Österreich NIS2: Der komplette Leitfaden zum NISG 2026 für Geschäftsführer

Was ist das NISG 2026 und ab wann gilt es?

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist die österreichische Umsetzung der EU-Richtlinie (EU) 2022/2555 (kurz: NIS-2-Richtlinie). Es wurde im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025, Kundmachung am 23.12.2025) und löst das bisherige NISG 2018 (BGBl. I Nr. 111/2018) ab.

Der Zweck des Gesetzes ist klar formuliert: Es sollen Maßnahmen festgelegt werden, mit denen ein hohes Cybersicherheitsniveau insbesondere von wesentlichen und wichtigen Einrichtungen erreicht wird (§ 2).

Zeitpunkt des Inkrafttretens: Gemäß § 51 treten die zentralen Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Bis dahin gilt das NISG 2018 weiter.

> Für die Geschäftsführung heißt das: Es bleibt nur ein begrenztes Zeitfenster, um Strukturen, Prozesse und Nachweise aufzubauen. Wer jetzt mit einer Bestandsaufnahme beginnt, verschafft sich einen deutlichen Vorsprung.

Wer fällt in den Anwendungsbereich? (wesentliche und wichtige Einrichtungen)

Das NISG 2026 unterscheidet zwei Kategorien von Betroffenen. Die österreichischen Rechtsbegriffe lauten wesentliche Einrichtung und wichtige Einrichtung (§ 24).

Wesentliche Einrichtungen (§ 24 Abs. 1) sind unter anderem:

• unabhängig von der Unternehmensgröße: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene sowie als kritische Einrichtungen ermittelte Stellen;
• Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen betreiben (§ 25 Abs. 2);
• mittlere Unternehmen, die Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste sind.

Wichtige Einrichtungen (§ 24 Abs. 2) sind unter anderem:

• Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben;
• Einrichtungen der öffentlichen Verwaltung auf Landesebene;
• unabhängig von ihrer Größe: Anbieter öffentlicher Kommunikationsnetze/-dienste sowie Vertrauensdiensteanbieter.

Die 18 Sektoren (§ 2): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), Öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe/Warenherstellung, Anbieter digitaler Dienste sowie Forschung. Die genaue Zuordnung der Teilsektoren ergibt sich aus den Anlagen 1 und 2.

Ausgenommen sind bestimmte Bereiche wie nationale Sicherheit, militärische Landesverteidigung, Justiz, Gesetzgebung sowie das Universitäts-, Hochschul- und Schulwesen (§ 24 Abs. 6). Die maßgeblichen Schwellenwerte für die Unternehmensgröße richten sich nach § 25 (mittleres/großes Unternehmen).

Registrierungspflicht und Frist

Wesentliche und wichtige Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren. Die Registrierungspflicht ist über die Verwaltungsstrafbestimmungen abgesichert: Wer sich nicht fristgerecht gemäß § 29 Abs. 3 registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt, begeht eine Verwaltungsübertretung (§ 45 Abs. 4 Z 1).

Ebenso sanktioniert ist, wer Änderungen gemäß § 29 Abs. 4 nicht im vorgegebenen Zeitraum bekannt gibt (§ 45 Abs. 4 Z 2).

• Registrierungsstelle: Cybersicherheitsbehörde
• Rechtsgrundlage der Frist: § 29 Abs. 3 (die konkrete Fristenlänge in Tagen/Monaten) — [TÄPSUSTAB PARTNER-JURIST]
• Meldung von Änderungen: § 29 Abs. 4

Wichtig: Der genaue Registrierungskanal und die exakte Fristberechnung sollten mit rechtlicher Begleitung im Detail geklärt werden. Die Selbstdeklaration nach § 33 Abs. 1 ist ein davon zu unterscheidender, eigenständiger Nachweisprozess.

Die zehn Bereiche der Risikomanagementmaßnahmen als Checkliste

Das Herzstück der Pflichten sind die Risikomanagementmaßnahmen (§ 32), die die zehn Maßnahmenbereiche des Art. 21(2) der Richtlinie (EU) 2022/2555 abbilden. Einrichtungen müssen geeignete, verhältnismäßige technische, operative und organisatorische Maßnahmen umsetzen, die auf einem gefahrenübergreifenden Ansatz beruhen (§ 32 Abs. 4).

Checkliste der zehn Maßnahmenbereiche (§ 32 Abs. 4 lit. a–j):

Bei der Beurteilung der Verhältnismäßigkeit sind Risikoexposition, Unternehmensgröße sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen zu berücksichtigen (§ 32 Abs. 3). Die Cybersicherheitsbehörde kann durch Verordnung nähere Anforderungen festlegen (§ 32 Abs. 5).

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Wesentliche und wichtige Einrichtungen müssen jeden erheblichen Cybersicherheitsvorfall (§ 35) unverzüglich dem für sie zuständigen sektorspezifischen CSIRT – in Ermangelung eines solchen dem nationalen CSIRT – melden. Das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1).

Das dreistufige Meldeverfahren (§ 34 Abs. 2):

• Frühwarnung – innerhalb von 24 Stunden nach Kenntnisnahme: Angabe, ob der Verdacht auf rechtswidrige/schuldhafte Handlungen oder grenzüberschreitende Auswirkungen besteht (§ 34 Abs. 2 Z 1).
• Meldung – innerhalb von 72 Stunden nach Kenntnisnahme: Aktualisierung der Frühwarnung und erste Bewertung inkl. Schweregrad, Auswirkungen und ggf. Kompromittierungsindikatoren (§ 34 Abs. 2 Z 2).
• Zwischenbericht auf Ersuchen des CSIRT bzw. der Cybersicherheitsbehörde (§ 34 Abs. 2 Z 3).
• Abschlussbericht – spätestens einen Monat nach der Meldung: ausführliche Beschreibung, Art der Bedrohung und Ursachen, Abhilfemaßnahmen sowie ggf. grenzüberschreitende Auswirkungen (§ 34 Abs. 2 Z 4).
• Dauert der Vorfall zum Fälligkeitszeitpunkt noch an, ist ein Fortschrittsbericht zu übermitteln; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5).

Sonderregel Vertrauensdiensteanbieter: Diese melden erhebliche Vorfälle, die die Erbringung ihrer Vertrauensdienste betreffen, unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntnisnahme.

Rückmeldung des CSIRT: Das CSIRT übermittelt spätestens 24 Stunden nach Eingang der Frühwarnung eine erste Rückmeldung und auf Ersuchen operative Beratung (§ 34 Abs. 4).

Wann ein Vorfall erheblich ist, regelt § 35: unter anderem, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht (oder verursachen kann) oder andere Personen durch erhebliche materielle/immaterielle Schäden beeinträchtigt.

Wird die Dienstleistung beeinträchtigt, müssen zudem die Empfänger der Dienste unverzüglich unterrichtet werden (§ 34 Abs. 3).

Geldstrafen und Verantwortung der Geschäftsführung

Die Verwaltungsstrafbestimmungen finden sich in § 45. Sie treffen unter anderem die Nichtumsetzung der Risikomanagementmaßnahmen (§ 32), die Verletzung der Meldepflichten (§ 34) und die Nichtbeachtung angeordneter Durchsetzungsmaßnahmen.

Strafrahmen nach Einrichtungstyp:

Für einen weiteren Katalog von Verstößen – etwa fehlende oder verspätete Registrierung (§ 29 Abs. 3), unterlassene Selbstdeklaration (§ 33 Abs. 1) oder die Behinderung von Kontrollen (§ 38) – sieht § 45 Abs. 4 eine Geldstrafe von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Verantwortung der Leitungsorgane: Nach Art. 20(1) der Richtlinie (EU) 2022/2555 müssen die Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße haftbar gemacht werden. Zudem sind gemäß § 31 Abs. 2 Cybersicherheitsschulungen für Leitungsorgane vorzusehen – deren Unterlassung ist ausdrücklich strafbewehrt (§ 45 Abs. 1 Z 1). Cybersicherheit ist damit ausdrücklich Chefsache.

Die Aufsichtsbehörde und wie Aufsicht aussieht

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit), deren Aufgaben in § 4 (i. V. m. § 3a) geregelt sind. Ergänzend bestehen:

• die Zentrale Anlaufstelle (Single Point of Contact) gemäß § 5;
• sektorspezifische CSIRTs und das nationale CSIRT (§ 34) als Meldestellen für Vorfälle;
• das Nationale Koordinierungszentrum für Cybersicherheit (§ 6).

Aufgaben der Cybersicherheitsbehörde (§ 4) umfassen unter anderem die Ausübung der Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen (§§ 38 und 39), die Entgegennahme, Analyse und Weiterleitung von Meldungen (§ 34) sowie die Zulassung unabhängiger Prüfer (§ 7).

Wie Aufsicht praktisch aussieht (§ 38): Die Behörde kann unter anderem

• Kontrollen der Einrichtung durchführen (§ 38 Abs. 1 Z 1),
• Sicherheitsscans durchführen (§ 38 Abs. 1 Z 2),
• Informationen einschließlich dokumentierter Sicherheitskonzepte anfordern (§ 38 Abs. 1 Z 3),
• Zugang zu Daten und Dokumenten verlangen (§ 38 Abs. 1 Z 4) und
• Ad-hoc-Prüfungen anordnen (§ 38 Abs. 1 Z 5).

Die Behinderung solcher Maßnahmen ist gemäß § 45 Abs. 4 strafbar. Über die Selbstdeklaration (§ 33) müssen Einrichtungen zudem die Umsetzung ihrer Risikomanagementmaßnahmen nachweisen; auch hier drohen bei Versäumnissen oder wissentlich falschen Angaben Strafen.

Nächste Schritte: So bereiten Sie sich vor

Angesichts des begrenzten Zeitfensters bis zum Inkrafttreten empfiehlt sich ein strukturiertes Vorgehen:

1. Betroffenheit klären: Prüfen Sie anhand von § 24 und den Anlagen 1/2, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt. 2. Gap-Analyse durchführen: Vergleichen Sie den Ist-Zustand mit den zehn Maßnahmenbereichen des § 32 Abs. 4. 3. Registrierung und Selbstdeklaration vorbereiten: Klären Sie Fristen (§ 29 Abs. 3) und Nachweispflichten (§ 33) rechtzeitig. 4. Meldeprozess etablieren: Definieren Sie interne Abläufe für die 24-Stunden-Frühwarnung und die 72-Stunden-Meldung. 5. Leitungsorgane einbinden: Schulungen nach § 31 Abs. 2 einplanen und Verantwortlichkeiten festlegen.

Ein erster Scoping- und Gap-Check hilft, den eigenen Handlungsbedarf schnell und ohne großen Aufwand einzuschätzen – bevor die Verpflichtungen wirksam werden.