kunden, deren Dienste beeinträchtigt sind, unverzüglich informiert werden. Das CSIRT meldet sich seinerseits binnen 24 Stunden zurück und unterstützt auf Wunsch.
Wann ist ein Vorfall erheblich? Die NISV 2026 nennt Kriterien, bei denen das jedenfalls der Fall ist: ein direkter finanzieller Verlust über 500.000 Euro oder 5 Prozent des Vorjahresumsatzes (der niedrigere Wert zählt), der Abfluss von Geschäftsgeheimnissen, Tod oder schwere Gesundheitsschädigung eines Menschen, ein erfolgreicher, mutmaßlich böswilliger Zugriff mit wahrscheinlich schweren Betriebsstörungen, ein Ausfall für mehr als 100.000 Nutzer oder 10 Prozent der Nutzer über mehr als 24 Stunden, ein Ausfall im Gebiet mindestens eines Bundeslandes über mehr als 24 Stunden sowie die Aktivierung von Krisen- oder Notfallplänen. Auch wiederholte kleinere Vorfälle mit derselben Ursache können zusammengerechnet erheblich werden. Geplante Wartungen zählen nicht.
Aus eigener Erfahrung: Diese Kriterien sollte man nicht erst im Ernstfall lesen. Wir haben für unser Team einen schriftlichen Meldeprozess mit klarer Bereitschaft und eine Übung „erheblich oder nicht?“ eingeführt. In der Nacht von Samstag auf Sonntag will niemand das Gesetz aufschlagen.
Chefsache: Pflichten der Geschäftsführung
§ 31 macht NIS2 ausdrücklich zur Führungsaufgabe. Die Geschäftsführung bzw. der Vorstand muss sicherstellen, dass die Maßnahmen nach § 32 umgesetzt werden, und das laufend beaufsichtigen. Die operative Arbeit darf an IT, Informationssicherheit, Einkauf oder externe Dienstleister delegiert werden, die Verantwortung bleibt aber oben.
Außerdem müssen die Mitglieder der Leitungsorgane an Cybersicherheitsschulungen teilnehmen, die speziell für die Führungsebene gestaltet sind. Ein allgemeines Awareness-Training für Mitarbeiter reicht dafür nicht. Dauer, Häufigkeit und Form der Teilnahmebestätigung schreibt das Gesetz nicht vor. Sinnvolle Inhalte sind etwa die aktuelle Risikolage, die gesetzlichen Aufgaben, Entscheidungssituationen im Vorfall, Lieferkettenrisiken und die Frage, was ein Nachweis tatsächlich aussagt. Für die Mitarbeiter verlangt das Gesetz zusätzlich regelmäßige, passende Schulungen.
Für den Nachweis empfiehlt Franz Kopp, Beschlüsse zu Rollen und Budget zu fassen, sich regelmäßig berichten zu lassen und Entscheidungen zu dokumentieren. Ein guter Managementbericht enthält die Risikolage, den Umsetzungsstand der zehn Maßnahmenfelder, kritische Anbieter, Vorfälle, überfällige Maßnahmen, Auditergebnisse und den Schulungsstand.
Strafen und Haftung
Die Geldstrafen sind empfindlich. Für wesentliche Einrichtungen reichen sie bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Auch eine versäumte Registrierung oder falsche Angaben sind eine Verwaltungsübertretung, ebenso das Unterlassen einer Meldung.
Bestraft wird in erster Linie das Unternehmen selbst. Eine automatische persönliche Geldstrafe für Geschäftsführer sieht das Gesetz nicht vor. Gesellschafts-, zivil- und versicherungsrechtliche Folgen sind aber gesondert zu prüfen, und wer seine Aufsichtspflicht nicht dokumentieren kann, hat im Streitfall schlechte Karten. Bei wesentlichen Einrichtungen gibt es zudem eine Eskalationsstufe nach § 39: Kommt das Unternehmen einem Abhilfebescheid nicht fristgerecht nach, kann die Behörde Leitungsorganen vorübergehend untersagen, ihre Leitungsaufgaben auszuüben, bis die Maßnahmen umgesetzt sind. Ein allgemeines Berufsverbot ist das nicht. Ich empfehle trotzdem, in diesem Zusammenhang auch die eigene D&O- und Cyberversicherung anzusehen.
NIS2 in der Lieferkette: Was Zulieferer erwartet
Viele kleinere Unternehmen werden NIS2 nicht über das Gesetz, sondern über ihre Kunden spüren. Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette und ihrer direkten Dienstleister im eigenen Risikomanagement berücksichtigen. Dadurch wird ein Zulieferer nicht automatisch selbst zur NISG-Einrichtung. Verbindliche Pflichten entstehen für ihn aber durch Verträge und Ausschreibungen.
Wie streng es wird, hängt vom Risiko ab. Ein Cloud-Dienst mit administrativem Zugriff wird anders geprüft als ein Lieferant für Büromaterial. Typische Nachweise sind eine Beschreibung der Leistung und ihrer technischen Abhängigkeiten, eine Kontaktstelle für Sicherheitsvorfälle, Regeln für Zugriffe und Multi-Faktor-Authentifizierung, ein Patch- und Schwachstellenprozess, ein getestetes Backup- und Wiederanlaufkonzept, ein Incident-Prozess mit Kundeninformation, eine Liste wesentlicher Unterauftragnehmer sowie Prüfberichte oder Zertifikate mit passendem Geltungsbereich.
Ein Satz wie „Der Auftragnehmer erfüllt NIS2“ ist als Vertragsklausel zu unbestimmt. Gute Verträge regeln konkret, welche Sicherheitsmaßnahmen gelten, wer wen in welcher Frist über Vorfälle informiert, welche Nachweise akzeptiert werden, wie Prüfungen ablaufen und wie mit Unterauftragnehmern und Mängeln umgegangen wird. Wir haben genau das mit großen Kunden durchlaufen: Fragebögen, Penetrationstests, Nachtests. Wer früh vorbereitet ist, gewinnt dabei Vertrauen und manchmal auch Aufträge.
Was Sie jetzt konkret tun sollten
Prüfen und dokumentieren Sie die Betroffenheit: Größe inklusive verbundener Unternehmen, Tätigkeiten laut Anlage 1 und 2, größenunabhängige Sonderfälle. Halten Sie das Ergebnis schriftlich fest und lassen Sie es von der Geschäftsführung unterschreiben.
Registrieren Sie sich bis 31. Dezember 2026 über das USP, falls Sie betroffen sind, und benennen Sie eine erreichbare Kontaktstelle.
Erstellen Sie einen Maßnahmenplan entlang der zehn Felder des § 32, lassen Sie ihn von der Geschäftsführung billigen und legen Sie von Anfang an für jede Maßnahme den Nachweis ab. Dieses Dossier ist die Grundlage für die Selbstdeklaration im Herbst 2027.
Schreiben Sie einen Melde- und Eskalationsprozess für 24 und 72 Stunden und üben Sie ihn. Schulen Sie die Geschäftsführung und das Team. Und gehen Sie Ihre wichtigsten Dienstleister und Kundenverträge auf Sicherheitsanforderungen durch.
Mein Fazit
NIS2 ist kein IT-Projekt, das man an die Technik abgibt, sondern eine Führungsaufgabe mit klaren Fristen. Die gute Nachricht: Wer seine IT ohnehin ordentlich betreibt, hat vieles schon und muss es vor allem nachweisbar machen. Die schlechte: Ohne Dokumentation zählt im Ernstfall nichts davon.
Für den Einstieg empfehle ich die Seite https://nis-2-ready.at mit ihrem kurzen Betroffenheitscheck und den sechs Ratgebern. Verbindlich sind die Primärquellen im Rechtsinformationssystem des Bundes (RIS). Dieser Beitrag ist meine Zusammenfassung als Unternehmer und ersetzt keine Rechtsberatung.
Ich berate Sie gerne
Mein Unternehmen hat das NISG 2026 als wesentliche Einrichtung gerade selbst umgesetzt: Einstufung, Registrierung, Maßnahmenplan, Melde- und Notfallprozess, Schulung der Geschäftsführung und des Teams, Nachweise für die Lieferkette. Diese Erfahrung gebe ich gerne weiter. Wenn Sie wissen wollen, ob Ihr Unternehmen betroffen ist, oder einen pragmatischen Weg zur Umsetzung suchen, berate ich Sie gerne persönlich. Schreiben Sie mir einfach: https://www.mariokoerbler.com/kontakt