NIS2 in Österreich: Was das NISG 2026 von betroffenen Unternehmen konkret verlangt

Das Gesetz: Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026)

Die österreichische Umsetzung der NIS2-Richtlinie heißt Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), kundgemacht im BGBl. I Nr. 94/2025 am 23. Dezember 2025. Das Gesetz erfasst wesentliche und wichtige Einrichtungen in 18 Sektoren – von Energie, Verkehr, Bankwesen und Gesundheitswesen über digitale Infrastruktur und die Verwaltung von IKT-Diensten (Business-to-Business) bis zu Lebensmitteln, dem verarbeitenden Gewerbe und der Forschung. Die zugehörigen Teilsektoren und Arten von Einrichtungen stehen in den Anlagen 1 und 2 (NISG 2026 § 2).

Ob ein Unternehmen als wesentliche Einrichtung oder als wichtige Einrichtung gilt, richtet sich nach § 24. Maßgeblich sind Sektor, Anlage und Unternehmensgröße – bestimmte Arten von Einrichtungen, etwa qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister oder DNS-Diensteanbieter, gelten unabhängig von der Unternehmensgröße als wesentliche Einrichtung (§ 24 Abs. 1).

Die Verpflichtungen treten nach § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft (NISG 2026 § 51 Abs. 1 und 2). Bis dahin gilt das NISG (BGBl. I Nr. 111/2018) weiter.

Die dokumentierten Risikomanagementmaßnahmen – ein Paket, nicht fünf Einzelstücke

Kern des Gesetzes ist § 32: „Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu reduzieren“ (NISG 2026 § 32 Abs. 1). § 32 Abs. 4 zählt die Mindestinhalte auf. Fünf davon bilden das Gerüst, an dem sich alles Weitere aufhängt:

1. Risikomanagement-Konzept. § 32 Abs. 4 lit. a verlangt „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“. Das ist das Basisdokument: Welche Systeme und Dienste gibt es, welche Risiken bestehen, wer entscheidet über Maßnahmen. Nach § 32 Abs. 2 und Abs. 3 muss das erreichte Cybersicherheitsniveau dem bestehenden Risiko angemessen sein – Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen sind zu berücksichtigen.

2. Bewältigung von Cybersicherheitsvorfällen. § 32 Abs. 4 lit. b fordert Vorkehrungen für den Umgang mit Vorfällen. Dazu gehören festgelegte Rollen, Eskalationswege und die Verbindung zu den Fristen des § 34. Ohne dokumentierten Ablauf lässt sich im Ernstfall weder die Bewertung nach § 35 noch die Meldung fristgerecht leisten.

3. Aufrechterhaltung des Betriebs. § 32 Abs. 4 lit. c nennt ausdrücklich „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Gemeint sind belegbare Sicherungs- und Wiederherstellungsverfahren samt Krisenorganisation – nicht nur das Vorhandensein von Backups, sondern der geregelte und geprüfte Wiederanlauf.

4. Sicherheit der Lieferkette. § 32 Abs. 4 lit. d verlangt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“, unter Berücksichtigung der spezifischen Schwachstellen der unmittelbaren Anbieter, der Gesamtqualität der Produkte und der Cybersicherheitspraxis dieser Anbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse. Praktisch heißt das: Jede erfasste Einrichtung muss die Sicherheit ihrer direkten Lieferanten und Dienstleister steuern.

5. Verantwortung der Leitungsorgane. Die Leitungsorgane genehmigen die Risikomanagementmaßnahmen, überwachen ihre Umsetzung und können für Verstöße haftbar gemacht werden (Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555). Das NISG 2026 verlangt zusätzlich Cybersicherheitsschulungen für Leitungsorgane und – nach § 31 Abs. 2 zweiter Satz – für Mitarbeiter; das Unterlassen ist ausdrücklich strafbewehrt (§ 45 Abs. 1 Z 1 und Z 2). Ergänzend fordert § 32 Abs. 4 lit. g grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit.

Meldepflicht: was nach einem erheblichen Vorfall zu übermitteln ist

§ 34 Abs. 1 lautet: „Wesentliche und wichtige Einrichtungen haben dem für sie zuständigen sektorspezifischen CSIRT oder den für sie zuständigen sektorspezifischen CSIRTs, in Ermangelung eines solchen dem nationalen CSIRT, unverzüglich jeden erheblichen Cybersicherheitsvorfall (§ 35) zu melden.“ Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter.

Die Übermittlungsstufen nach § 34 Abs. 2:

• eine Frühwarnung unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme (§ 34 Abs. 2 Z 1);
• eine Meldung über den Cybersicherheitsvorfall unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme, mit erster Bewertung von Schweregrad und Auswirkungen (§ 34 Abs. 2 Z 2);
• auf Ersuchen einen Zwischenbericht (§ 34 Abs. 2 Z 3);
• einen Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung (§ 34 Abs. 2 Z 4).

Beeinträchtigt der Vorfall die Erbringung des Dienstes, sind zusätzlich die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Wann ein Vorfall als erheblich gilt, bestimmt § 35 Abs. 1 und 2. Über welchen konkreten elektronischen Kanal das jeweils zuständige sektorspezifische CSIRT Meldungen entgegennimmt, ergibt sich nicht eindeutig aus dem Gesetzestext – bitte bestätigen: Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) als offizielle Quelle.

Registrierung, Selbstdeklaration und die Aufsicht über die Unterlagen

Erfasste Einrichtungen müssen sich fristgerecht bei der Cybersicherheitsbehörde registrieren und Änderungen bekannt geben; ein Versäumnis oder wissentlich falsche bzw. unvollständige Angaben sind mit Geldstrafe bedroht (§ 45 Abs. 4 Z 1 und Z 2, jeweils mit Verweis auf § 29 Abs. 3 und Abs. 4). Ebenfalls strafbewehrt ist die nicht fristgerechte Selbstdeklaration nach § 33 Abs. 1 sowie eine Selbstdeklaration mit wissentlich falschen Angaben über die Umsetzung von Risikomanagementmaßnahmen (§ 45 Abs. 4 Z 7 und Z 8).

Die Aufsicht richtet sich auf den Dokumentationsbestand als Ganzes. Die Cybersicherheitsbehörde übt Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen aus (§ 4 Abs. 1 Z 13 in Verbindung mit §§ 38 und 39). § 38 Abs. 1 nennt unter anderem Kontrollen (Z 1), Sicherheitsscans (Z 2), die Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte (Z 3), die Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung (Z 4) und Ad-hoc-Prüfungen (Z 5). Wer diese Mitwirkung be- oder verhindert oder Unterlagen nicht bereitstellt, begeht eine Verwaltungsübertretung (§ 45 Abs. 4 Z 12 bis Z 16).

Die Nichtumsetzung von Risikomanagementmaßnahmen nach § 32 und die Verletzung der Melde- und Berichtspflichten nach § 34 sind gesondert sanktioniert: bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Vorjahresumsatzes für wesentliche Einrichtungen (§ 45 Abs. 2) und bis zu 7 000 000 EUR oder bis zu 1,4 % für wichtige Einrichtungen (§ 45 Abs. 3), je nachdem, welcher Betrag höher ist.

Der Lieferketten-Ring: warum auch nicht erfasste Betriebe Nachweise liefern sollen

Weil § 32 Abs. 4 lit. d jede erfasste Einrichtung verpflichtet, die sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern zu steuern, wirkt das Gesetz über seinen Anwendungsbereich hinaus. Ein Krankenhaus, ein Energieversorger oder ein Anbieter verwalteter Dienste muss die Cybersicherheitspraxis seiner Zulieferer berücksichtigen – einschließlich der Sicherheit ihrer Entwicklungsprozesse und der Gesamtqualität der Produkte.

Die Folge ist ein Ring aus Anfragen: Auch Unternehmen, die selbst weder wesentliche noch wichtige Einrichtung sind, erhalten von ihren Kunden Fragebögen, Vertragsklauseln und Bitten um Nachweise zu Zugriffskontrolle, Backup, Vorfallsbehandlung und Schulungen. Für diese Betriebe entsteht die Anforderung nicht aus eigener gesetzlicher Pflicht, sondern aus dem Vertragsverhältnis mit einem erfassten Kunden. Wer keine Unterlagen vorlegen kann, verliert Ausschreibungen – unabhängig davon, wie gut die Technik tatsächlich ist.

Der erste Schritt: das Risikomanagement-Konzept

Alle weiteren Dokumente bauen auf einem einzigen auf. Das Risikomanagement-Konzept nach § 32 Abs. 4 lit. a legt fest, welche Netz- und Informationssysteme für den Betrieb und die Erbringung der Dienste genutzt werden, welche Risiken diesen Systemen drohen und nach welchen Kriterien Maßnahmen ausgewählt und priorisiert werden. Erst daraus lassen sich die Vorfallsbehandlung (lit. b), die Aufrechterhaltung des Betriebs (lit. c), die Lieferkettensicherheit (lit. d) und die Nachweise für Zugriffskontrolle, Kryptografie und Schulungen sinnvoll ableiten.

Wer heute beginnt, sollte deshalb nicht mit einer Checkliste technischer Einzelmaßnahmen starten, sondern mit der Bestandsaufnahme und der schriftlich festgehaltenen Risikoanalyse – genehmigt und überwacht durch die Leitungsorgane. Für die verbindliche Auslegung des Gesetzestextes und für Verordnungen nach § 32 Abs. 5, mit denen die Cybersicherheitsbehörde nähere Anforderungen festlegen kann, ist die veröffentlichte Information der Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) die offizielle Quelle.