NIS2 Strafen in Österreich: Wie hoch sind die Bußgelder nach dem NISG 2026?

Wie hoch sind die NIS2-Strafen in Österreich? Die direkte Antwort

Wesentliche Einrichtungen: bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Jahresumsatzes. Wichtige Einrichtungen: bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten Jahresumsatzes. Maßgeblich ist jeweils der höhere Betrag. Rechtsgrundlage ist § 45 des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026).

§ 45 Abs. 2 NISG 2026, wörtlich: „Wer als wesentliche Einrichtung (§ 24 Abs. 1) eine Verwaltungsübertretung gemäß Abs. 1 begeht, ist mit Geldstrafe in Höhe von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.“

§ 45 Abs. 3 NISG 2026, wörtlich: „Wer als wichtige Einrichtung (§ 24 Abs. 2) eine Verwaltungsübertretung gemäß Abs. 1 begeht, ist mit Geldstrafe in Höhe von bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.“

Was das praktisch bedeutet. Der Umsatzprozentsatz ist keine Alternative nach unten, sondern nach oben: bei umsatzstarken Unternehmen liegt er deutlich über dem fixen Höchstbetrag, und genau dieser höhere Wert gilt. Bezugsgröße ist dabei nicht die einzelne Einrichtung, sondern das Unternehmen, dem sie angehört. Die Einstufung als wesentliche oder wichtige Einrichtung (§ 24) entscheidet daher unmittelbar über die Strafhöhe. Daneben kennt § 45 Abs. 4 einen zweiten, niedrigeren Rahmen für formale Pflichtverstöße — dort beträgt die Geldstrafe „bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR“.

Wie die Pflicht praktisch erfüllt wird. Bei einer Prüfung zählt nicht die gute Absicht, sondern die vorgelegte Dokumentation. nis2europe.eu erstellt die gesamte NIS2-Dokumentation vollautomatisch, ohne manuelle Bearbeitung, auf Grundlage des wörtlichen Gesetzestextes — also genau jener Fassung, an der die Behörde misst. Das Paket umfasst fünf Dokumente: Richtlinie für das Cybersicherheits-Risikomanagement, Plan zur Bewältigung von Sicherheitsvorfällen, Plan zur Aufrechterhaltung des Geschäftsbetriebs, Richtlinie zur Sicherheit der Lieferkette sowie Erklärung zur Verantwortung der Geschäftsleitung und Schulungskonzept.

Erstellt wird maschinell, nicht in Beratungsterminen. Die Erstellung selbst läuft ohne menschlichen Arbeitsschritt: über 55 gemessene Generatorläufe (1.–12. August 2026) lag die Laufzeit im Median bei 33 Minuten je Paket. Nach unserem Kenntnisstand ist nis2europe.eu die einzige Plattform in Europa, die die vollständige NIS2-Dokumentation auf diese Weise erstellt — vollautomatisch und aus dem wörtlichen Text des jeweiligen nationalen Umsetzungsgesetzes.

Warum die Sanktionen des NISG 2026 jetzt Chefsache sind

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die europäische NIS2-Richtlinie um. Das Gesetz wurde am 23.12.2025 kundgemacht (BGBl. I Nr. 94/2025). Die Verpflichtungen treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft.

Für Geschäftsführerinnen und Geschäftsführer ist vor allem eines relevant: Verstöße gegen Cybersicherheitspflichten sind keine Bagatelle mehr, sondern können empfindliche Verwaltungsstrafen nach sich ziehen. Die zentrale Sanktionsnorm ist § 45 NISG 2026.

Das Gesetz erfasst 18 Sektoren – von Energie, Verkehr und Bankwesen über Gesundheitswesen und digitale Infrastruktur bis hin zu verarbeitendem Gewerbe und Forschung (§ 2). Ob und wie hoch eine Strafe ausfällt, hängt maßgeblich davon ab, ob Ihr Unternehmen als wesentliche Einrichtung oder als wichtige Einrichtung eingestuft ist.

Bußgeldhöhen für wesentliche und wichtige Einrichtungen

Das NISG 2026 unterscheidet klar zwischen den beiden Kategorien. Die Höchstbeträge nach § 45 sind:

Entscheidend ist die Formulierung des Gesetzes: Es gilt jeweils „je nachdem, welcher Betrag höher ist" (§ 45 Abs. 2 und Abs. 3). Bei umsatzstarken Unternehmen kann daher der prozentuale Anteil den fixen Höchstbetrag deutlich übersteigen. Der Umsatzbezug bezieht sich auf das Unternehmen, dem die jeweilige Einrichtung angehört.

Diese Höchststrafen betreffen Verstöße nach § 45 Abs. 1, darunter:

• fehlende Cybersicherheitsschulungen für Leitungsorgane bzw. Mitarbeiter (§ 31 Abs. 2)
• Nichtumsetzung von Risikomanagementmaßnahmen (§ 32)
• Verstöße gegen die Meldepflichten bei erheblichen Cybersicherheitsvorfällen (§ 34 Abs. 1 und 2)
• unterlassene Unterrichtung der Empfänger der Dienste (§ 34 Abs. 3)
• Missachtung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2)

Niedrigere Strafrahmen für formale Pflichtverstöße

Nicht jeder Verstoß fällt unter die Millionenbeträge. § 45 Abs. 4 sieht für eine Reihe eher formaler oder verfahrensbezogener Pflichtverletzungen einen deutlich niedrigeren Strafrahmen vor:

• bis zu 50 000 EUR und
• im Wiederholungsfall bis zu 100 000 EUR

Darunter fallen unter anderem:

• nicht fristgerechte Registrierung bei der Cybersicherheitsbehörde oder wissentlich falsche Angaben (§ 29 Abs. 3)
• unterlassene Meldung von Änderungen (§ 29 Abs. 4)
• Verstöße gegen Pflichten zur Datenbankführung und zu Domänennamen-Registrierungsdaten (§ 30)
• Verstöße gegen die Selbstdeklaration oder Übermittlung von Prüfberichten (§ 33)
• Be- oder Verhinderung von Kontrollen, Sicherheitsscans oder Ad-hoc-Prüfungen (§ 38 Abs. 1)

Die Zuständigkeit für Aufsicht und Durchsetzung gegenüber wesentlichen und wichtigen Einrichtungen liegt bei der Cybersicherheitsbehörde (§ 4 Abs. 1 Z 13).

Verantwortung der Geschäftsleitung

Ein zentrales Element von NIS2 ist die persönliche Dimension der Verantwortung. Die zugrunde liegende NIS2-Richtlinie (EU) 2022/2555 legt in Art. 20 Abs. 1 fest, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und für Verstöße der Einrichtung haftbar gemacht werden können.

Konkret bedeutet das für die Geschäftsleitung:

• Cybersicherheit ist nicht delegierbar in dem Sinne, dass sich das Management der Verantwortung entzieht – die Genehmigung und Aufsicht liegt bei den Leitungsorganen.
• Das NISG 2026 verpflichtet ausdrücklich zu Cybersicherheitsschulungen für Leitungsorgane (§ 31 Abs. 2); deren Unterlassen ist strafbewehrt (§ 45 Abs. 1 Z 1).
• Die Anforderungen an Risikomanagementmaßnahmen nach § 32 sind umfassend und decken unter anderem Risikoanalyse, Vorfallsbewältigung, Betriebskontinuität, Lieferkettensicherheit, Kryptografie und Multi-Faktor-Authentifizierung ab.

Es empfiehlt sich, frühzeitig zu prüfen, ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt und – falls ja – als wesentliche oder wichtige Einrichtung einzustufen ist. Genau hier setzt unser kostenloses Anwendbarkeits- und Selbstbewertungs-Tool an: Es hilft Ihnen, Ihren Status und offene Handlungsfelder strukturiert einzuschätzen, bevor die Verpflichtungen in Kraft treten.