NISG 2026: Die NIS2-Umsetzung in Österreich

Was ist das NISG 2026?

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist das österreichische Umsetzungsgesetz zur NIS2-Richtlinie (EU) 2022/2555. Es wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und ist am 1. Oktober 2026 in Kraft getreten (§ 51). Es hat das NISG aus 2018 samt NIS-Verordnung abgelöst und gilt für deutlich mehr Unternehmen. Das alte Gesetz erfasste wenige hundert Betreiber wesentlicher Dienste. Das NISG 2026 erfasst wesentliche und wichtige Einrichtungen in den Sektoren der Anlagen 1 und 2, von Energie und Gesundheit bis Produktion und Post. Neu sind eine eigene Cybersicherheitsbehörde, eine Registrierungspflicht mit Selbstdeklaration, verbindliche Risikomanagementmaßnahmen, eine gestaffelte Meldekette über die CSIRTs und Strafen bis 10 Mio. € oder 2 % des weltweiten Umsatzes.

Welche Fristen gelten?

Die Registrierung ist bis 31. Dezember 2026 vorzunehmen (§ 29 Abs. 3 NISG 2026). Die Selbstdeklaration ist bis 30. September 2027 abzugeben (§ 33 Abs. 1 NISG 2026). Beide Fristen laufen ab dem Inkrafttreten am 1. Oktober 2026: drei Monate für die Registrierung, zwölf Monate ab Eintritt der Registrierungspflicht für die Selbstdeklaration.

Was müssen Unternehmen jetzt tun?

Seit dem Inkrafttreten am 1. Oktober 2026 läuft die dreimonatige Registrierungsfrist. Für Einrichtungen, die von Anfang an unter das NISG 2026 fallen, ergeben sich daraus fünf Schritte:

1. Betroffenheit klären: Sektor nach Anlage 1 oder 2 und Unternehmensgröße prüfen (§§ 24, 25). Die Logik erklärt die NIS2-Betroffenheitsprüfung.
2. Bis 31. Dezember 2026 registrieren: Selbstregistrierung bei der Cybersicherheitsbehörde, praktisch über das Unternehmensserviceportal (USP), inklusive einer Kontaktstelle mit Telefonnummer und E-Mail-Adresse (§ 29 Abs. 3 und 6).
3. Meldekette festlegen: Wer meldet einen erheblichen Vorfall binnen 24 Stunden an welches CSIRT, und wer vertritt diese Person (§ 34)?
4. Schulungen planen und dokumentieren: Leitungsorgane müssen selbst teilnehmen, Mitarbeitern sind regelmäßig Schulungen anzubieten (§ 31). Fehlende Schulungen sind eigene Verwaltungsübertretungen.
5. Selbstdeklaration vorbereiten: Bis 30. September 2027 ist die Umsetzung der Risikomanagementmaßnahmen zu deklarieren (§ 33 Abs. 1). Risikoanalyse, Übungsprotokolle und Schulungsnachweise sollten ab jetzt gesammelt werden.

Wer ist betroffen?

Wie die Richtlinie kombiniert das NISG 2026 Sektor und Größe. Wesentliche Einrichtungen (§ 24 Abs. 1) sind vor allem große Unternehmen der Hochkritikalitäts-Sektoren aus Anlage 1. Daneben gehören größenunabhängig u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und die Bundesverwaltung dazu. Wichtige Einrichtungen (§ 24 Abs. 2) sind mittlere Unternehmen der Anlage 1 sowie große und mittlere Unternehmen der Anlage 2. Die Größenschwellen (§ 25) folgen der EU-Definition: „mittel" ab 50 Beschäftigten oder über 10 Mio. € Jahresumsatz und Bilanzsumme. Darunter kann die Cybersicherheitsbehörde einzelne Einrichtungen per Bescheid größenunabhängig einstufen (§ 26), etwa alleinige Anbieter kritischer Dienste. Für Finanzunternehmen geht DORA als Lex specialis vor (§ 24 Abs. 7; für andere sektorspezifische EU-Rechtsakte gilt § 27). Die grundsätzliche Logik erklärt die NIS2-Betroffenheitsprüfung.

Welche Pflichten bringt das NISG 2026?

• Registrierung (§ 29): Selbstregistrierung bei der Cybersicherheitsbehörde mit Stammdaten, Sektor, IP-Bereichen und Einstufung. Laut WKO läuft sie über das Unternehmensserviceportal (USP). Änderungen sind binnen zwei Wochen bzw. drei Monaten nachzumelden.
• Governance (§ 31): Die Leitungsorgane müssen die Risikomanagementmaßnahmen sicherstellen, beaufsichtigen und selbst an Schulungen teilnehmen. Mitarbeitern sind regelmäßig Schulungen anzubieten.
• Risikomanagement (§ 32): Zehn Mindestinhalte nach dem gefahrenübergreifenden Ansatz, darunter Bewältigung von Vorfällen, Betriebsaufrechterhaltung inklusive Krisenmanagement, Lieferkettensicherheit und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen.
• Selbstdeklaration (§ 33): Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist die Umsetzung strukturiert zu deklarieren. Später verlangt die Behörde Nachweise durch unabhängige Stellen.
• Meldepflichten (§ 34): Erhebliche Cybersicherheitsvorfälle sind gestaffelt an das zuständige CSIRT zu melden (siehe unten).

Wie funktioniert die Meldekette?

Die Meldekette entspricht der Richtlinie. Gemeldet wird an das sektorspezifische CSIRT, sonst an das nationale (§ 34):

• 24 Stunden nach Kenntnis: Frühwarnung
• 72 Stunden: Meldung mit erster Bewertung (Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren)
• auf Ersuchen: Zwischenbericht
• 1 Monat nach der Meldung: Abschlussbericht

Sind Empfänger der Dienste beeinträchtigt, müssen diese unverzüglich informiert werden (§ 34 Abs. 3). Ob ein Vorfall „erheblich" ist, definiert § 35. Maßgeblich sind schwerwiegende Betriebsstörungen, finanzielle Verluste oder Schäden Dritter.

Welche Strafen drohen?

Verstöße gegen das NISG 2026 sind Verwaltungsübertretungen, die die Bezirksverwaltungsbehörde mit Geldstrafen ahndet (§ 45). Der Strafrahmen folgt der Richtlinie: wesentliche Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes, wichtige Einrichtungen bis 7 Mio. € oder 1,4 %. Es gilt jeweils der höhere Betrag. Neben fehlendem Risikomanagement und Meldeverstößen sind auch fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter eigene Verwaltungsübertretungen (§ 45 Abs. 1 Z 1–2). Verspätete Registrierung oder Selbstdeklaration kostet bis zu 50.000 €, im Wiederholungsfall bis zu 100.000 € (§ 45 Abs. 4).

Was heißt das für Übungen und Schulungen?

Maßnahmen auf dem Papier reichen auch nach dem NISG 2026 nicht. § 32 Abs. 4 fordert ausdrücklich Krisenmanagement (lit. c), Verfahren zur Bewertung der Wirksamkeit (lit. f) und Schulungen (lit. g). Mit der Selbstdeklaration nach § 33 legen Sie gegenüber der Behörde offen, was davon umgesetzt ist. Eine dokumentierte Tabletop-Übung deckt alle drei Punkte in einem Termin ab. Ihr Team trainiert die 24/72-Stunden-Meldekette, die Leitungsorgane sind nachweisbar eingebunden (§ 31), und der After-Action-Report liefert einen Beleg für die Selbstdeklaration und spätere Nachweisprüfungen. Für die Bestandsaufnahme gibt es die kostenlose NIS2-Readiness-Checkliste mit allen Fristen für Österreich und Deutschland.

Worin unterscheidet sich Österreich von Deutschland?

Deutschland war früher dran: Das NIS2-Umsetzungsgesetz gilt dort bereits seit 6. Dezember 2025. Österreich hat am 1. Oktober 2026 nachgezogen. Dafür gibt es hier einen fixen Registrierungsstichtag (31.12.2026) und mit der Selbstdeklaration ein eigenes Instrument, das das deutsche BSIG so nicht kennt. Auch die Terminologie weicht ab: Österreich bleibt bei „wesentlichen" Einrichtungen (wie die Richtlinie), Deutschland nennt sie „besonders wichtige" Einrichtungen.

Häufige Fragen