NIS2 und die Verantwortung der Geschäftsleitung in Österreich: Was das NISG 2026 von der Führung verlangt

Cybersicherheit ist Chefsache – nicht nur IT-Sache

Viele Unternehmensleitungen halten Cybersicherheit für ein rein technisches Thema, das die IT-Abteilung schon erledigt. Mit der NIS2-Richtlinie und ihrer österreichischen Umsetzung im Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ändert sich diese Sichtweise grundlegend.

Die NIS2-Richtlinie (EU) 2022/2555 legt in Art. 20 Abs. 1 ausdrücklich fest, dass die Mitgliedstaaten sicherstellen müssen, dass die Leitungsorgane (management bodies) von wesentlichen und wichtigen Einrichtungen

• die Risikomanagementmaßnahmen zur Erfüllung von Art. 21 genehmigen (approve),
• deren Umsetzung überwachen (oversee its implementation) und
• für Verstöße der Einrichtung gegen diesen Artikel haftbar gemacht werden können (can be held liable).

Damit ist klargestellt: Die Verantwortung liegt bei der Führung des Unternehmens. Cybersicherheit lässt sich nicht mehr vollständig delegieren – die Leitungsebene bleibt in der Pflicht, auch wenn die technische Umsetzung von Fachabteilungen erfolgt.

Wichtiger Hinweis: Nach Art. 20 Abs. 1 letzter Satz bleiben die Haftungsregeln für öffentliche Einrichtungen sowie für Beamte und gewählte oder ernannte Amtsträger nach nationalem Recht davon unberührt.

Betrifft das mein Unternehmen? Wesentliche und wichtige Einrichtungen

Das NISG 2026 erfasst Einrichtungen in insgesamt 18 Sektoren (§ 2), darunter Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Produktion sowie Anbieter digitaler Dienste.

Das Gesetz unterscheidet zwei Kategorien (§ 24):

• wesentliche Einrichtung (essential entity)
• wichtige Einrichtung (important entity)

Zu den wesentlichen Einrichtungen zählen etwa – unabhängig von der Unternehmensgröße – qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter sowie Einrichtungen der öffentlichen Verwaltung auf Bundesebene, ferner große Unternehmen der in Anlage 1 genannten Art (§ 24 Abs. 1).

Als wichtige Einrichtung gelten unter anderem Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, sowie Einrichtungen der öffentlichen Verwaltung auf Landesebene (§ 24 Abs. 2).

Ob Ihr Unternehmen betroffen ist und in welche Kategorie es fällt, hängt von Sektor, Art und Größe ab. Für eine erste Einordnung ist eine strukturierte Bestandsaufnahme (Scoping) sinnvoll.

Die konkreten Pflichten der Geschäftsleitung

Aus der NIS2-Governance-Vorgabe (Art. 20 Abs. 1) und den österreichischen Umsetzungsbestimmungen ergeben sich für die Führungsebene mehrere konkrete Aufgaben.

1. Freigabe und Überwachung der Risikomanagementmaßnahmen

Wesentliche und wichtige Einrichtungen müssen nach § 32 NISG 2026 geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umsetzen. Diese Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz und umfassen mindestens (§ 32 Abs. 4):

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme;
• Bewältigung von Cybersicherheitsvorfällen;
• Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement);
• Sicherheit der Lieferkette;
• Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• grundlegende Cyberhygiene und Schulungen;
• Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
• Personalsicherheit, Zugriffskontrolle und Management von Anlagen;
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Die Leitungsorgane müssen diese Maßnahmen im Sinne des Art. 20 Abs. 1 genehmigen und ihre Umsetzung überwachen.

2. Schulungspflicht

Cyberhygiene und Schulungen im Bereich der Cybersicherheit gehören ausdrücklich zu den Pflichtinhalten (§ 32 Abs. 4 lit. g). Zudem sieht das NISG 2026 eine Schulungsverpflichtung für Leitungsorgane sowie für Mitarbeiter vor: Wer der Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß § 31 Abs. 2 vorzusehen, nicht nachkommt, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 1). Gleiches gilt für die Schulung der Mitarbeiter gemäß § 31 Abs. 2 zweiter Satz (§ 45 Abs. 1 Z 2). Die Führung muss also nicht nur Schulungen für die Belegschaft organisieren, sondern selbst an entsprechenden Schulungen teilnehmen.

3. Korrekturpflicht bei Nichteinhaltung

Stellt eine Einrichtung fest, dass sie die Maßnahmen nicht einhält, hat sie nach Art. 21 Abs. 4 der Richtlinie unverzüglich alle erforderlichen, geeigneten und verhältnismäßigen Korrekturmaßnahmen zu ergreifen.

Persönliche Verantwortung und mögliche Sanktionen

Der Kern von Art. 20 Abs. 1 ist die Haftungsdimension: Leitungsorgane können für Verstöße der Einrichtung gegen die Risikomanagement-Pflichten haftbar gemacht werden. Damit wird die Cybersicherheit unmittelbar zur Verantwortung der Führungsebene.

Auf Ebene der Einrichtung sieht § 45 NISG 2026 Verwaltungsstrafbestimmungen vor. Wer beispielsweise

• keine Cybersicherheitsschulungen für Leitungsorgane (§ 31 Abs. 2) oder Mitarbeiter vorsieht (§ 45 Abs. 1 Z 1 und 2),
• Risikomanagementmaßnahmen gemäß § 32 nicht umsetzt (§ 45 Abs. 1 Z 3) oder
• Meldepflichten nach § 34 nicht einhält (§ 45 Abs. 1 Z 4),

eine Verwaltungsübertretung begeht, wird nach folgendem Rahmen bestraft:

Für weitere Pflichtverletzungen (etwa verspätete Registrierung, unrichtige Selbstdeklaration oder Behinderung von Kontrollen) sieht § 45 Abs. 4 Geldstrafen von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Die inhaltliche Ausgestaltung der persönlichen Haftung der Leitungsorgane – über die in Art. 20 Abs. 1 vorgesehene Haftbarkeit hinaus – ergibt sich aus den nationalen Haftungsregeln. Für eine belastbare Einschätzung im Einzelfall gilt: [TÄPSUSTAB PARTNER-JURIST].

Zuständige Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) (§ 4). Sie übt die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen aus.

Ab wann gilt das NISG 2026 – und was ist jetzt zu tun?

Die Verpflichtungen des NISG 2026 treten nach § 51 nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft. Die Kundmachung erfolgte am 23.12.2025 (BGBl. I Nr. 94/2025); daraus errechnet sich der 1.10.2026. Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

Für die Geschäftsleitung bedeutet das: Es bleibt kaum Zeit, um die notwendigen Strukturen aufzubauen. Sinnvolle erste Schritte sind:

• Scoping: Prüfen, ob und als welche Kategorie (wesentliche oder wichtige Einrichtung) Ihr Unternehmen erfasst ist.
• Gap-Analyse: Abgleich der bestehenden Maßnahmen mit den Mindestanforderungen aus § 32 Abs. 4.
• Governance verankern: Freigabe- und Überwachungsprozesse auf Leitungsebene definieren (Art. 20 Abs. 1).
• Schulungen planen: Termine für die Schulung der Leitungsorgane und Mitarbeiter (§ 31 Abs. 2) einplanen.

Eine erste Orientierung liefert unser kostenloses Scoping- und Gap-Tool, mit dem Sie in wenigen Schritten Ihren Handlungsbedarf einschätzen können.