NIS-2 in Österreich: das NISG 2026 gilt seit 1. Oktober 2026

Österreich hat die europäische NIS-2-Richtlinie nach langer Verzögerung mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl I 94/2025) umgesetzt. Es wurde am 23. Dezember 2025 kundgemacht und ist am 1. Oktober 2026 in Kraft getreten (§ 51). Die Pflichten gelten seither; gestaffelt laufen nur die Fristen für Registrierung und Nachweise.

Wer jetzt erfasst ist

Der Anwendungsbereich wächst erheblich: von bisher wenigen, per Bescheid bestimmten Betreibern wesentlicher Dienste auf wesentliche und wichtige Einrichtungen in 18 Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, aber auch Lebensmittelproduktion, Abfallbewirtschaftung und verarbeitendes Gewerbe. Wie viele Unternehmen das sind, wird erst das Register der Behörde zeigen. Erfasst ist, wer in einem dieser Sektoren mindestens 50 Beschäftigte hat oder mehr als zehn Millionen Euro sowohl an Jahresumsatz als auch an Bilanzsumme erreicht (§ 25); bestimmte Anbieter, etwa Vertrauensdienste- und DNS-Diensteanbieter, sind unabhängig von ihrer Größe erfasst (§ 24). Wer betroffen ist, muss sich selbst registrieren, ohne eine behördliche Aufforderung abzuwarten.

Die Geschäftsleitung ist in der Pflicht

Das Gesetz nimmt die Leitungsorgane ausdrücklich in die Pflicht. Geschäftsführer und Vorstände müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen und an eigens für sie gestalteten Cybersicherheitsschulungen teilnehmen (§ 31). Geldstrafen treffen zwar in erster Linie das Unternehmen (bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei wesentlichen, bis zu 7 Millionen Euro oder 1,4 % bei wichtigen Einrichtungen, § 45). Kommt eine wesentliche Einrichtung behördlichen Anordnungen aber nicht nach, kann die Behörde ihren Leitungsorganen vorübergehend untersagen, Leitungsaufgaben wahrzunehmen, und lässt das im Firmenbuch eintragen (§ 39 Abs. 4). Daneben bleibt die Organhaftung nach Gesellschaftsrecht. Delegation nach unten entlastet nicht.

Was zu tun ist

• Betroffenheit klären: Sektor, Größenklasse, Rolle in der Lieferkette; auch Zulieferern erfasster Unternehmen werden die Anforderungen vertraglich überbunden.
• Registrierung: Sie ist beim Bundesamt für Cybersicherheit innerhalb von drei Monaten ab Inkrafttreten vorzunehmen, also bis Ende Dezember 2026; wer erst später unter das Gesetz fällt, hat ab diesem Zeitpunkt drei Monate (§ 29 Abs. 3).
• Risikomanagement nach dem Stand der Technik ist einzurichten: Zugriffskontrolle, Mehrfaktor-Authentifizierung, Verschlüsselung, Backup-Konzepte, Lieferkettensicherheit, Notfallpläne (§ 32). Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist der Behörde eine Selbstdeklaration zu den umgesetzten Maßnahmen zu übermitteln (§ 33 Abs. 1).
• Meldewege einrichten: Erhebliche Cybersicherheitsvorfälle sind dem zuständigen CSIRT binnen 24 Stunden als Frühwarnung und binnen 72 Stunden als Meldung anzuzeigen; spätestens einen Monat nach der Meldung folgt der Abschlussbericht (§ 34).

Die Überschneidung mit der DSGVO ist im Gesetz angelegt: Cybersicherheits- und Datenschutzbehörde arbeiten bei Vorfällen mit Datenschutzverletzungen zusammen und eine Geldbuße der Datenschutzbehörde für dasselbe Verhalten schließt eine Strafe nach dem NISG aus (§§ 21, 44). Wer die Pflichten der DSGVO bereits erfüllt (Verarbeitungsverzeichnis, technische Maßnahmen, Meldeprozesse), hat damit auch einen Teil der Anforderungen des NISG vorbereitet. Wir prüfen die Betroffenheit und ergänzen die vorhandenen Maßnahmen um das, was das Gesetz zusätzlich verlangt.