自2026年10月1日起，奥地利新的《网络与信息系统安全法》（Netz- und Informationssystemsicherheitsgesetz，简称NISG 2026）正式生效。该法转化了欧盟NIS2指令，使网络安全成为数千家企业的法定义务。据奥地利经济商会（Wirtschaftskammer）统计，来自18个行业的约4,000家企业和机构直接受到影响，此外还有许多供应商会通过其客户被纳入义务范围。
维也纳法学家兼企业顾问Franz Kopp在 https://nis-2-ready.at 上整理了关于这一主题最好的德语概览之一，作为其著作„Quick Guide NIS-2 in Österreich“（《奥地利NIS-2快速指南》，Springer Gabler出版）的补充。我仔细研读了该网站及其各篇指南，在此为企业负责人总结现在必须了解的内容：哪些企业受影响、哪些期限正在计算、发生事件时需要报告什么，以及会面临哪些处罚。我自己的公司目前正在走这条路，因此我在一些地方补充了实践中的经验。
什么是NIS2，什么是NISG 2026？
NIS2是欧盟第二部关于网络与信息安全的指令（指令(EU) 2022/2555）。它要求各成员国为经济中的关键和重要领域制定具有约束力的网络安全最低标准。奥地利通过NISG 2026实现了这一点，该法公布于《联邦法律公报》（BGBl. I Nr. 94/2025）。其操作性条款自2026年10月1日起适用，配套条例NISV 2026自2026年10月2日起适用。
该法的核心可以用四句话概括。受影响的企业必须进行注册。它们必须为其IT建立覆盖十个规定领域的风险管理。它们必须在24小时内报告重大安全事件。而管理层须亲自对这一切的落实负责。
我是否受影响？三个判断问题
企业是否适用NISG 2026，既不单看行业，也不单看规模，而是两者结合来判断。此外还有一些不论规模都适用的特殊情况。
第一个问题是规模。原则上，适用范围包括员工人数50人及以上，或年营业额超过1000万欧元且资产负债表总额同时超过1000万欧元的中型企业。员工人数250人及以上，或营业额超过5000万欧元且资产负债表总额超过4300万欧元的企业被视为大型企业。重要提示：员工少于50人并不自动排除适用，因为财务指标同样计算在内。对于集团企业，合作企业和关联企业原则上一并计算，除非该公司在组织、技术和运营上确实是独立的。
第二个问题是业务活动。法律在两个附件中列出了涵盖的服务。附件1包括高度关键的行业：能源、交通、银行业、金融市场基础设施、医疗卫生、饮用水、废水、数字基础设施、ICT服务管理、公共管理和航天。附件2包括其他关键行业：邮政和快递服务、废物管理、化工、食品、制造业（例如医疗器械、电子、机械和车辆）、数字服务和研究。决定性的是法律中所描述的具体服务，而不是笼统的行业标签。
第三个问题涉及客户。即使企业本身不在适用范围内，也可能因其委托方而承担义务，因为后者必须保障其供应链的安全。下文将对此详细说明。
基本实体还是重要实体？
NISG 2026区分两类实体。附件1所列行业中的大型企业通常属于基本实体。两个附件中的中型企业以及附件2中的大型企业属于重要实体。两者的义务基本相同，但基本实体受到更严格的监管，处罚上限也更高。
不论规模大小，合格信任服务提供商、顶级域名注册机构、DNS服务提供商以及某些公共通信服务提供商均在适用范围内。此外，网络安全主管机关可以通过行政决定对企业进行认定，例如当某企业是奥地利某项关键服务的唯一提供商时。我自己的公司恰恰属于这种情况：由于我们运营DNS服务，尽管规模不大，我们仍是基本实体。因此，提供主机托管、域名或IT基础设施服务的企业应特别仔细地核查这一点。
期限：2026年12月31日前完成注册
对于在2026年10月1日已满足条件的企业，路线图分为四个阶段。
第一，依据第29条向网络安全主管机关注册。注册必须在法律生效后三个月内完成，即2026年底之前。需要提供的信息包括名称和联系方式、所属行业和实体类型、相关的欧盟国家、主要营业地以及各项门槛值。此外还须指定一个联络点，并提供电话号码和电子邮件地址。若这些信息日后发生变化，须分别在两周或三个月内补报。实践中，注册通过奥地利企业服务门户（Unternehmensserviceportal，USP）中的„NIS2 Services“完成。后来才满足条件的企业（例如因业务增长），最迟须在满足条件之日起三个月内注册。
第二，依据第32条进行风险管理。这里没有一般性的过渡期，因此各项措施须与注册同步建立。
第三，依据第33条第1款进行自我声明。在注册义务产生后十二个月内，企业必须以结构化方式向主管机关报告已实施的措施，包括供应链安全和风险分析结果。对于大多数已在适用范围内的企业而言，这意味着：截止到2027年9月底。
第四，依据第33条第2款进行独立审查。审查不会自动进行，而是应主管机关要求进行，最早在法律生效两年后。原则上，届时须在两年内由独立机构证明措施的落实。而基本实体则须在两个月内证明运营和组织部分。有效的证书只能覆盖运营和组织部分，不能覆盖技术部分。
第32条规定的十个措施领域
该法的核心是第32条。它要求基于全风险方法，采取适当且相称的技术、运营和组织措施。至少须覆盖十个领域。
第一，风险分析和信息系统安全：哪些系统、服务和威胁决定了自身的风险？第二，安全事件处理，即发现、评估、升级和处置。第三，业务连续性，包括备份、恢复和危机管理。第四，供应链及服务提供商的安全。第五，采购、开发和维护中的安全，包括漏洞处理。第六，评估措施有效性的程序，例如指标、控制测试和审计。第七，网络卫生和培训。第八，密码学和加密。第九，人员安全、访问控制和资产管理。第十，多因素认证、安全通信以及必要时的紧急通信。
“相称”的含义取决于风险暴露程度、企业规模、发生概率以及事件可能的严重程度，包括其社会和经济后果。仅凭成本不能成为豁免理由。NISV 2026补充规定，风险分析应考虑技术、人为、供应链相关和地点相关的风险。若企业暂时或因规模原因无法满足某项要求，必须说明并记录替代措施的理由，并至少每年审查一次其有效性。
报告义务：24小时、72小时、一个月
发生重大安全事件时，须向主管的行业CSIRT（计算机安全事件响应小组）报告；如果没有行业CSIRT，则向国家CSIRT报告，报告程序分为三个阶段。期限自知悉事件之时起算。
须在24小时内发出早期预警，说明是否怀疑遭受攻击，以及其他国家是否可能受到影响。在72小时内提交正式的事件报告，包括对严重程度和影响的初步评估，以及必要时的入侵指标。最迟一个月后须提交最终报告，说明原因、威胁类型、补救措施和跨境影响。如果事件仍在持续，则先提交进展报告。此外，服务受到影响的客户必须立即得到通知。CSIRT则会在24小时内作出回应，并可应要求提供支持。
什么情况下事件属于重大事件？NISV 2026列出了在任何情况下均构成重大事件的标准：直接经济损失超过500,000欧元或上一年度营业额的5%（以较低者为准）；商业秘密泄露；导致人员死亡或严重健康损害；成功的、疑似恶意的访问，并可能导致严重的运营中断；超过100,000名用户或10%的用户中断服务超过24小时；至少一个奥地利联邦州范围内中断服务超过24小时；以及启动危机或应急预案。同一原因反复发生的较小事件累计后也可能构成重大事件。计划内维护不计入。
根据我自己的经验：这些标准不应等到紧急情况发生时才第一次去读。我们为团队制定了书面的报告流程，明确了值班安排，并开展了一项名为“重大与否？”的演练。在周六到周日的夜里，没有人想去翻法条。
一把手的事：管理层的义务
第31条明确将NIS2定为领导层的任务。管理层或董事会必须确保第32条规定的措施得到落实，并持续进行监督。操作层面的工作可以委托给IT、信息安全、采购部门或外部服务商，但责任仍在高层。
此外，管理机构成员必须参加专门为领导层设计的网络安全培训。面向员工的一般性安全意识培训并不足够。法律没有规定培训时长、频率和参训证明的形式。有意义的内容包括当前风险形势、法定职责、事件中的决策情境、供应链风险，以及某项证明实际上能说明什么。对于员工，法律还要求开展定期且合适的培训。
为便于举证，Franz Kopp建议就角色和预算作出决议，定期听取汇报并记录各项决策。一份好的管理报告应包括风险形势、十个措施领域的实施进度、关键供应商、事件、逾期措施、审计结果和培训情况。
处罚与责任
罚款数额相当可观。对基本实体最高可达1000万欧元或上一年度全球营业额的2%，对重要实体最高可达700万欧元或1.4%，均以较高者为准。未进行注册或提供虚假信息同样构成行政违法，未履行报告义务亦然。
受处罚的首先是企业本身。法律没有规定对企业负责人自动处以个人罚款。但公司法、民法和保险法方面的后果须另行审查，而无法证明自己履行了监督义务的人，在发生纠纷时将处于不利地位。对于基本实体，还有依据第39条的升级措施：如果企业未在期限内履行整改决定，主管机关可以暂时禁止管理机构成员行使其管理职责，直至措施落实为止。这并不是一般性的职业禁令。尽管如此，我建议借此机会也审视一下自己的董事及高管责任险（D&O）和网络保险。
供应链中的NIS2：供应商将面临什么
许多较小的企业感受到NIS2，并不是通过法律本身，而是通过其客户。基本实体和重要实体必须在自身的风险管理中考虑其供应链和直接服务提供商的安全。这并不会使供应商自动成为NISG所规定的实体。但通过合同和招标，供应商将承担具有约束力的义务。
要求的严格程度取决于风险。具有管理员权限的云服务与办公用品供应商所受的审查截然不同。典型的证明材料包括：服务及其技术依赖关系的说明、安全事件联络点、访问和多因素认证规则、补丁和漏洞处理流程、经过测试的备份和恢复方案、包含客户通知的事件处理流程、主要分包商名单，以及适用范围相符的审计报告或证书。
“承包方符合NIS2”这样的句子作为合同条款过于笼统。好的合同会具体规定适用哪些安全措施、谁在什么期限内向谁通报事件、接受哪些证明材料、审查如何进行，以及如何处理分包商和缺陷。我们与大客户恰恰经历了这一切：问卷、渗透测试、复测。提前做好准备的企业能够赢得信任，有时还能赢得订单。
您现在应该具体做什么
核查并记录您是否受影响：包括关联企业在内的规模、附件1和附件2所列的业务活动、不论规模都适用的特殊情况。将结果以书面形式记录下来，并请管理层签字。
如果您受影响，请在2026年12月31日前通过USP完成注册，并指定一个可随时联系到的联络点。
按照第32条的十个领域制定措施计划，提交管理层批准，并从一开始就为每项措施存档证明材料。这份档案是2027年秋季自我声明的基础。
制定24小时和72小时的报告和升级流程并进行演练。培训管理层和团队。并就安全要求审查您最重要的服务提供商和客户合同。
我的结论
NIS2不是可以交给技术部门的IT项目，而是一项有明确期限的领导任务。好消息是：本来就规范运营IT的企业已经具备了很多条件，主要是要让这些做法可以被证明。坏消息是：没有文档记录，在紧急情况下这一切都不算数。
作为入门，我推荐 https://nis-2-ready.at 网站，它提供简短的适用性自查和六篇指南。具有约束力的是奥地利联邦法律信息系统（RIS）中的原始法规文本。本文是我作为企业家所作的总结，不能替代法律咨询。
我乐意为您提供咨询
我的公司作为基本实体刚刚亲自落实了NISG 2026：分类认定、注册、措施计划、报告和应急流程、管理层和团队培训、供应链证明材料。我很乐意分享这些经验。如果您想了解您的企业是否受影响，或正在寻找务实的落实路径，我很乐意亲自为您提供咨询。欢迎直接与我联系：https://www.mariokoerbler.com/zh/lianxi