NIS2-Strafen und Sanktionen in Österreich: Was das NISG 2026 für Ihr Unternehmen bedeutet

Warum die Sanktionen des NISG 2026 jetzt Chefsache sind

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die europäische NIS2-Richtlinie um. Das Gesetz wurde am 23.12.2025 kundgemacht (BGBl. I Nr. 94/2025). Die Verpflichtungen treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft.

Für Geschäftsführerinnen und Geschäftsführer ist vor allem eines relevant: Verstöße gegen Cybersicherheitspflichten sind keine Bagatelle mehr, sondern können empfindliche Verwaltungsstrafen nach sich ziehen. Die zentrale Sanktionsnorm ist § 45 NISG 2026.

Das Gesetz erfasst 18 Sektoren – von Energie, Verkehr und Bankwesen über Gesundheitswesen und digitale Infrastruktur bis hin zu verarbeitendem Gewerbe und Forschung (§ 2). Ob und wie hoch eine Strafe ausfällt, hängt maßgeblich davon ab, ob Ihr Unternehmen als wesentliche Einrichtung oder als wichtige Einrichtung eingestuft ist.

Bußgeldhöhen für wesentliche und wichtige Einrichtungen

Das NISG 2026 unterscheidet klar zwischen den beiden Kategorien. Die Höchstbeträge nach § 45 sind:

Entscheidend ist die Formulierung des Gesetzes: Es gilt jeweils „je nachdem, welcher Betrag höher ist" (§ 45 Abs. 2 und Abs. 3). Bei umsatzstarken Unternehmen kann daher der prozentuale Anteil den fixen Höchstbetrag deutlich übersteigen. Der Umsatzbezug bezieht sich auf das Unternehmen, dem die jeweilige Einrichtung angehört.

Diese Höchststrafen betreffen Verstöße nach § 45 Abs. 1, darunter:

• fehlende Cybersicherheitsschulungen für Leitungsorgane bzw. Mitarbeiter (§ 31 Abs. 2)
• Nichtumsetzung von Risikomanagementmaßnahmen (§ 32)
• Verstöße gegen die Meldepflichten bei erheblichen Cybersicherheitsvorfällen (§ 34 Abs. 1 und 2)
• unterlassene Unterrichtung der Empfänger der Dienste (§ 34 Abs. 3)
• Missachtung angeordneter Durchsetzungsmaßnahmen (§ 39 Abs. 2)

Niedrigere Strafrahmen für formale Pflichtverstöße

Nicht jeder Verstoß fällt unter die Millionenbeträge. § 45 Abs. 4 sieht für eine Reihe eher formaler oder verfahrensbezogener Pflichtverletzungen einen deutlich niedrigeren Strafrahmen vor:

• bis zu 50 000 EUR und
• im Wiederholungsfall bis zu 100 000 EUR

Darunter fallen unter anderem:

• nicht fristgerechte Registrierung bei der Cybersicherheitsbehörde oder wissentlich falsche Angaben (§ 29 Abs. 3)
• unterlassene Meldung von Änderungen (§ 29 Abs. 4)
• Verstöße gegen Pflichten zur Datenbankführung und zu Domänennamen-Registrierungsdaten (§ 30)
• Verstöße gegen die Selbstdeklaration oder Übermittlung von Prüfberichten (§ 33)
• Be- oder Verhinderung von Kontrollen, Sicherheitsscans oder Ad-hoc-Prüfungen (§ 38 Abs. 1)

Die Zuständigkeit für Aufsicht und Durchsetzung gegenüber wesentlichen und wichtigen Einrichtungen liegt bei der Cybersicherheitsbehörde (§ 4 Abs. 1 Z 13).

Verantwortung der Geschäftsleitung

Ein zentrales Element von NIS2 ist die persönliche Dimension der Verantwortung. Die zugrunde liegende NIS2-Richtlinie (EU) 2022/2555 legt in Art. 20 Abs. 1 fest, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und für Verstöße der Einrichtung haftbar gemacht werden können.

Konkret bedeutet das für die Geschäftsleitung:

• Cybersicherheit ist nicht delegierbar in dem Sinne, dass sich das Management der Verantwortung entzieht – die Genehmigung und Aufsicht liegt bei den Leitungsorganen.
• Das NISG 2026 verpflichtet ausdrücklich zu Cybersicherheitsschulungen für Leitungsorgane (§ 31 Abs. 2); deren Unterlassen ist strafbewehrt (§ 45 Abs. 1 Z 1).
• Die Anforderungen an Risikomanagementmaßnahmen nach § 32 sind umfassend und decken unter anderem Risikoanalyse, Vorfallsbewältigung, Betriebskontinuität, Lieferkettensicherheit, Kryptografie und Multi-Faktor-Authentifizierung ab.

Es empfiehlt sich, frühzeitig zu prüfen, ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt und – falls ja – als wesentliche oder wichtige Einrichtung einzustufen ist. Genau hier setzt unser kostenloses Scoping- und Gap-Tool an: Es hilft Ihnen, Ihren Status und offene Handlungsfelder strukturiert einzuschätzen, bevor die Verpflichtungen in Kraft treten.