NIS2 und das NISG 2026: Was Österreichs Umsetzungsgesetz für Unternehmen bedeutet

Von der EU-Richtlinie zum österreichischen Gesetz

Die europäische NIS2-Richtlinie (EU) 2022/2555 legt einen einheitlichen Rahmen für ein hohes Cybersicherheitsniveau in der gesamten EU fest. Eine Richtlinie gilt jedoch nicht unmittelbar für Unternehmen – jeder Mitgliedstaat muss sie in nationales Recht überführen.

In Österreich geschieht dies durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), kundgemacht als BGBl. I Nr. 94/2025. Damit wird das bisherige NISG 2018 (BGBl. I Nr. 111/2018) abgelöst.

Was bedeutet das praktisch? Während die Richtlinie die Ziele vorgibt (z. B. Risikomanagement in Art 21 oder Meldepflichten in Art 23), definiert das NISG 2026 die konkreten Verpflichtungen, Behörden und Verfahren für Einrichtungen mit Bezug zu Österreich. Für die tägliche Compliance ist daher das nationale Gesetz maßgeblich – die Richtlinie bleibt der Auslegungshintergrund.

Ziel und Anwendungsbereich des NISG 2026

Der Gegenstand des Gesetzes ist in § 2 NISG 2026 festgelegt: Es sollen Maßnahmen für ein hohes Cybersicherheitsniveau wesentlicher und wichtiger Einrichtungen in 18 Sektoren erreicht werden.

Dazu zählen unter anderem:

• Energie
• Verkehr
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trink- und Abwasser
• Digitale Infrastruktur und Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung
• Post- und Kurierdienste, Abfallbewirtschaftung
• Produktion und Herstellung von Waren, Lebensmittel, Chemie
• Weltraum, Forschung sowie Anbieter digitaler Dienste

Die genauen Teilsektoren finden sich in den Anlagen 1 und 2. Die Einstufung nach § 24 NISG 2026 unterscheidet zwei Kategorien:

• Wesentliche Einrichtung (§ 24 Abs. 1) – etwa große Unternehmen der Anlage-1-Sektoren, qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister oder DNS-Diensteanbieter.
• Wichtige Einrichtung (§ 24 Abs. 2) – etwa große oder mittlere Unternehmen der in Anlagen 1 und 2 genannten Art.

Ob Ihr Unternehmen betroffen ist, hängt vom Sektor und von der Unternehmensgröße ab. Diese Kombination lohnt eine frühzeitige Prüfung.

Die zuständige Behörde und die CSIRT-Struktur

Zentrale nationale Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit), deren Aufgaben in § 4 NISG 2026 geregelt sind. Dazu gehören unter anderem:

• Betrieb der zentralen Anlaufstelle (§ 5)
• Ausübung der Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen (§§ 38 und 39)
• Entgegennahme, Analyse und Weiterleitung von Meldungen (u. a. § 34)
• Ausübung der Funktion des Nationalen Koordinierungszentrums für Cybersicherheit (§ 6)

Für die Vorfallsmeldung gilt eine gestufte Struktur: Einrichtungen melden an das für sie zuständige sektorspezifische CSIRT oder – in Ermangelung eines solchen – an das nationale CSIRT (§ 34). Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter.

Was das NISG 2026 konkret verlangt

Das nationale Gesetz konkretisiert die Vorgaben der Richtlinie in überprüfbare Pflichten.

Risikomanagementmaßnahmen (§ 32): Wesentliche und wichtige Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen umsetzen. Der Katalog des § 32 Abs. 4 umfasst u. a.:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs (Backup, Wiederherstellung, Krisenmanagement)
• Sicherheit der Lieferkette
• Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Zugriffskontrolle und Multi-Faktor-Authentifizierung

Meldepflichten (§ 34): Bei einem erheblichen Cybersicherheitsvorfall (§ 35) gelten gestaffelte Fristen:

Sanktionen (§ 45): Verstöße können empfindliche Verwaltungsstrafen auslösen. Für eine wesentliche Einrichtung bis zu 10.000.000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes (§ 45 Abs. 2), für eine wichtige Einrichtung bis zu 7.000.000 EUR oder bis zu 1,4 % (§ 45 Abs. 3), je nachdem, welcher Betrag höher ist.

Zeitplan und erste Schritte

Nach § 51 NISG 2026 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Sinnvolle erste Schritte für betroffene Unternehmen:

1. Betroffenheit klären – Sektor (§ 2), Einstufung als wesentliche oder wichtige Einrichtung (§ 24) und Unternehmensgröße prüfen. 2. Ist-Zustand erheben – bestehende Maßnahmen mit dem Katalog des § 32 abgleichen. 3. Meldeprozesse vorbereiten – Zuständigkeiten und Fristen (§ 34) intern verankern. 4. Lücken schließen – Maßnahmenplan für die verbleibende Zeit bis zum Inkrafttreten.

Ein strukturierter Gap-Check hilft, den Aufwand realistisch einzuschätzen. Nutzen Sie unser kostenloses Scoping-Tool, um in wenigen Minuten eine erste Einordnung Ihrer NIS2-Betroffenheit zu erhalten.