NISG 2026: NIS2 in Österreich umsetzen (Fristen, Pflichten, Strafen)

Das NISG 2026 ist die österreichische Umsetzung der EU-Richtlinie NIS2. Es wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und gilt ab dem 1. Oktober 2026. Bis dahin bleiben gut zwei Monate.

Für betroffene Unternehmen ist das ein knapper Zeitraum, denn eine Übergangsfrist für die materiellen Pflichten gibt es nicht. Am Stichtag müssen Risikomanagement, Meldeprozesse und Verantwortlichkeiten stehen. Was danach folgt, ist eine Kette weiterer Termine: Registrierung, Selbstdeklaration und irgendwann der Nachweis durch eine unabhängige Stelle.

Dieser Artikel ordnet die Rechtslage für Österreich ein: welche Fristen gelten, wer betroffen ist, welche Pflichten aus dem Gesetz folgen, was Geschäftsführer persönlich riskieren und wie eine Umsetzung aussieht, die den 1. Oktober hält.

Was das NISG 2026 ist und wen es betrifft

Das Netz- und Informationssystemsicherheitsgesetz 2026 löst das NISG aus dem Jahr 2018 samt Verordnungen ab. Beide treten mit dem Anwendungsbeginn des neuen Gesetzes außer Kraft. Der Unterschied zur Vorgängerregelung liegt im Umfang: Das alte NISG betraf einen kleinen Kreis von Betreibern wesentlicher Dienste, das NISG 2026 erfasst mittlere und große Unternehmen aus 18 Sektoren.

Neu ist auch die Behördenstruktur. Zuständig ist das Bundesamt für Cybersicherheit, das dem Bundesminister für Inneres nachgeordnet ist und seinen Sitz in Wien hat (§ 3a, § 3b NISG 2026). Es führt das Register, nimmt Meldungen entgegen, fordert Nachweise ein und erlässt Bescheide. Verwaltungsstrafverfahren laufen dagegen bei den Bezirksverwaltungsbehörden, die auf Anzeige des Bundesamts tätig werden (§ 44).

Eine belastbare Zahl zur Betroffenheit gibt es bislang nicht. Die Gesetzesmaterialien verweisen ausdrücklich auf das künftige Register als einzige verlässliche Quelle. Die Wirtschaftskammer rechnet mit rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe. Wer über die Lieferkette mitbetroffen ist, weil ein Kunde Sicherheitsanforderungen weitergibt, ist in dieser Zahl nicht enthalten. Der praktische Kreis ist also größer als das Register es später zeigen wird.

Die vier Fristen des NISG 2026

Die meisten Darstellungen nennen den 1. Oktober 2026 und hören dort auf. Für die Planung ist das zu kurz gedacht, denn das Gesetz staffelt die Nachweispflichten über mehrere Jahre. Vier Termine bestimmen den Fahrplan.

Die Terminkette des NISG 2026 im Überblick: von der Kundmachung über den Anwendungsbeginn bis zum ersten externen Prüfbericht.

Erstens der Anwendungsbeginn. Am 1. Oktober 2026 treten die materiellen Pflichten in Kraft, praktisch der gesamte Gesetzestext auf einmal (§ 51). Ab diesem Tag gelten Risikomanagement, Meldepflichten und Leitungspflichten. Verordnungen dürfen zwar schon vorher erlassen werden, wirksam werden sie aber erst zum Stichtag.

Zweitens die Registrierung. Wesentliche und wichtige Einrichtungen müssen sich binnen drei Monaten nach Inkrafttreten beim Bundesamt für Cybersicherheit registrieren (§ 29 Abs. 3). Das führt auf den Jahreswechsel 2026 auf 2027. Die genaue Form legt eine Verordnung fest, die zum Zeitpunkt dieses Artikels noch aussteht. Übermittelt werden Kontaktdaten, Sektor, Niederlassungen, IP-Bereiche und die Größeneinstufung. Ändern sich diese Angaben später, sind Kontakt- und Sektordaten binnen zwei Wochen nachzumelden, Angaben zu Niederlassung und Größeneinstufung binnen drei Monaten (§ 29 Abs. 4).

Drittens die Selbstdeklaration. Einmalig, binnen zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1). Das landet rund um den 30. September 2027. Die Selbstdeklaration ist der Punkt, an dem ein Unternehmen dem Bundesamt strukturiert darlegt, wie es die Anforderungen umgesetzt hat. Ohne dokumentiertes Managementsystem lässt sich dieses Formular nicht seriös ausfüllen.

Viertens die externe Prüfung. Das Bundesamt kann einen Prüfbericht einer unabhängigen Stelle verlangen, frühestens zwei Jahre nach Inkrafttreten, also ab dem 1. Oktober 2028 (§ 33 Abs. 2). Einen gesetzlich fixierten Turnus gibt es nicht. Vorgeschrieben ist nur, dass die zugrunde liegende Prüfung bei jeder Aufforderung nicht länger als zwei Jahre zurückliegen darf. Wer das dauerhaft erfüllen will, braucht einen laufenden Prüfrhythmus statt einer Einmalaktion. Was als Nachweis taugt, behandelt der Beitrag zu NIS2-Audits und Nachweispflichten.

Wer ist vom NISG 2026 betroffen?

Die Betroffenheit ergibt sich aus zwei Prüfungen, die beide bestanden werden müssen: Fällt die Tätigkeit in einen der 18 Sektoren der Anlagen 1 und 2, und erreicht das Unternehmen eine der Größenschwellen? Wer bei einer der beiden Fragen ausscheidet, ist grundsätzlich nicht erfasst.

Entscheidungsbaum zur Betroffenheit nach NISG 2026: Sektor- und Größenprüfung führen zu wesentlicher oder wichtiger Einrichtung, unabhängig davon sind bestimmte Anbieter immer erfasst.

Anlage 1 umfasst elf Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten im B2B-Bereich, öffentliche Verwaltung und Weltraum. Anlage 2 nennt sieben weitere kritische Sektoren.

Die Größenschwellen folgen der EU-KMU-Definition, allerdings mit einer Verknüpfung, die häufig falsch gelesen wird. Ein mittleres Unternehmen liegt vor, wenn es mindestens 50 Beschäftigte hat oder wenn Jahresumsatz und Bilanzsumme jeweils über zehn Millionen Euro liegen (§ 25 Abs. 3). Ein großes Unternehmen hat mindestens 250 Beschäftigte oder einen Umsatz über 50 Millionen Euro zusammen mit einer Bilanzsumme über 43 Millionen Euro (§ 25 Abs. 2). Die Mitarbeiterzahl allein genügt also, während bei den Finanzkennzahlen beide Werte erreicht sein müssen.

Zwei Sonderfälle brechen dieses Schema. Manche Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und die Bundesverwaltung (§ 24 Abs. 1). Umgekehrt kann das Bundesamt auch kleinere Unternehmen aus den Anlagen per Bescheid einstufen, wenn sie Alleinanbieter sind oder ein Systemrisiko tragen (§ 26). Ausgenommen bleiben Justiz, Gesetzgebung, Militär, Polizei, Strafverfolgung, Universitäten, Hochschulen, Schulen und die Oesterreichische Nationalbank (§ 24 Abs. 6). Die allgemeine Betroffenheitslogik nach NIS2 vertieft der Beitrag zu betroffenen Unternehmen.

Wesentliche oder wichtige Einrichtung: was der Unterschied bedeutet

Das NISG 2026 kennt zwei Kategorien. Wesentliche Einrichtungen sind große Unternehmen der Anlage-1-Sektoren, mittlere Telekommunikationsunternehmen und die größenunabhängig erfassten Einrichtungen. Wichtige Einrichtungen sind die übrigen mittleren und großen Unternehmen aus Anlage 1 und 2 sowie die Landesverwaltung (§ 24 Abs. 1 und 2).

Bei den inhaltlichen Sicherheitsanforderungen unterscheiden sich die Kategorien kaum. Der Unterschied liegt in der Aufsicht und im Strafrahmen. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht: Die Behörde kann prüfen, ohne dass ein Anlass vorliegt. Bei wichtigen Einrichtungen wird sie in der Regel erst nach Hinweisen oder Vorfällen tätig. Registrierung, Meldepflichten und Selbstdeklaration gelten dagegen für beide Kategorien gleich.

Zwei Zuordnungen fallen aus dem Größenraster. Telekommunikationsunternehmen gelten bereits als mittlere Unternehmen als wesentliche Einrichtung, während die Landesverwaltung unabhängig von ihrer Größe als wichtige Einrichtung erfasst ist. In Konzernstrukturen können deshalb beide Kategorien gleichzeitig vorkommen, etwa wenn eine große Energiegesellschaft aus Anlage 1 und eine mittlere Produktionstochter aus Anlage 2 zur selben Gruppe gehören. Die Pflichten sind dann je Gesellschaft zu erfüllen, nicht konsolidiert auf Gruppenebene.

Die Einstufung ist kein Formalismus. Sie bestimmt, wie schnell ein Unternehmen nach einer behördlichen Aufforderung liefern muss, und sie entscheidet darüber, ob die Behörde einem Geschäftsführer die Leitungsaufgaben untersagen kann. Wer sich falsch einstuft, plant mit dem falschen Zeitbudget.

Welche Pflichten das NISG 2026 vorschreibt

Die Anforderungen lassen sich in vier Blöcke gliedern. Wer sie durchgeht, wird feststellen: Das ist im Kern ein Informationssicherheits-Managementsystem. Der Gesetzgeber beschreibt keine einzelnen Technologien, sondern einen Managementkreislauf aus Risikoanalyse, Maßnahmen, Überwachung und Verbesserung.

Der Prüfmaßstab ist Verhältnismäßigkeit. Angemessen sind Maßnahmen, die zur Risikoexposition, zur Größe des Unternehmens und zu den möglichen Schäden passen. Ein Betrieb mit 60 Beschäftigten muss also nicht dieselbe Architektur betreiben wie ein Energieversorger, er muss aber begründen können, warum sein Schutzniveau zu seinem Risiko passt. Diese Begründung ist der eigentliche Kern der Dokumentationspflicht.

Ein Detail lohnt die Aufmerksamkeit: Die Behörde prüft nicht, ob ein Unternehmen ein Zertifikat besitzt. Sie prüft, ob die Maßnahmen dem Risiko angemessen sind und ob das belegbar ist. Ohne Dokumentation kein Nachweis, unabhängig davon wie gut die tatsächliche Sicherheitslage ist. In den Projekten, die SECJUR begleitet, ist dieser Punkt die häufigste Lücke: Die Technik sitzt, die Nachweiskette fehlt.

Praktisch heißt das, jede Maßnahme braucht drei Belege: die Entscheidung, warum sie so ausgestaltet ist, den Nachweis der Umsetzung und einen Hinweis darauf, wann sie zuletzt überprüft wurde. Wer diese drei Ebenen von Anfang an mitschreibt, hat die Selbstdeklaration 2027 fast fertig. Wer sie nachträglich rekonstruiert, zahlt den Aufwand doppelt.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Meldepflichtig ist ein erheblicher Cybersicherheitsvorfall. Das Gesetz definiert diesen über die Auswirkung: eine schwerwiegende Betriebsstörung, ein schwerwiegender finanzieller Verlust oder ein erheblicher materieller oder immaterieller Schaden bei Dritten (§ 35 Abs. 1). Für die Beurteilung zählen unter anderem die technische Schwere, der Marktanteil, das geografische Ausmaß und die Abhängigkeit anderer Sektoren.

Adressat der Meldung ist die Cybersicherheitsbehörde über die zentrale Anlaufstelle, unterstützt vom Computer-Notfallteam. Wer zusätzlich personenbezogene Daten betroffen sieht, hat eine zweite Meldung an die Datenschutzbehörde nach Art. 33 DSGVO zu prüfen. Die beiden Pflichten haben unterschiedliche Auslöser und unterschiedliche Empfänger, laufen zeitlich aber parallel. Ein Meldeprozess, der nur eine der beiden Spuren kennt, produziert im Ernstfall Verzug.

Die 24-Stunden-Frist ist die Anforderung, an der Unternehmen in der Praxis am häufigsten scheitern. Der Grund ist selten technisch. Es fehlt an einer klaren Zuständigkeit für die Frage, wer entscheidet, dass ein Vorfall erheblich ist. Diese Rolle sollte benannt und vertreten sein, bevor der erste Vorfall eintritt. Die Fristenlogik im Detail behandelt der Beitrag zur NIS2-Meldepflicht.

Was Geschäftsführer persönlich riskieren

Das NISG 2026 adressiert die Leitungsebene direkt. Leitungsorgane müssen die Umsetzung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen (§ 31 Abs. 1). Delegation an die IT-Abteilung entlastet nicht, sie verlagert nur die Ausführung.

Dazu kommt eine eigene Schulungspflicht: Leitungsorgane müssen an Cybersicherheitsschulungen teilnehmen, die für sie gestaltet sind, und den Beschäftigten regelmäßig Schulungen anbieten (§ 31 Abs. 2). Ein Verstoß gegen diese Pflicht ist eine Verwaltungsübertretung, die im vollen Strafrahmen der jeweiligen Einrichtungskategorie liegt.

Wer als Leitungsorgan gilt, definiert das Gesetz nicht abschließend. Die juristische Kommentierung liest darunter Geschäftsführung und Vorstand, nicht den Aufsichtsrat und nicht den Sicherheitsverantwortlichen. Für die Praxis heißt das: Ein bestellter CISO erfüllt die Pflicht nicht anstelle der Geschäftsführung. Er bereitet die Entscheidungen vor, verantworten muss sie die Leitungsebene.

Wie die Haftungslage nach NIS2 allgemein aussieht, behandelt der Beitrag zur Geschäftsführerhaftung nach NIS2.

"Die Untersagung von Leitungsaufgaben mit Eintragung im Firmenbuch ist der Punkt, an dem Cybersicherheit die Ebene der IT-Budgets verlässt. Kein Geschäftsführer will diesen Eintrag erklären, weder gegenüber Gesellschaftern noch gegenüber einer Bank. Genau deshalb gehört die NISG-Umsetzung auf die Agenda der Geschäftsführung und nicht in ein IT-Projekt."

Niklas Hanitsch, Gründer und Geschäftsführer bei SECJUR

Strafen: von 50.000 Euro bis 10 Millionen Euro

Der Strafrahmen des NISG 2026 ist gestaffelt und bekannter als seine untere Stufe. Verstöße gegen die Sicherheits- und Leitungspflichten liegen bei wesentlichen Einrichtungen bei bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bei bis zu sieben Millionen Euro oder 1,4 Prozent. Es gilt jeweils der höhere Betrag (§ 45 Abs. 2 und 3).

Verhängt werden die Strafen nicht vom Bundesamt selbst, sondern von der zuständigen Bezirksverwaltungsbehörde auf Anzeige des Bundesamts (§ 44). Rechtsmittel gegen Bescheide des Bundesamts gehen an das Bundesverwaltungsgericht, gegen Straferkenntnisse der Bezirksverwaltungsbehörde an das jeweilige Landesverwaltungsgericht (§ 41). Der Weg ist damit ein klassisches Verwaltungsstrafverfahren und kein aufsichtsrechtliches Sonderregime.

Die untere Stufe verdient Aufmerksamkeit, weil sie ohne Sicherheitsvorfall greift. Eine versäumte Registrierung oder eine nicht abgegebene Selbstdeklaration reicht. Das sind Verstöße, die eine Behörde am Register ablesen kann, ohne zu prüfen.

Eine Entlastung enthält das Gesetz für Doppelfälle: Hat die Datenschutzbehörde für denselben Sachverhalt bereits eine Geldbuße nach der DSGVO verhängt, entfällt die Strafe nach dem NISG (§ 44 Abs. 7). Der Vergleich zur deutschen Bußgeldsystematik findet sich im Beitrag zu NIS2-Strafen.

Umsetzung bis zum 1. Oktober 2026

Gut zwei Monate reichen nicht für ein perfektes Managementsystem, aber für eine belegbare, risikobasierte Umsetzung. Der Weg dorthin läuft über fünf Schritte, und die Reihenfolge ist nicht beliebig.

Nicht alles gleichzeitig aufbauen, sondern die Bereiche priorisieren, in denen die Gap-Analyse die größten Lücken gezeigt hat. Wer den Aufbau an einem etablierten Rahmen ausrichtet, spart sich später doppelte Arbeit: Ein ISMS nach ISO 27001 deckt einen Großteil der NISG-Anforderungen ab, weil beide denselben Managementkreislauf verlangen. Der Standard liefert zusätzlich die Struktur, die für Selbstdeklaration und späteren Prüfbericht gebraucht wird.

Für den Aufbau selbst stehen drei Wege offen: interne Ressourcen, externe Beratung oder eine Plattform. Klassische Beratungsprojekte binden über Monate interne Kapazität und hinterlassen häufig eine Dokumentation, die im zweiten Jahr niemand pflegt. Mit einer Plattform wie dem Digital Compliance Office von SECJUR läuft der Aufbau nach unserer Projekterfahrung bis zu 50 Prozent schneller, weil Richtlinien, Risikoregister und Nachweise aus einem geführten Prozess entstehen statt aus Vorlagen. Was die Umsetzung insgesamt kostet, schlüsselt der Beitrag zu NIS2-Kosten auf.

Für den Einstieg genügt zunächst eine strukturierte Bestandsaufnahme. Die NIS2-Checkliste führt durch die Punkte, die vor dem Stichtag geklärt sein sollten. Unternehmen mit deutschen Gesellschaften prüfen zusätzlich die dortige nationale Umsetzung, die eigene Fristen und eine eigene Behördenstruktur vorsieht: dazu der Beitrag zur NIS2-Umsetzung in Deutschland. Den offiziellen Gesetzestext veröffentlicht das Rechtsinformationssystem des Bundes, laufende Hinweise der Behörde finden sich bei der Anlaufstelle NISG.