NIS2 Österreich: NISG 2026 im Überblick — Betroffene Unternehmen, Pflichten und Fristen (Registrierung bis Jänner 2027)

Die NIS-2-Richtlinie der Europäischen Union sollte bis zum 17. Oktober 2024 in nationales Recht jedes Mitgliedstaats umgesetzt sein. In Österreich kam es zu einer bedeutenden Verzögerung: Ein erster Gesetzesentwurf scheiterte im Juli 2024 im Nationalrat an der erforderlichen Zweidrittelmehrheit. Erst am 12. Dezember 2025 verabschiedete der Nationalrat das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) — mit Kundmachung am 23. Dezember 2025 und vollem Inkrafttreten am 1. Oktober 2026.

Dieser Leitfaden erklärt, wen das NISG 2026 betrifft, welche zehn Cybersicherheitsmaßnahmen nach Artikel 21 der NIS-2-Richtlinie konkret umzusetzen sind und welche Fristen für österreichische Unternehmen jetzt gelten. Informationen zur europäischen Grundlage bietet unser Beitrag Was ist die NIS2-Richtlinie?

Dieser Artikel dient der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Die Anforderungen des NISG 2026 können je nach Sektor und Unternehmenstyp variieren — konsultieren Sie für Ihre spezifische Situation eine qualifizierte Rechts- oder Compliance-Fachkraft.

Das NISG 2026: Hintergrund und Umsetzungsverlauf

Die EU-Richtlinie (EU) 2022/2555 — bekannt als NIS-2 — trat am 16. Jänner 2023 in Kraft. Sie verpflichtet alle Mitgliedstaaten, bis zum 17. Oktober 2024 ein nationales Umsetzungsgesetz zu erlassen. Österreich verfehlte diese Frist — wie die Mehrzahl der Mitgliedstaaten: Die Europäische Kommission richtete am 28. November 2024 Aufforderungsschreiben an 23 Mitgliedstaaten, darunter Österreich.

Der Grund lag im österreichischen Verfassungsrecht: Das Gesetz enthält Verfassungsbestimmungen (etwa zur Bundeszuständigkeit), für die im Nationalrat eine Zweidrittelmehrheit erforderlich ist. Dieser Konsens gelang erst im Dezember 2025. Das NISG 2018, das noch die ursprüngliche NIS-Richtlinie umsetzte, ist mit dem Inkrafttreten des NISG 2026 am 1. Oktober 2026 außer Kraft getreten (§ 51 NISG 2026).

Zentrales strukturelles Novum des NISG 2026 ist die Errichtung des Bundesamts für Cybersicherheit (BCS) als dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde (§ 3a NISG 2026). Das BCS ist im Gesetz als „Cybersicherheitsbehörde“ bezeichnet, für alle erfassten Sektoren zuständig und betreibt die zentrale Anlaufstelle (Single Point of Contact, § 5). Für die Vorfallsbehandlung sieht § 8 ein nationales CSIRT, sektorspezifische CSIRTs (derzeit das HealthCERT für den Gesundheitssektor) und das GovCERT für die öffentliche Verwaltung vor. Das bisher ermächtigte nationale CSIRT — CERT.at — nimmt die Aufgaben übergangsweise weiter wahr, längstens zwei Jahre ab Inkrafttreten (§ 51 Abs. 6).

Wichtig für Unternehmen mit Präsenz in mehreren EU-Ländern: Zwischen Oktober 2024 (EU-Deadline) und dem 30. September 2026 galt in Österreich noch das NISG 2018 — mit deutlich engerem Anwendungsbereich und schwächeren Anforderungen als die neue EU-Richtlinie. Seit dem 1. Oktober 2026 gelten die Pflichten des NISG 2026; eine allgemeine Umsetzungsschonfrist sieht das Gesetz nicht vor.

Wer ist vom NISG 2026 betroffen? Sektoren und Schwellenwerte

Das NISG 2026 ist kein allgemeines IT-Sicherheitsgesetz — es gilt sektoriell und größenabhängig. Betroffen sind nach Schätzungen des Parlaments rund 4.000 Einrichtungen und Unternehmen in Österreich; die genaue Zahl wird erst das Register des Bundesamts zeigen. Für die Einstufung müssen beide Kriterien erfüllt sein: der Sektor und die Unternehmensgröße.

Sektoren mit hoher Kritikalität (Anlage 1): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum.

Sonstige kritische Sektoren (Anlage 2): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion und -verarbeitung, verarbeitendes Gewerbe/Herstellung, Anbieter digitaler Dienste, Forschungseinrichtungen.

Die Größenschwellen orientieren sich an der EU-KMU-Definition:

Einrichtungstyp	Klassifizierung	Aufsicht	Höchststrafe
Großes Unternehmen (≥250 MA oder >50 Mio. € Umsatz und >43 Mio. € Bilanz) in Anlage 1	Wesentliche Einrichtung	Proaktiv (ex-ante + ex-post)	10 Mio. € oder 2% Weltumsatz
Mittleres Unternehmen (≥50 MA oder >10 Mio. € Umsatz und >10 Mio. € Bilanz) in Anlage 1 oder 2 sowie großes Unternehmen in Anlage 2	Wichtige Einrichtung	Reaktiv (bei begründeten Hinweisen auf Verstöße)	7 Mio. € oder 1,4% Weltumsatz
Kleines Unternehmen (<50 MA und ≤10 Mio. € Umsatz oder Bilanz)	Grundsätzlich nicht betroffen	—	—

Ausnahme: Bestimmte Einrichtungen — darunter qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und bestimmte Telekommunikationsanbieter — fallen unabhängig von ihrer Größe in den Anwendungsbereich. Detaillierte Sektordefinitionen finden Sie in unserem Beitrag zum NIS2-Anwendungsbereich in der EU.

Die WKÖ stellt unter ratgeber.wko.at/nis2 ein kostenloses Selbsttest-Tool bereit, mit dem Unternehmen in wenigen Minuten prüfen können, ob sie unter das NISG 2026 fallen.

Artikel-21-Pflichten: Die zehn Cybersicherheitsmaßnahmen

Artikel 21 der NIS-2-Richtlinie — in Österreich durch § 32 NISG 2026 umgesetzt und durch die NISV 2026 (BGBl. II Nr. 290/2026) konkretisiert — verpflichtet alle betroffenen Einrichtungen zu zehn Kategorien von Risikomanagementmaßnahmen. Der Umsetzungsmaßstab ist risikobasiert: Die Intensität der Maßnahmen muss verhältnismäßig zum Risikoprofil der Einrichtung sein.

Maßnahme (Artikel 21(2))	Was das konkret bedeutet	Aufwand
(a) Risikoanalyse und Sicherheitskonzepte	Dokumentierte Bewertung aller relevanten Cyberrisiken; schriftliche Sicherheitsrichtlinien	Hoch
(b) Bewältigung von Sicherheitsvorfällen	Incident-Response-Prozess, Eskalationsplan, CERT.at-Meldekette	Mittel
(c) Betriebskontinuität und Krisenmanagement	Business-Continuity-Plan, Backup-Strategie, Wiederherstellungsprozesse	Hoch
(d) Sicherheit der Lieferkette	Vertragliche Sicherheitsanforderungen an direkte Lieferanten und Dienstleister	Hoch
(e) Sicherheit bei Beschaffung und Entwicklung	Sicherheitsanforderungen bei Kauf und Entwicklung von IT-Systemen, Schwachstellenmanagement	Mittel
(f) Effektivitätsbewertung	Regelmäßige Überprüfung der Sicherheitsmaßnahmen, Penetrationstests	Mittel
(g) Cyber-Hygiene und Schulungen	Pflichtschulungen für alle Mitarbeiter; separate Management-Schulung zu NISG-Pflichten	Niedrig
(h) Kryptografie und Verschlüsselung	Einsatz von Verschlüsselung für Datenspeicherung und -übertragung; Zertifikatsverwaltung	Mittel
(i) Personalverwaltung, Zugangssteuerung und Asset-Management	Rollen- und Rechtekonzept, Asset-Inventar, Onboarding/Offboarding-Prozesse	Mittel
(j) Multi-Faktor-Authentifizierung und gesicherte Kommunikation	MFA für alle privilegierten Zugänge; verschlüsselte Kommunikationskanäle	Niedrig–Mittel

Einschlägige gültige Zertifikate wie ISO/IEC 27001 können nach § 33 Abs. 2 NISG 2026 als Nachweis der operativen und organisatorischen Umsetzung dienen; laut Bundesamt muss der Scope dafür die gesamte Einrichtung erfassen (eine Teilanerkennung ist möglich). Den Nachweis der technischen Umsetzung ersetzen sie nicht — dieser ist gesondert zu erbringen.

Praktisch relevante Erfahrung: Viele Unternehmen unterschätzen Punkt (d) Lieferkettensicherheit. Das NISG 2026 verlangt nicht nur Maßnahmen im eigenen Haus, sondern auch zur Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Ohne Lieferketten-Due-Diligence ist eine vollständige Selbstdeklaration kaum möglich.

Registrierung, Meldepflichten und zuständige Behörden

Das NISG 2026 schafft eine neue Behördenarchitektur in Österreich. Zuständig ist das neu gegründete Bundesamt für Cybersicherheit (BCS) unter dem BMI — als einzige Cybersicherheitsbehörde für alle erfassten Sektoren. Für Angelegenheiten, die unter DORA (Verordnung (EU) 2022/2554) fallen, bleibt das Finanzmarktrecht unberührt (§ 4 Abs. 2); RTR und KommAustria erhalten Informationen über Vorfälle bei Telekommunikationsanbietern. Verwaltungsstrafen verhängen nach § 44 die Bezirksverwaltungsbehörden.

Vorfälle werden dem zuständigen sektorspezifischen CSIRT oder, wo keines besteht, dem nationalen CSIRT gemeldet; das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Die Rolle des nationalen CSIRT nimmt übergangsweise weiterhin CERT.at wahr.

Die zentralen Fristen im Überblick:

Meilenstein	Frist	Was zu tun ist
NISG 2026 in Kraft	Seit 1. Oktober 2026	Pflichten gelten, einschließlich Meldepflichten; Aufsichtsbefugnisse des BCS (§ 38); Registrierung möglich
Registrierung beim BCS	1. Jänner 2027 (Annahme bis spätestens 4. Jänner 2027)	Anmeldung als wesentliche oder wichtige Einrichtung (§ 29)
Selbstdeklaration (Risikomanagementmaßnahmen)	30. September 2027	Strukturierte Übermittlung von Informationen über die umgesetzten Maßnahmen nach § 32 (§ 33 Abs. 1)
Nachweis durch unabhängige Stelle	Aufforderung frühestens ab 1. Oktober 2028	Auf Aufforderung des BCS: Nachweis auf Basis einer Prüfung durch eine unabhängige Stelle (§ 33 Abs. 2); bei wichtigen Einrichtungen nur bei begründeten Hinweisen auf Pflichtverletzungen

Meldepflichten bei erheblichen Sicherheitsvorfällen folgen einem dreistufigen Schema, das direkt aus Artikel 23 der NIS-2-Richtlinie übernommen wurde:

• 24 Stunden: Frühwarnung an das zuständige CSIRT — erster Hinweis auf den Vorfall, einschließlich ob rechtswidriges Handeln oder grenzüberschreitende Auswirkungen vorliegen könnten
• 72 Stunden: Meldung mit einer ersten Bewertung von Schwere und Auswirkungen
• 1 Monat: Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung, mit Beschreibung, Ursachenanalyse und getroffenen Gegenmaßnahmen; bei noch andauernden Vorfällen zunächst ein Fortschrittsbericht (§ 34 Abs. 2)

Was als „erheblicher Cybersicherheitsvorfall“ gilt, regelt § 35 NISG 2026 nach den EU-weiten Kriterien (schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Auswirkungen auf andere Personen). Das Bundesamt hat die Kriterien mit der NISV 2026 (BGBl. II Nr. 290/2026, kundgemacht am 1. Oktober 2026) konkretisiert — etwa mit einem Schwellenwert für finanzielle Verluste von mehr als 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist.

Hinweis: Aktuelle Informationen zu Registrierung, Meldewegen und Nachweisen veröffentlicht das Bundesamt unter bundesamt-cybersicherheit.gv.at; die frühere Adresse nis.gv.at leitet dorthin weiter.

Strafen und persönliche Haftung nach NISG 2026

Das NISG 2026 sieht empfindliche Verwaltungsstrafen vor. Maßgeblich ist jeweils der höhere der beiden Werte:

Einrichtungstyp	Höchststrafe	Auslöser
Wesentliche Einrichtung	Bis zu 10 Mio. € oder 2% des globalen Jahresumsatzes	Verstoß gegen Risikomanagement- oder Meldepflichten
Wichtige Einrichtung	Bis zu 7 Mio. € oder 1,4% des globalen Jahresumsatzes	Verstoß gegen Risikomanagement- oder Meldepflichten
Sonstige Verwaltungsübertretungen	Bis zu 50.000 € (Wiederholung: 100.000 €)	Z. B. unterlassene Registrierung, verspätete oder wissentlich unrichtige Selbstdeklaration, verspätete Prüfberichte, Behinderung von Aufsichtsmaßnahmen (§ 45 Abs. 4)

Besonders relevant für Geschäftsführungen und Vorstände: Nach § 31 NISG 2026 haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen und an spezifischen Cybersicherheitsschulungen teilzunehmen. Verwaltungsstrafen gegen Leitungsorgane sieht das Gesetz laut Bundesamt nicht vor; eine Verletzung ihrer Pflichten kann jedoch zu Schadenersatzansprüchen führen. Bei wesentlichen Einrichtungen kann als Ultima Ratio zudem eine vorübergehende Untersagung der Leitungstätigkeit angeordnet werden (§ 39 Abs. 4).

Wesentliche Einrichtungen unterliegen seit 1. Oktober 2026 proaktiven Aufsichtsmaßnahmen des BCS, etwa Vor-Ort-Kontrollen und Ad-hoc-Prüfungen (§ 38); zum Nachweis durch eine unabhängige Stelle kann das Bundesamt frühestens ab 1. Oktober 2028 auffordern. Bei wichtigen Einrichtungen greift die Aufsicht reaktiv — also bei begründeten Hinweisen auf Verstöße.

Praktische Umsetzung: Erste Schritte für österreichische Unternehmen

Das NISG 2026 gilt seit dem 1. Oktober 2026. Mit Blick auf die Registrierungsfrist (1. Jänner 2027) und die Selbstdeklaration (30. September 2027) ist eine strukturierte Gap-Analyse jetzt der naheliegende nächste Schritt. Der folgende Stufenplan orientiert sich an der Sequenz, die Compliance-Berater für mittelständische Unternehmen empfehlen:

1. Betroffenheitsprüfung (sofort): Nutzen Sie das kostenlose Tool der WKÖ unter ratgeber.wko.at/nis2. Klären Sie Sektor und Größenschwelle, bevor Sie in Umsetzungsmaßnahmen investieren.

2. Gap-Analyse gegen Artikel 21 bzw. § 32 NISG 2026 (umgehend): Gleichen Sie Ihre bestehenden Sicherheitsmaßnahmen gegen die zehn Artikel-21-Kategorien ab. ISO/IEC-27001-Zertifikate können als Nachweis der operativen und organisatorischen Umsetzung dienen — dokumentieren Sie, welche Controls welche Artikel-21-Anforderungen abdecken.

3. Priorisierte Maßnahmenimplementierung (laufend): Beginnen Sie mit den Bereichen mit höchstem Risikopotenzial und kürzester Umsetzungszeit: MFA (j), Schulungen (g) und Incident-Response-Prozess (b) lassen sich typischerweise in Wochen umsetzen. Risikoanalyse (a), Lieferkettensicherheit (d) und Business Continuity (c) benötigen mehrere Monate.

4. Registrierung beim BCS (bis 1. Jänner 2027): Die Registrierung als wesentliche oder wichtige Einrichtung erfolgt beim Bundesamt für Cybersicherheit; das Amt nimmt Registrierungen bis spätestens 4. Jänner 2027 an. Halten Sie Sektorzugehörigkeit, Unternehmensgröße und Kontaktdaten für den Sicherheitsbeauftragten bereit.

5. Selbstdeklaration vorbereiten (bis 30. September 2027): In der Selbstdeklaration sind Informationen über die umgesetzten Risikomanagementmaßnahmen nach § 32 in strukturierter Form an das Bundesamt zu übermitteln. Ohne vollständige Dokumentation ist eine belastbare Selbstdeklaration kaum möglich.

6. Lieferkette absichern: Identifizieren Sie Ihre kritischen Zulieferer und Dienstleister. Prüfen Sie deren Cybersicherheitsstandards und verankern Sie Mindestanforderungen vertraglich. Das BCS kann hier Nachweise verlangen.

Häufige Fragen zum NISG 2026 in Österreich

Gelten die Pflichten des NISG 2026 bereits?
Ja. Das NISG 2026 ist seit 1. Oktober 2026 in Kraft; eine allgemeine Umsetzungsschonfrist sieht es nicht vor. Die Registrierung ist bis 1. Jänner 2027 fällig (Annahme bis spätestens 4. Jänner 2027), die Selbstdeklaration bis 30. September 2027. Lieferkettensicherheit und Business-Continuity-Pläne brauchen erfahrungsgemäß Zeit.

Gilt das NISG 2026 auch für Tochtergesellschaften ausländischer Konzerne in Österreich?
Ja, wenn die österreichische Einheit eigenständig in einem der 18 regulierten Sektoren tätig ist und die Größenschwellen erfüllt. Konzernweite Compliance in Deutschland oder einem anderen Mitgliedstaat entbindet die österreichische Tochter nicht von eigenen NISG-Pflichten.

Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung?
Wesentliche Einrichtungen unterliegen proaktiver Aufsicht: Das BCS kann auch ohne konkreten Anlass prüfen. Bei wichtigen Einrichtungen greift die Aufsicht reaktiv — erst bei begründeten Hinweisen auf Verstöße. Die Kernpflichten (Risikomanagementmaßnahmen, Meldepflichten) sind für beide Kategorien gleich; Unterschiede bestehen vor allem bei Aufsicht, Nachweispflichten und Strafrahmen.

Ersetzt eine ISO-27001-Zertifizierung die NISG-Compliance?
Nein. Ein gültiges ISO-27001-Zertifikat kann nach § 33 Abs. 2 NISG 2026 als Nachweis der operativen und organisatorischen Umsetzung dienen — laut Bundesamt nur, wenn der Scope die gesamte Einrichtung erfasst (eine Teilanerkennung ist möglich). Den Nachweis der technischen Umsetzung ersetzt es nicht; auch die NISG-spezifischen Melde- und Registrierungspflichten bleiben bestehen.

Wo erfolgt die Registrierung?
Beim Bundesamt für Cybersicherheit; Informationen zur Registrierung veröffentlicht das Amt unter bundesamt-cybersicherheit.gv.at (die frühere Adresse nis.gv.at leitet dorthin weiter). Die Erstregistrierung ist bis 1. Jänner 2027 fällig; das Amt nimmt Registrierungen bis spätestens 4. Jänner 2027 an.

Quellen

1. Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025 — RIS, geltende Fassung
2. Bundesamt für Cybersicherheit. Registrierung — bundesamt-cybersicherheit.gv.at
3. Bundesamt für Cybersicherheit. FAQ Nachweise — bundesamt-cybersicherheit.gv.at
4. Parlamentskorrespondenz Nr. 1189 vom 12.12.2025: Zweidrittelmehrheit für NIS-2-Umsetzung im Nationalrat — parlament.gv.at
5. Wirtschaftskammer Österreich. NISG 2026 — neue Pflichten zur Cybersicherheit für Unternehmen — wko.at
6. CHG Czernich Rechtsanwälte. NISG 2026 in Österreich: Wer betroffen ist und was jetzt zu tun ist — chg.at
7. BG&P Rechtsanwälte. NIS2 in Österreich: NISG 2026 bringt neue Pflichten und hohe Strafen — bgundp.com
8. NIS 2 Directive Tracker. NIS 2 Directive — Transposition in Austria — nis-2-directive.com