Was NIS2 und das NISG 2026 sind
NIS2 ist die EU-Richtlinie 2022/2555. Österreich setzt sie mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) um, kundgemacht am 23. Dezember 2025. Die zentralen Pflichten treten am 1. Oktober 2026 in Kraft. Das ist der Ausgangspunkt für alle Compliance-Fristen.
Österreich hatte die ursprüngliche EU-Frist (17. Oktober 2024) verpasst, weil Teile des Gesetzes eine Zweidrittelmehrheit erforderten. Der Konsens gelang erst im Dezember 2025. Mit dem NISG 2026 wird auch das Bundesamt für Cybersicherheit (BfC) als nationale Behörde geschaffen—der Single Point of Contact für alle Meldungen.
Dass dies kein reines Compliance-Gesetz ist, wird deutlich: Die Geschäftsleitung haftet persönlich.
Wer betroffen ist, und warum auch kleine Zulieferer
Direkt erfasst sind wesentliche und wichtige Einrichtungen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in 18 Sektoren (Energie, Verkehr, Wasser, Gesundheit, digitale Infrastruktur, Finanzen, Lebensmittel, usw.). In Österreich sind das rund 4.000 Einrichtungen. Viele KMUs denken: "Das betrifft uns nicht."
Das ist ein teurer Irrtum. Denn der Lieferketten-Effekt zieht auch kleinere Zulieferer hinein. Jedes Unternehmen, das als IT-Dienstleister, Softwareentwickler oder Systemintegrator einen NIS2-pflichtigen Kunden beliefert, wird faktisch Teil der regulierten Lieferkette. Und die Kunden werden Sicherheitsnachweise verlangen—vertraglich verbindlich.
Größenunabhängige Ausnahmen gelten u.a. für Anbieter öffentlicher Kommunikationsnetze und -dienste, TLD- und DNS-Diensteanbieter sowie Alleinanbieter eines Dienstes in einem Mitgliedstaat. Aber diese Ausnahmen sind eng.
Die Lieferketten-Realität: Auch wenn Sie direkt unter der Schwelle sind, kann ein Vertrag mit einem NIS2-pflichtigen Kunden Sie faktisch zur Umsetzung zwingen. Die Praxis wird zeigen, wie streng die Kontrollbehörden das auslegen.
Die zentralen Pflichten und Fristen
Für betroffene Einrichtungen gelten klare Abläufe:
- Registrierung: Innerhalb von drei Monaten nach Inkrafttreten, also bis 31. Dezember 2026
- Governance und Schulung: Die Leitungsorgane müssen verpflichtend geschult werden
- Risikomanagement: Aktive Identifikation, Analyse und Mitigation von Cybersecurity-Risiken
- Wirksamkeitsnachweis: Dokumentation der umgesetzten Maßnahmen
- Meldepflicht bei erheblichen Vorfällen: Dreistufiges Verfahren gegenüber dem zuständigen CSIRT
Die Meldung-Fristen sind eng und nicht verhandelbar
| Termin | Was zu tun ist |
|---|---|
| 01. Oktober 2026 | Inkrafttreten der zentralen Pflichten |
| Bis 31. Dezember 2026 | Registrierung bei der zuständigen Behörde (Bundesamt für Cybersicherheit) |
| Binnen 24 Stunden | Frühwarnung bei erheblichem Sicherheitsvorfall |
| Binnen 72 Stunden | Vollständige Meldung des Vorfalls |
| 1 Monat nach Frühwarnung | Abschlussbericht |
| Ca. September 2027 | Selbstdeklaration der umgesetzten Maßnahmen (12 Monate nach Registrierung) |
Das 24/72-Stunden-Fenster ist das größte operationale Risiko. Viele Unternehmen haben kein etabliertes Incident Response System, das Vorfälle in dieser Geschwindigkeit eskaliert.
Persönliche Haftung der Geschäftsführung
Das ist das wichtigste Thema, über das viele Geschäftsführer noch nicht sprechen. Das NISG 2026 macht die Geschäftsleitung ausdrücklich verantwortlich für die Genehmigung, Überwachung und Schulung der Risikomanagementmaßnahmen. Cybersecurity ist nicht mehr mit "darum kümmert sich die IT" delegierbar. Das Gesetz schreibt verpflichtende Schulungen für die Leitungsorgane vor.
Die Strafen sind nicht symbolisch:
- Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
- Verspätete oder fehlende Registrierung: Bis zu 50.000 Euro, im Wiederholungsfall bis 100.000 Euro
- Wiederholte oder schwere Verstöße: Geschäftsführern droht ein vorübergehendes Tätigkeitsverbot
Die persönliche Rechnung: Falls Ihr Unternehmen 50 Millionen Euro Umsatz hat und ein erheblicher Cybervorfall auftritt, der fahrlässig nicht gemeldet wurde, können die persönliche Haftung und das Tätigkeitsverbot schnell realistisch werden. Das ist keine juristische Spitzfindigkeit mehr, sondern ein Board-Level-Risiko.
Der Fahrplan für KMU
Wenn Sie direkt betroffen sind oder über den Lieferketten-Effekt betroffen werden könnten, hier ist ein pragmatischer Fahrplan:
Schritt 1: Betroffenheit klären
Die WKÖ bietet unter ratgeber.wko.at/nis2 ein kostenloses Selbsttest-Tool. Nutzen Sie es. In 10 Minuten wissen Sie, ob die Zentrale Meldestelle oder das Bundesamt für Cybersicherheit (BfC) Sie eingestuft hat.
Schritt 2: Quick Wins implementieren
Parallel zur Klärung der Betroffenheit sollten Sie folgende Maßnahmen umgehend umsetzen:
- Multi-Faktor-Authentifizierung (MFA): Für alle Mitarbeiter, insbesondere Admin-Zugriffe
- Backups: Getestet und regelmäßig verifiziert (kein Backup ist nutzlos, wenn es im Ernstfall nicht wiederhergestellt werden kann)
- Patch- und Schwachstellenmanagement: Systematische Updates für OS, Browser, Software
- Endpoint Detection and Response (EDR): Mindestens für kritische Systeme
Schritt 3: Notfall- und Meldekette aufsetzen
Die 24/72-Stunden-Fristen sind ernst. Sie brauchen eine schriftliche Eskalationskette, klare Rollen (wer meldet, wer genehmigt, wer kommuniziert nach außen) und einen Testlauf mindestens halbjährlich.
Schritt 4: Schulung der Leitungsorgane
Verpflichtend. Eine Schulung muss dokumentiert sein. "Das hat mein CTO gemacht" reicht nicht, wenn die Frage ist, ob die Geschäftsführung ihre Sorgfaltspflicht erfüllt hat.
Schritt 5: Ein schlankes ISMS aufbauen
NIS2 verlangt keine ISO-27001-Zertifizierung, aber ein Informationssicherheits-Managementsystem (ISMS) hilft, alle Anforderungen an einem Ort zu dokumentieren. Wer bereits ISO 27001 hat, erfüllt die meisten Punkte.
Förderung nutzen: Cybersecurity ist in mehreren Modulen von KMU.DIGITAL und in den aws-Digi-Schienen förderfähig. Die Antragsfrist läuft parallel zur Compliance-Frist. Zögern Sie nicht—Fördermittel helfen, die Kosten zu tragen.
Wichtiger Hinweis: Dieser Artikel vermittelt Überblickswissen und ersetzt keine individuelle Rechtsberatung. Für Ihre konkrete Situation empfehlen wir, mit einem auf Compliance spezialisierten Anwalt oder Cybersecurity-Berater zu klären, welche Maßnahmen erforderlich sind.