Seit 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026. Es setzt die europäische NIS-2-Richtlinie um und betrifft nach Schätzung der Wirtschaftskammer rund 4.000 Unternehmen und Einrichtungen. Die erste Frist endet am 31. Dezember: Bis dahin müssen sich alle betroffenen Unternehmen bei der Cybersicherheitsbehörde registrieren.
Die Registrierung ist überschaubar. Mehr Arbeit machen die Pflichten dahinter, und die gelten bereits.
Ist mein Unternehmen betroffen?
Das hängt von zwei Dingen ab: vom Sektor und von der Größe.
Die Sektoren stehen in zwei Anlagen zum Gesetz. Anlage 1 umfasst unter anderem Energie, Verkehr, Banken, Gesundheit, Trinkwasser und IT-Dienstleister, die für andere Unternehmen Systeme betreiben. In Anlage 2 stehen Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Forschung, digitale Dienste und ein großer Teil der Industrie: Maschinenbau, die Herstellung von Kraftwagen und Kraftwagenteilen, sonstiger Fahrzeugbau, elektrische Ausrüstungen, Elektronik und Medizinprodukte.
Bei der Größe gelten die Schwellen der EU-Mittelstandsdefinition (§ 25). Als mittleres Unternehmen zählt, wer mindestens 50 Menschen beschäftigt oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme hat. Groß ist ein Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Partner- und verbundene Unternehmen werden grundsätzlich mitgerechnet. Das entfällt nur, wenn die IT organisatorisch, technisch und operativ eigenständig ist.
Große Unternehmen aus Anlage 1 sind wesentliche Einrichtungen. Mittlere Unternehmen aus Anlage 1 sowie mittlere und große aus Anlage 2 sind wichtige Einrichtungen. Für einige Arten, etwa DNS-Diensteanbieter, spielt die Größe keine Rolle.
Einen Bescheid bekommen Sie in aller Regel nicht. Ob Ihr Unternehmen unter das Gesetz fällt, müssen Sie selbst beurteilen, und diese Beurteilung sollten Sie schriftlich festhalten.
Was bis 31. Dezember fällig ist
Registriert wird elektronisch über das Unternehmensserviceportal (USP). Neben Name, Anschrift und Kontaktdaten verlangt § 29 die Sektoren und die Art der Einrichtung, die EU-Staaten, in denen Sie Dienste erbringen, Ihre Niederlassungen, Angaben zu den Schwellenwerten und, falls vorhanden, Ihre IP-Adressbereiche. Die kennt meist die IT oder der Provider, also am besten früh danach fragen.
Ändern sich Kontaktdaten oder IP-Bereiche später, muss die Behörde innerhalb von zwei Wochen davon erfahren. Wer die Registrierung versäumt, riskiert bis zu 50.000 Euro Strafe, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4). Unternehmen, die erst später unter das Gesetz fallen, etwa weil sie über die Grenze von 50 Beschäftigten wachsen, haben ab diesem Zeitpunkt drei Monate Zeit.
Was schon jetzt gilt
Die übrigen Pflichten gelten seit dem Inkrafttreten, auch wenn die Nachweise erst später fällig werden. Zwei davon betreffen den Alltag sofort.
Die Meldepflicht. Ein erheblicher Cybersicherheitsvorfall ist dem zuständigen CSIRT zu melden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat danach (§ 34). Die 24 Stunden laufen auch am Wochenende. Wer entscheidet, ob ein Vorfall erheblich ist, wer meldet und wer am Samstag vertritt, sollte feststehen, bevor es so weit ist.
Die Schulung der Geschäftsführung. Die Leitungsorgane müssen die Risikomanagementmaßnahmen sicherstellen und beaufsichtigen. Außerdem müssen sie an Cybersicherheitsschulungen teilnehmen, die für sie gestaltet sind (§ 31). Eine allgemeine Awareness-Schulung für alle Mitarbeitenden ersetzt das nicht.
Die Termine im Überblick:
31. Dezember 2026: Registrierung
Über das USP, für alle Unternehmen, die seit 1. Oktober unter das Gesetz fallen.
Herbst 2027: Selbstdeklaration
Binnen zwölf Monaten melden Sie der Behörde umgesetzte Maßnahmen, genutzte Systeme, Lieferkette und Ergebnisse der Risikoanalyse.
Ab Oktober 2028: Prüfungen
Frühestens zwei Jahre nach Inkrafttreten kann die Behörde einen Nachweis durch eine unabhängige Stelle verlangen.
Spätestens bei der Selbstdeklaration (§ 33) zeigt sich, wie weit ein Unternehmen ist. Abgefragt werden unter anderem die genutzten Netz- und Informationssysteme, die Sicherheit der Lieferkette und die Ergebnisse der Risikoanalyse.
Warum das Asset-Inventar der richtige erste Schritt ist
Das Gesetz zählt in § 32 die geforderten Maßnahmen auf, von der Risikoanalyse über Backups und Notfallpläne bis zur Multi-Faktor-Authentifizierung. Ein Punkt klingt unscheinbar: das „Management von Anlagen“. Genauer wird es in der NIS-Verordnung 2026. Sie erklärt die Anforderungen der EU-Durchführungsverordnung 2024/2690 für alle wesentlichen und wichtigen Einrichtungen für verbindlich. Dort steht, was gemeint ist: ein vollständiges, genaues, aktuelles und konsistentes Inventar der Assets, in dem Änderungen nachvollziehbar dokumentiert werden.
Dieses Inventar ist die Grundlage für fast alles andere. Eine Risikoanalyse setzt voraus, dass Sie wissen, welche Systeme es gibt und welche Prozesse daran hängen. Für die Frühwarnung binnen 24 Stunden müssen Sie schnell sagen können, welche Systeme ein Vorfall betrifft. Die Lieferkette lässt sich nur bewerten, wenn klar ist, welcher Dienstleister welches System betreibt. Und die Selbstdeklaration fragt ausdrücklich nach den genutzten Systemen.
Die Excel-Liste aus dem letzten Audit hilft dabei wenig, sie zeigt einen Stichtag. Verlangt ist ein aktueller Stand. Sinnvoller ist es, das Inventar dort zu befüllen, wo die Daten ohnehin entstehen: im Verzeichnisdienst, im Endpoint-Management, in der Cloud, im Netzwerk und im Einkauf. Wie das automatisch geht, zeigt unser Beitrag CMDB automatisch aktuell halten. Wo Ihr Inventar heute steht, zeigt in wenigen Minuten unser CMDB-Check.
Hilft eine ISO-27001-Zertifizierung?
Ja, auf zwei Arten. Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 deckt einen großen Teil der Maßnahmen ab, vom Inventar (Control 5.9) über Lieferantenbeziehungen bis zum Umgang mit Vorfällen. Außerdem erlaubt das Gesetz, die operative und organisatorische Umsetzung mit gültigen Zertifikaten nachzuweisen (§ 33 Abs. 2).
Die gesetzlichen Pflichten ersetzt das Zertifikat aber nicht. Registrierung, Meldefristen und die Schulung der Geschäftsführung kommen dazu, und die technische Umsetzung prüft auf Verlangen der Behörde trotzdem eine unabhängige Stelle. Wer noch kein ISMS hat, muss nicht sofort zertifizieren. Als Rahmen, um die NISG-Pflichten geordnet abzuarbeiten, eignet sich ISO 27001 aber gut. Mehr dazu unter ISO 27001 & ISMS.
In dieser Reihenfolge würden wir vorgehen
- Betroffenheit prüfen und schriftlich festhalten: Sektor, Größe, Konzernverbund.
- Bis 31. Dezember im USP registrieren.
- Meldeweg festlegen, inklusive Vertretung am Wochenende.
- Die Geschäftsführung schulen und die Schulung dokumentieren.
- Das Asset-Inventar aufbauen, möglichst automatisch aus den vorhandenen Quellen.
- Die Risikoanalyse durchführen und Maßnahmen priorisieren.
- Lieferanten bewerten und Verträge anpassen. Ein pauschaler Verweis auf das NISG in den Einkaufsbedingungen genügt laut WKO nicht.
- Die Selbstdeklaration vorbereiten.
Deutschland ist übrigens schon ein Stück weiter: Dort gilt das NIS-2-Umsetzungsgesetz seit 6. Dezember 2025, registriert wird beim BSI. Wer Standorte in beiden Ländern hat, sollte die Anforderungen gemeinsam angehen und nicht zweimal bei null beginnen.
Häufige Fragen
Wir bauen mit 60 Beschäftigten Maschinen. Sind wir betroffen? Sehr wahrscheinlich, und zwar als wichtige Einrichtung: Maschinenbau steht in Anlage 2, und ab 50 Beschäftigten gilt ein Unternehmen als mittelgroß. Prüfen Sie, ob Ihre Tätigkeit wirklich unter die ÖNACE-Abteilung 28 fällt, und halten Sie das Ergebnis schriftlich fest.
Was droht bei Verstößen? Wichtigen Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, wesentlichen bis zu 10 Millionen Euro oder 2 %, jeweils der höhere Betrag (§ 45). Für eine versäumte Registrierung sind es bis zu 50.000 Euro.
Haftet die Geschäftsführung persönlich? Verwaltungsstrafen gegen die Leitungsorgane selbst sieht das NISG 2026 laut WKO nicht vor. Wer seine Pflichten schuldhaft verletzt und dadurch einen Schaden verursacht, kann aber schadenersatzpflichtig werden.
Sie wollen wissen, wo Ihr Unternehmen steht? Wir prüfen mit Ihnen Betroffenheit, Inventar und die größten Lücken. Sprechen Sie uns an.
