NIS2 für Produktionsbetriebe in Österreich: Was das NISG 2026 für Elektronik-, Maschinen-, Fahrzeug- und Medizinproduktehersteller bedeutet

Fällt Ihr Produktionsbetrieb unter das NISG 2026?

Ja, die Branche ist erfasst. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) nennt in § 2 als Sektor 16 das „Verarbeitende Gewerbe und Herstellung von Waren" und führt die zugehörigen Teilsektoren in Anlage 2 Nr. 5 auf – darunter ausdrücklich Medizinprodukte, Datenverarbeitungsgeräte und elektronische Erzeugnisse, Maschinenbau sowie den Fahrzeugbau.

Ob Ihr Unternehmen tatsächlich verpflichtet ist, entscheidet zusätzlich die Unternehmensgröße nach § 24 in Verbindung mit § 25 NISG 2026. Der erste Schritt ist deshalb immer derselbe: Stellen Sie fest, ob Ihre Tätigkeit einem Teilsektor der Anlage 2 entspricht und ob Sie ein mittleres oder großes Unternehmen betreiben – und halten Sie dieses Ergebnis nachvollziehbar schriftlich fest.

Zeitlicher Rahmen: Nach § 51 NISG 2026 treten die Pflichten „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft. Die Kundmachung erfolgte am 23. Dezember 2025; bis zum Inkrafttreten gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

So benennt das NISG 2026 Ihre Branche

Die Zuordnung erfolgt über Anlage 2 („Sonstige kritische Sektoren") Nr. 5 – „Verarbeitendes Gewerbe/Herstellung von Waren". Die dort genannten Teilsektoren lauten wörtlich:

• a) Herstellung von Medizinprodukten und In-vitro-Diagnostika – erfasst sind „Einrichtungen, die Medizinprodukte im Sinne des Art. 2 Z 1 der Verordnung (EU) 2017/745 (…) herstellen, und Einrichtungen, die In-vitro-Diagnostika im Sinne des Art. 2 Z 2 der Verordnung (EU) 2017/746 (…) herstellen", mit Ausnahme jener, die bereits unter Anlage 1 Nr. 5 fünfte Variante fallen
• b) Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen
• c) Herstellung von elektronischen Ausrüstungen
• d) Maschinenbau
• e) Herstellung von Kraftwagen und Kraftwagenteilen
• f) sonstiger Fahrzeugbau

Für die Teilsektoren b) bis f) stellt das Gesetz jeweils auf „Unternehmen, die eine der Wirtschaftstätigkeiten" des jeweiligen Abschnitts der EU-Wirtschaftszweigsystematik ausüben, ab. Die maßgebliche Tätigkeitsliste finden Sie neben diesem Artikel.

Wichtig: Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden (Art. 22 der Verordnung (EU) 2022/123), sind nicht in Anlage 2, sondern im Sektor Gesundheitswesen der Anlage 1 geregelt – mit entsprechend strengerer Einstufung.

Wesentliche oder wichtige Einrichtung – und ab welcher Größe?

Das NISG 2026 unterscheidet in § 24 zwei Klassen:

Daraus folgt für die meisten Elektronik-, Maschinen- und Fahrzeugbaubetriebe: Sie sind – sofern sie ein mittleres oder großes Unternehmen betreiben – wichtige Einrichtung. Kleinstunternehmen und kleine Unternehmen werden von § 24 Abs. 2 Z 1 nicht erfasst.

Die Ermittlung der Unternehmensgröße richtet sich nach § 25 NISG 2026 (§ 25 Abs. 2 für große, § 25 Abs. 3 für mittlere Unternehmen). Die konkreten Schwellenwerte für Beschäftigtenzahl, Umsatz und Bilanzsumme entnehmen Sie bitte dem amtlichen Gesetzestext bzw. den veröffentlichten Informationen der Cybersicherheitsbehörde (offizielle Quelle).

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Das NISG 2026 formuliert für Produktionsbetriebe keine branchenspezifischen Sonderpflichten. Es gelten dieselben Anforderungen wie für alle wesentlichen und wichtigen Einrichtungen – lediglich Aufsicht und Strafrahmen unterscheiden sich nach der Einstufung.

Risikomanagementmaßnahmen (§ 32 NISG 2026): Die Maßnahmen müssen geeignet, verhältnismäßig sowie technischer, operativer und organisatorischer Natur sein und dem Stand der Technik entsprechen. § 32 Abs. 4 verlangt einen gefahrenübergreifenden Ansatz mit mindestens diesen Inhalten:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Cybersicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
• Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Gerade der Punkt Lieferkette trifft die Fertigung spürbar: § 32 Abs. 4 lit. d nennt ausdrücklich die spezifischen Schwachstellen einzelner Anbieter, die Gesamtqualität der Produkte und die Sicherheit der Entwicklungsprozesse der Zulieferer.

Verantwortung der Geschäftsführung: Nach Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 billigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden. Das NISG 2026 verlangt zudem Cybersicherheitsschulungen für Leitungsorgane und – nach § 31 Abs. 2 zweiter Satz – auch für die Mitarbeiter; deren Unterlassung ist ausdrücklich strafbewehrt (§ 45 Abs. 1 Z 1 und 2).

Registrierung: Das Gesetz sieht eine fristgebundene Registrierung bei der Cybersicherheitsbehörde nach § 29 Abs. 3 sowie die Bekanntgabe von Änderungen nach § 29 Abs. 4 vor; beides ist nach § 45 Abs. 4 Z 1 und 2 bußgeldbewehrt. Den Registrierungsweg und die genauen Fristen entnehmen Sie bitte den Veröffentlichungen der Cybersicherheitsbehörde (offizielle Quelle).

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Nach § 34 Abs. 1 NISG 2026 melden wesentliche und wichtige Einrichtungen jeden erheblichen Cybersicherheitsvorfall unverzüglich dem für sie zuständigen sektorspezifischen CSIRT, in Ermangelung eines solchen dem nationalen CSIRT. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter.

Die Fristenkette des § 34 Abs. 2:

1. Frühwarnung – unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme, gegebenenfalls mit dem Hinweis auf einen Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitende Auswirkungen 2. Meldung über den Cybersicherheitsvorfall – unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme, mit erster Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren 3. Zwischenbericht – auf Ersuchen eines CSIRT oder der Cybersicherheitsbehörde 4. Abschlussbericht – spätestens einen Monat nach Übermittlung der Meldung, mit ausführlicher Beschreibung, Ursachen, Abhilfemaßnahmen und etwaigen grenzüberschreitenden Auswirkungen 5. Fortschrittsbericht, wenn der Vorfall zum Fälligkeitszeitpunkt noch andauert; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung

Beeinträchtigt der Vorfall die Erbringung Ihrer Dienste, sind zusätzlich die Empfänger dieser Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Wann ein Vorfall „erheblich" ist, definiert § 35: schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste bzw. erhebliche materielle oder immaterielle Schäden bei Dritten. Das CSIRT antwortet auf die Frühwarnung spätestens 24 Stunden nach deren Eingang (§ 34 Abs. 4). Freiwillige Meldungen von Beinahe-Vorfällen und Cyberbedrohungen sind nach § 37 möglich.

Geldstrafen nach § 45 NISG 2026

Die Verwaltungsstrafbestimmungen knüpfen unmittelbar an die Einstufung an:

Für formale Verstöße – etwa nicht fristgerechte Registrierung nach § 29 Abs. 3, unterlassene Selbstdeklaration nach § 33 Abs. 1 oder die Behinderung einer Kontrolle nach § 38 – sieht § 45 Abs. 4 Geldstrafen bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Zuständig für Aufsicht und Durchsetzung gegenüber wesentlichen und wichtigen Einrichtungen ist die Cybersicherheitsbehörde (§ 4 Abs. 1 Z 13 in Verbindung mit den §§ 38 und 39).