Die 10 NIS2-Risikomanagementmaßnahmen nach § 32 NISG 2026 – praktische Checkliste für Österreich
Worum es bei den Risikomanagementmaßnahmen geht
Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die europäische NIS2-Richtlinie um. Kernstück der Pflichten für Unternehmen ist § 32 NISG 2026, der die europäische Vorgabe aus Art 21(2) der Richtlinie (EU) 2022/2555 national verankert.
Der Grundsatz steht in § 32 Abs. 1 NISG 2026: Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen. Ziel ist es, Risiken für die Sicherheit der Netz- und Informationssysteme zu reduzieren und die Auswirkungen von Cybersicherheitsvorfällen auf die Nutzer der Dienste zu verhindern oder möglichst gering zu halten.
Die Maßnahmen müssen laut § 32 Abs. 2 NISG 2026 den Stand der Technik, gegebenenfalls einschlägige nationale, europäische und internationale Normen sowie die Kosten der Umsetzung berücksichtigen und ein dem Risiko angemessenes Cybersicherheitsniveau gewährleisten. Dies entspricht wortgleich dem Ansatz aus Art 21(1) der NIS2-Richtlinie.
Zuständige nationale Behörde ist die Cybersicherheitsbehörde (NISG 2026 § 4).
Verhältnismäßigkeit: Was ist für Ihr Unternehmen angemessen?
NIS2 verlangt keine Einheitslösung. Nach § 32 Abs. 3 NISG 2026 sind bei der Beurteilung der Verhältnismäßigkeit gebührend zu berücksichtigen:
- das Ausmaß der Risikoexposition der Einrichtung sowie ihrer Dienste,
- die Größe der Einrichtung,
- die Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen und deren Schwere, einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen.
Die Maßnahmen müssen laut § 32 Abs. 4 NISG 2026 auf einem gefahrenübergreifenden Ansatz (all-hazards approach) beruhen, der den Schutz der Netz- und Informationssysteme samt ihrer physischen Komponenten vor Cybersicherheitsvorfällen zum Ziel hat.
Wichtig für die Unternehmensführung: Die NIS2-Richtlinie sieht in Art 20(1) vor, dass die Leitungsorgane die Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und für Verstöße haftbar gemacht werden können. Cybersicherheit ist damit ausdrücklich Chefsache.
Die 10 Maßnahmen als Checkliste (§ 32 Abs. 4 NISG 2026)
§ 32 Abs. 4 NISG 2026 zählt den Mindestinhalt der Risikomanagementmaßnahmen auf – deckungsgleich mit der Liste in Art 21(2) lit. a–j der Richtlinie (EU) 2022/2555. Nutzen Sie die folgende Tabelle als Ausgangspunkt für Ihre Gap-Analyse:
| Punkt | Maßnahme laut § 32 Abs. 4 NISG 2026 |
|---|---|
| a) | Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme |
| b) | Bewältigung von Cybersicherheitsvorfällen (Incident Handling) |
| c) | Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement |
| d) | Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern |
| e) | Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen |
| f) | Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen |
| g) | Grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit |
| h) | Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung |
| i) | Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen |
| j) | Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme |
Beachten Sie: Die Cybersicherheitsbehörde ist gemäß § 32 Abs. 5 NISG 2026 ermächtigt, durch Verordnung nähere Anforderungen an diese Maßnahmen festzulegen und Durchführungsrechtsakte der Europäischen Kommission auf weitere Sektoren anwendbar zu machen.
Wer ist betroffen – wesentliche und wichtige Einrichtungen
Die Pflichten des § 32 NISG 2026 treffen wesentliche Einrichtungen und wichtige Einrichtungen. Die Einstufung regelt § 24 NISG 2026.
- Wesentliche Einrichtung: unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene sowie Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen betreiben (§ 24 Abs. 1).
- Wichtige Einrichtung: unter anderem Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, sowie Einrichtungen der öffentlichen Verwaltung auf Landesebene (§ 24 Abs. 2).
Das Gesetz erfasst insgesamt 18 Sektoren (§ 2 NISG 2026), darunter Energie, Verkehr, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste sowie verarbeitendes Gewerbe.
Wer feststellt, dass er die Maßnahmen nicht erfüllt, muss laut Art 21(4) der Richtlinie ohne unangemessene Verzögerung alle erforderlichen, geeigneten und verhältnismäßigen Korrekturmaßnahmen ergreifen.
Fristen und Sanktionen bei Nichtumsetzung
Inkrafttreten: Die Verpflichtungen des NISG 2026 treten laut § 51 NISG 2026 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Die Kundmachung erfolgte am 23.12.2025 (BGBl. I Nr. 94/2025); bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.
Sanktionen: Die Verwaltungsstrafbestimmungen finden sich in § 45 NISG 2026. Wer Risikomanagementmaßnahmen gemäß § 32 nicht umsetzt (§ 45 Abs. 1 Z 3), kann bestraft werden:
- als wesentliche Einrichtung mit Geldstrafe bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2);
- als wichtige Einrichtung mit Geldstrafe bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (§ 45 Abs. 3).
Die zehn Maßnahmen sind damit kein „Nice-to-have“, sondern eine sanktionsbewehrte gesetzliche Pflicht. Ein strukturierter Scoping- und Gap-Check hilft, Lücken frühzeitig zu erkennen.
Häufig gestellte Fragen
Wo sind die 10 NIS2-Risikomanagementmaßnahmen in Österreich geregelt?
Sie stehen in § 32 Abs. 4 NISG 2026 (Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025). Dieser setzt die Liste aus Art 21(2) lit. a–j der Richtlinie (EU) 2022/2555 um und nennt Mindestinhalte von Risikoanalyse über Lieferkettensicherheit bis Multi-Faktor-Authentifizierung.
Gelten dieselben Maßnahmen für alle Unternehmen gleich?
Nein. Nach § 32 Abs. 3 NISG 2026 sind die Maßnahmen verhältnismäßig anzuwenden. Berücksichtigt werden das Ausmaß der Risikoexposition, die Größe der Einrichtung sowie die Wahrscheinlichkeit und Schwere möglicher Cybersicherheitsvorfälle.
Welche Strafen drohen, wenn die Maßnahmen nicht umgesetzt werden?
Laut § 45 NISG 2026 drohen wesentlichen Einrichtungen Geldstrafen bis zu 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes und wichtigen Einrichtungen bis zu 7 000 000 EUR oder 1,4 % des weltweiten Jahresumsatzes – jeweils der höhere Betrag.
Ab wann gelten die Pflichten in Österreich?
Nach § 51 NISG 2026 treten die Verpflichtungen nach Ablauf von neun Monaten nach der Kundmachung (23.12.2025, BGBl. I Nr. 94/2025) mit dem nächstfolgenden Monatsersten in Kraft. Bis dahin gilt das NISG 2018 weiter.
Prüfen Sie Ihre NIS2-Konformität
Kostenlose Gap-Analyse starten
Kostenlosen Scoping-Test starten Kostenlosen Oberflächenscan starten
Der komplette NIS2-Leitfaden — Österreich →
Dieser Artikel ist allgemeine Information, keine Rechtsberatung. Den konkreten Fall bestätigt ein Partneranwalt.