NIS2 · Österreich

NISG 2026 — Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026)

NIS2 in Österreich: Wer unter das NISG 2026 fällt und wie die Dokumentation entsteht

Was diese Plattform ist

Diese Plattform erstellt NIS2-Dokumentation für österreichische Unternehmen: Sicherheitsleitlinien, Konzepte, Register, Verfahrensbeschreibungen und Nachweislisten. Grundlage ist nicht eine allgemeine Vorlage, sondern das Profil Ihres eigenen Unternehmens – Sektor, Größe und Rolle in der Lieferkette.

Der entscheidende Punkt: Jede rechtliche Aussage im erzeugten Dokument wird gegen den Text des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026), BGBl. I Nr. 94/2025, abgeglichen. Aussagen, die sich nicht auf eine konkrete Bestimmung stützen lassen, werden entfernt oder korrigiert. So entsteht ein Dokument, dessen Sätze eine Fundstelle tragen und das eine Aufsichtsbehörde, eine prüfende Stelle oder ein einkaufender Kunde am Gesetzestext nachvollziehen kann.

Die Plattform trifft keine Aussage darüber, ob Ihr Unternehmen die gesetzlichen Anforderungen inhaltlich erfüllt. Sie liefert die Unterlagen, mit denen Sie Ihre eigene Umsetzung darstellen und belegen.

Für wen die Unterlagen gedacht sind

Das NISG 2026 unterscheidet zwei statutarische Kategorien: die wesentliche Einrichtung (§ 24 Abs. 1) und die wichtige Einrichtung (§ 24 Abs. 2). Für die zweite Kategorie bestimmt das Gesetz unter anderem:

> „Einrichtungen der in den Anlagen 1 und 2 dieses Gesetzes genannten Art, die ein großes oder mittleres Unternehmen betreiben“ (§ 24 Abs. 2 Z 1 NISG 2026)

Als wesentliche Einrichtung gelten demgegenüber etwa – unabhängig von der Unternehmensgröße – qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter sowie Einrichtungen der öffentlichen Verwaltung auf Bundesebene, ferner Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben (§ 24 Abs. 1).

Das Gesetz erfasst 18 Sektoren, darunter Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung (§ 2). Die Teilsektoren und Arten von Einrichtungen stehen in den Anlagen 1 und 2.

Wie groß ein Unternehmen im Sinne des Gesetzes ist, richtet sich nach § 25. Die maßgeblichen Schwellen entnehmen Sie bitte dem amtlichen Gesetzestext; für verbindliche Auskünfte ist die Cybersicherheitsbehörde (§ 4) die offizielle Stelle.

Ein zweiter Adressatenkreis sind Zulieferer: Weil das Maßnahmenpaket ausdrücklich die Sicherheit der Lieferkette und die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern umfasst (§ 32 Abs. 4 lit. d), fordern Auftraggeber Nachweise auch von Partnern, die selbst nicht eingestuft sind.

Wie die Erstellung abläuft

Der Ablauf besteht aus vier Schritten:

1. Profil ausfüllen. Sie geben Sektor und Teilsektor nach den Anlagen 1 und 2, die Unternehmensgröße und Ihre Rolle an – etwa Betreiber, Diensteanbieter oder Zulieferer. 2. Dokument erzeugen. Aus diesem Profil wird der Entwurf gebildet: Struktur, Kapitel und Nachweislisten richten sich nach dem, was für Ihre Einstufung einschlägig ist. 3. Dreistufige Prüfung. Der Entwurf wird in drei aufeinanderfolgenden Durchgängen mit dem Gesetzestext verglichen. Jede rechtliche Aussage muss auf eine Bestimmung des NISG 2026 zurückführbar sein; nicht gedeckte Formulierungen werden korrigiert oder gestrichen, Fundstellen werden in der Originalform angeführt. 4. Herunterladen. Das fertige Dokument steht Ihnen zur weiteren Bearbeitung, zur Beschlussfassung im Unternehmen und zur Vorlage bereit.

Entwicklung in Zahlen

Die Entwicklung ist kontinuierlich, nicht ununterbrochen: Ändert sich ein nationales Gesetz, werden die Vorlagen ohne neue Bestellung aktualisiert, und ein Wartungskunde erhält das aktualisierte Dokument automatisch.

  • Plattformentwicklung: 4496 Änderungen seit 06.06.2026
  • Änderungen in den letzten 7 Tagen: 1092
  • Letzte Änderung: 10.09.2026 23:09 (Europe/Tallinn)
  • Tests: 641 grün / 0 rot
  • Qualitätsprüfung, letzter Lauf: 5/5 im ersten Durchgang bestanden
  • Abgedeckte Länder: 24

So funktioniert es →

Was die Plattform leistet – und was nicht

Sie leistet: Dokumente und Nachweislisten, die an der Rechtsgrundlage überprüfbar sind. Das ist deshalb praktisch relevant, weil § 32 Abs. 1 NISG 2026 bestimmt:

> „Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu reduzieren und die Auswirkungen von Cybersicherheitsvorfällen auf die Nutzer ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.“ (§ 32 Abs. 1 NISG 2026)

Die Mindestinhalte dieser Maßnahmen zählt § 32 Abs. 4 auf – von Risikoanalyse-Konzepten über Vorfallsbewältigung, Betriebsaufrechterhaltung, Lieferkettensicherheit, Kryptografie und Zugriffskontrolle bis zur Multi-Faktor-Authentifizierung. Genau diese Punkte müssen sich in schriftlichen Unterlagen wiederfinden, etwa wenn die Behörde nach § 38 Abs. 1 Z 3 dokumentierte Sicherheitskonzepte anfordert.

Sie leistet nicht: Die Plattform ist keine Prüfung und kein Zertifikat. Eine Prüfung führt eine prüfende Stelle beziehungsweise ein zugelassener unabhängiger Prüfer durch (§ 7 Abs. 2 und 3), ein Zertifikat stellt eine Konformitätsbewertungsstelle aus. Die Plattform ersetzt diese Rollen zu keinem Zeitpunkt und sagt nichts darüber aus, ob Ihre Umsetzung ausreicht.

Die zuständige Behörde in Österreich

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit, § 3a, § 4 NISG 2026). Zu ihren Aufgaben zählen unter anderem die Zulassung unabhängiger Prüfer (§ 7 Abs. 2 und 3), die Ausübung der Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen (§§ 38 und 39) sowie die Entgegennahme, Analyse und Weiterleitung von Meldungen (§§ 34, 37).

Daneben bestehen die Zentrale Anlaufstelle (§ 5), die sektorspezifischen CSIRTs und das nationale CSIRT (§ 34) sowie das Nationale Koordinierungszentrum für Cybersicherheit (§ 6). Meldungen erheblicher Cybersicherheitsvorfälle gehen an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT (§ 34 Abs. 1). Die Frühwarnung ist unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme zu übermitteln, die Meldung über den Vorfall unverzüglich, in jedem Fall aber innerhalb von 72 Stunden (§ 34 Abs. 2 Z 1 und Z 2).

Zum Inkrafttreten bestimmt § 51: Die Bestimmungen treten „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft; die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025). Bitte bestätigen Sie den für Sie maßgeblichen Stand anhand der veröffentlichten Informationen der Cybersicherheitsbehörde (offizielle Quelle).

Nutzung und Bezahlung

Gilt NIS2 für Ihr Unternehmen? Kostenlose Prüfung

Beantworten Sie zwei Fragen — das Ergebnis kommt sofort, ohne Registrierung.

Ist Ihr Unternehmen in einem in den NIS2-Anhängen genannten Sektor tätig (z. B. Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienste, Post, Abfall, Chemie, Lebensmittel, Fertigung, digitale Anbieter, Forschung)?
Hat Ihr Unternehmen mindestens 50 Beschäftigte oder einen Jahresumsatz von mindestens 10 Millionen Euro?

Preise

19 € — einmalige Zahlung. Derselbe Preis in jedem Land.

Nach der Zahlung wird das Dokument aus Ihrem Profil erstellt, durchläuft die Prüfung und steht zum Download bereit — das Dokument wird unmittelbar nach der Zahlung geliefert. Die Bestellung ist endgültig: Für digitale rechtliche Inhalte besteht kein Widerrufsrecht.

API

Die API richtet sich an Softwarehersteller, Beratungsunternehmen und IT-Dienstleister, die viele Unternehmen gleichzeitig betreuen.

Ein API-Schlüssel im X-API-Key-Header. Ein kostenloser Sandbox-Schlüssel sofort bei der Registrierung — zum Starten ist keine Zahlung nötig.

API →

Häufig gestellte Fragen

Wer legt am Ende fest, ob unser Betrieb wesentliche oder wichtige Einrichtung ist?

Die Einstufung ergibt sich aus § 24 NISG 2026 in Verbindung mit den Anlagen 1 und 2 und der Größenermittlung nach § 25. Zusätzlich kann die Cybersicherheitsbehörde eine Einrichtung als wesentliche oder wichtige Einrichtung einstufen (§ 26 Abs. 1 und 2). Die Plattform bildet Ihre Angaben strukturiert ab; eine behördliche Einstufung ersetzt sie nicht.

Was passiert konkret in den drei Prüfdurchgängen?

In jedem Durchgang wird der Entwurf Satz für Satz gegen den Text des NISG 2026 gehalten. Formulierungen ohne Deckung im Gesetz werden gestrichen oder umformuliert, verbleibende rechtliche Aussagen erhalten die Fundstelle in Originalform, etwa § 32 Abs. 4 lit. d. Ziel ist ein Text, den ein Dritter am Gesetzestext nachvollziehen kann.

Kann das erzeugte Dokument eine Prüfung durch eine unabhängige Stelle ersetzen?

Nein. Prüfungen führen zugelassene unabhängige Prüfer beziehungsweise unabhängige Stellen nach § 7 NISG 2026 durch, Zertifikate stellen Konformitätsbewertungsstellen aus. Das Dokument dient als Unterlage, die in einem solchen Verfahren oder bei einer behördlichen Informationsanfrage nach § 38 vorgelegt werden kann.

Welche Angaben brauchen wir, bevor wir starten?

Sektor und Teilsektor nach den Anlagen 1 und 2, die Unternehmensgröße im Sinne des § 25 sowie Ihre Rolle – etwa Netzbetreiber, Diensteanbieter oder Zulieferer eines erfassten Kunden. Aus diesen drei Angaben leiten sich Umfang und Kapitelstruktur der Unterlagen ab.

AIPOS OÜ · Registernummer 16966532 · Pargi tn 1, Kabala küla, Türi vald, 72001 Järva maakond, Estland · info@nis2europe.eu

Leistungen · Preise · Häufig gestellte Fragen · Wie NIS2Europe Ihre Dokumente erstellt und prüft · Kaufbedingungen · Datenschutz

Teilen: LinkedIn · X · E-Mail