NISG 2026 in Österreich: Pflichten, Fristen und Handlungsbedarf für Unternehmen

Einleitung: Warum das NISG 2026 jetzt auf die Agenda gehört

Das NISG 2026 setzt die europäische NIS-2-Richtlinie in österreichisches Recht um und trat am 1. Oktober 2026 in Kraft. Es erweitert den Kreis der betroffenen Unternehmen deutlich und macht Cybersicherheit zur Führungs-, Organisations- und Compliance-Aufgabe.

Für Unternehmen geht es daher nicht nur um Firewalls, Back-ups oder technische Schutzsysteme. Gefordert sind nachvollziehbare Risikomanagementmaßnahmen, belastbare Meldeprozesse, dokumentierte Verantwortlichkeiten und eine aktive Einbindung der Geschäftsleitung. Dieser Beitrag fasst zusammen, wer betroffen sein kann, welche Fristen und Sanktionen gelten und welche Schritte Unternehmen bereits jetzt setzen sollten.

Was ist das NISG 2026 und wann ist es in Kraft getreten?

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist die österreichische Umsetzung der EU-NIS-2-Richtlinie. Es trat am 1. Oktober 2026 in Kraft und löst für wesentlich mehr Organisationen verbindliche Anforderungen an die Cybersicherheit aus als die Vorgängerrichtlinie („NIS-1“; NISG 2018).

Der regulatorische Ansatz ist risikobasiert: Betroffene Einrichtungen müssen jene technischen, operativen und organisatorischen Maßnahmen treffen, die zu ihren konkreten Cyberrisiken passen. Das Gesetz verlangt damit kein isoliertes IT-Projekt, sondern ein gesteuertes und dokumentiertes Sicherheitsprogramm, das in die Unternehmensführung eingebettet ist.

Welche Ziele verfolgt NIS-2 in Österreich?

Das NISG 2026 soll die Widerstandsfähigkeit wichtiger Wirtschafts- und Verwaltungsbereiche gegen Cyberangriffe und Systemausfälle erhöhen. Unternehmen sollen Risiken früh erkennen, Sicherheitsvorfälle strukturiert bewältigen und gegenüber der Cybersicherheitsbehörde innerhalb kurzer Fristen auskunfts- und meldefähig sein.

Welche Unternehmen fallen unter das NISG 2026?

Der Anwendungsbereich wächst von sieben auf 18 Sektoren. Damit können zahlreiche mittlere und große Unternehmen erfasst sein, die bisher nicht dem NISG 2018 unterlagen.

Ob ein Unternehmen tatsächlich in den Anwendungsbereich fällt und wie es einzuordnen ist, muss anhand seiner Tätigkeit, seines Sektors und seiner konkreten Struktur geprüft werden. Eine belastbare Betroffenheitsanalyse ist deshalb der Ausgangspunkt jeder NISG-2026-Umsetzung.

Welche neuen und erweiterten Sektoren sind betroffen?

Erweiterung	Beispiele aus dem NISG-2026-Umfeld
Neu erfasste Bereiche	Abwasser; Verwaltung von IKT-Diensten (B2B); Weltraum; Post- und Kurierdienste; Abfallbewirtschaftung; Chemie; Lebensmittel; verarbeitendes Gewerbe; Forschungseinrichtungen.
Inhaltlich erweiterte Bereiche	Energie, insbesondere Fernwärme und Wasserstoff; digitale Infrastruktur, insbesondere Rechenzentren, Cloud-Dienste und Vertrauensdiensteanbieter; öffentliche Verwaltung auf Landesebene.

Die sektorale Zuordnung ist nicht immer anhand der Unternehmensbezeichnung erkennbar. Maßgeblich sind die tatsächlich erbrachten Leistungen und die Rolle des Unternehmens in der jeweiligen Wertschöpfungs- oder Versorgungskette.

Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?

Das NISG 2026 unterscheidet zwischen „wesentlichen Einrichtungen“ und „wichtigen Einrichtungen“. Diese Einordnung wirkt sich vor allem auf die behördliche Aufsicht und den Sanktionsrahmen aus.

Kategorie	Aufsicht	Maximaler Sanktionsrahmen
Wesentliche Einrichtungen	Proaktive behördliche Prüfungen sind auch ohne konkreten Anlass möglich.	Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.
Wichtige Einrichtungen	Prüfungen erfolgen bei begründetem Verdacht.	Bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Wichtig für die Praxis

Die Kategorie sollte nicht vorschnell allein aus Branche oder Unternehmensgröße abgeleitet werden. Eine rechtliche Einzelfallprüfung schafft Klarheit über Anwendbarkeit, Einordnung und konkrete Pflichten.

Welche Fristen müssen Unternehmen beachten?

Drei Termine strukturieren die Vorbereitung: 1. Oktober 2026, 31. Dezember 2026 und 30. September 2027. Unternehmen sollten ihre internen Arbeitspakete rückwärts von diesen Stichtagen planen.

Stichtag	Pflicht beziehungsweise Ereignis	Konsequenz
1. Oktober 2026	Inkrafttreten des NISG 2026; Aufnahme der Tätigkeit des Bundesamts für Cybersicherheit.	Die gesetzlichen Pflichten gelten ab diesem Zeitpunkt.
31. Dezember 2026	Frist für die Registrierung bei der Cybersicherheitsbehörde.	Bei Fristversäumnis drohen bis zu 50.000 Euro; im Wiederholungsfall bis zum Doppelten.
30. September 2027	Frist für die Selbstdeklaration.	Strukturierte Darstellung der tatsächlich umgesetzten Risikomanagementmaßnahmen.

Praxisempfehlung: Die Registrierung ist nicht der Startpunkt der Umsetzung. Betroffenheit, Zuständigkeiten, Nachweise und Meldewege sollten bereits zuvor geklärt sein, damit das Unternehmen ab Inkrafttreten handlungsfähig ist.

Welche Risikomanagementpflichten verlangt das NISG 2026?

Betroffene Einrichtungen müssen risikobasierte technische, operative und organisatorische Sicherheitsmaßnahmen umsetzen. Entscheidend ist ein abgestimmtes Gesamtsystem, das Risiken identifiziert, Maßnahmen priorisiert und die Wirksamkeit nachvollziehbar überprüft.

Die Anforderungen reichen damit über die IT-Abteilung hinaus. Recht, Compliance, Informationssicherheit, Risikomanagement, Einkauf, Personal, Kommunikation und Geschäftsleitung müssen zusammenarbeiten. Typische Umsetzungsfelder sind:

• Risikobewertung und Maßnahmenplanung: Cyberrisiken erfassen, bewerten, priorisieren und mit Verantwortlichkeiten sowie Fristen hinterlegen.
• Governance und Zuständigkeiten: Entscheidungs-, Berichts- und Eskalationswege eindeutig definieren.
• Vorfallmanagement: Erkennung, Bewertung, interne Eskalation und behördliche Meldung erheblicher Vorfälle organisatorisch absichern.
• Lieferkettenrisiken: Abhängigkeiten von Dienstleistern und sonstigen Partnern analysieren und in das Sicherheitskonzept einbeziehen.
• Dokumentation und Nachweise: Maßnahmen, Freigaben, Kontrollen und Verbesserungen so dokumentieren, dass sie intern und gegenüber der Behörde nachvollziehbar sind.
• Schulung und Awareness: Leitungsorgane und relevante Mitarbeitende auf ihre Rollen vorbereiten und regelmäßig sensibilisieren.

Was bedeutet „risikobasiert“ in der praktischen Umsetzung?

Risikobasiert bedeutet, dass Maßnahmen nicht schematisch, sondern passend zu Bedrohungslage, Geschäftsmodell, Systemlandschaft und möglichen Schadensfolgen ausgewählt werden. Unternehmen benötigen daher zunächst Transparenz über kritische Prozesse, Systeme, Daten, Abhängigkeiten und bestehende Kontrollen.

Featured-Snippet-Antwort

NISG-2026-Risikomanagement verbindet rechtliche Vorgaben mit operativer Cybersicherheit: Risiken werden bewertet, angemessene Maßnahmen beschlossen, Verantwortlichkeiten festgelegt, Kontrollen dokumentiert und Verbesserungen laufend nachverfolgt.

Wie funktioniert die Meldepflicht bei Cybersicherheitsvorfällen?

Für erhebliche Cybersicherheitsvorfälle gilt ein dreistufiges Meldeverfahren: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats nach der Frühwarnung. Die kurzen Fristen erfordern vorbereitete Abläufe und klare Entscheidungsbefugnisse.

Zeitpunkt	Meldestufe	Operativer Fokus
Binnen 24 Stunden	Frühwarnung	Vorfall rasch einordnen, intern eskalieren und die erste behördliche Information ermöglichen.
Binnen 72 Stunden	Vollständige Meldung	Den bis dahin verfügbaren Sachstand konsolidieren und strukturiert melden.
Binnen eines Monats nach der Frühwarnung	Abschlussbericht	Vorfall, Auswirkungen und Bearbeitung abschließend dokumentieren.

Ein Unternehmen kann diese Fristen nur einhalten, wenn technische Erkennung, rechtliche Bewertung, Management-Eskalation und externe Kommunikation ineinandergreifen. Ein belastbarer Incident-Response-Prozess sollte deshalb Ansprechpartner, Stellvertretungen, Freigaben, Dokumentationsvorlagen und einen jederzeit erreichbaren Meldeweg vorsehen.

Wie lässt sich der Meldeprozess belastbar vorbereiten?

• Interne Schwellen und Kriterien für die Eskalation eines Vorfalls festlegen.
• Ein interdisziplinäres Reaktionsteam mit eindeutigen Rollen und Stellvertretungen benennen.
• Entscheidungs- und Freigabewege auf die 24- und 72-Stunden-Fristen ausrichten.
• Vorlagen für Frühwarnung, vollständige Meldung und Abschlussbericht vorbereiten.
• Meldeabläufe in Übungen testen und erkannte Lücken dokumentiert schließen.

Welche Verantwortung trägt die Geschäftsleitung?

Die Geschäftsleitung trägt eine persönliche Verantwortung für die NISG-2026-Compliance. Sie muss die Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen.

Cybersicherheit kann damit nicht vollständig an IT, Informationssicherheitsbeauftragte oder externe Dienstleister delegiert werden. Die operative Umsetzung darf zwar verteilt werden; die Leitungsorgane müssen aber für eine angemessene Governance sorgen, Entscheidungen nachvollziehbar treffen und die Wirksamkeit der Maßnahmen beaufsichtigen.

Welche Leitungsaufgaben sollten dokumentiert werden?

• Genehmigung des Sicherheits- und Umsetzungsprogramms einschließlich Prioritäten und Ressourcen.
• Regelmäßige Berichterstattung über Risiken, Vorfälle, Maßnahmenfortschritt und offene Abweichungen.
• Überwachung, ob beschlossene Maßnahmen fristgerecht und wirksam umgesetzt werden.
• Teilnahme der Geschäftsleitung an geeigneten Cybersicherheitsschulungen.
• Nachvollziehbare Behandlung wesentlicher Restrisiken und Eskalationen.

Haftungsrelevanter Punkt

Pflichtverletzungen können neben Verwaltungsstrafen auch persönliche Verantwortlichkeitsfragen der Leitungsorgane auslösen. Eine belastbare Entscheidungs- und Überwachungsdokumentation ist daher ein zentraler Bestandteil guter Governance.

Welche Strafen drohen bei Verstößen gegen das NISG 2026?

Der Sanktionsrahmen hängt grundsätzlich von der Einordnung als wesentliche oder wichtige Einrichtung ab, nur bei kleineren Verstößen wird nicht unterscheiden. Bei wesentlichen Einrichtungen sind bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes möglich; bei wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 %.

Einrichtung	Obergrenze	Berechnungsmaßstab
Wesentliche Einrichtung	10 Mio. Euro oder 2 %	Weltweiter Jahresumsatz des vorangegangenen Geschäftsjahres; maßgeblich ist der höhere Betrag.
Wichtige Einrichtung	7 Mio. Euro oder 1,4 %	Weltweiter Jahresumsatz des vorangegangenen Geschäftsjahres; maßgeblich ist der höhere Betrag.
Versäumte Registrierung	Bis zu 50.000 Euro	Im Wiederholungsfall bis zum Doppelten.

Der Sanktionsrahmen ist ein starkes Compliance-Signal. Für die Unternehmenspraxis ist jedoch ebenso wichtig, Betriebsunterbrechungen, Reputationsschäden, Haftungsrisiken und den Vertrauensverlust bei Kunden und Geschäftspartnern zu vermeiden.

Welche Rolle übernimmt das neue Bundesamt für Cybersicherheit?

Das Bundesamt für Cybersicherheit nahm am 1. Oktober 2026 seine Arbeit auf und ist dem Innenministerium nachgeordnet. An seiner Spitze steht Markus Kasinger.

Wie intensiv die neue Behörde in der Praxis prüfen wird, wird sich erst zeigen. Die grundlegende Aufgabenteilung ist jedoch klar: Wesentliche Einrichtungen können proaktiv und ohne konkreten Anlass geprüft werden; bei wichtigen Einrichtungen setzt eine Prüfung einen begründeten Verdacht voraus.

Wie sollten Unternehmen auf eine behördliche Prüfung vorbereitet sein?

Prüfungsfähigkeit entsteht durch aktuelle, konsistente und schnell verfügbare Unterlagen. Dazu gehören insbesondere eine dokumentierte Betroffenheits- und Einordnungsanalyse, die Risikobewertung, beschlossene Maßnahmen, Zuständigkeiten, Management-Freigaben, Schulungsnachweise, Vorfallprozesse und der Status offener Verbesserungen.

Prüfungsvorbereitung

Nicht nur das Vorhandensein einzelner Dokumente zählt. Die Unterlagen sollten ein schlüssiges Gesamtbild ergeben und mit der tatsächlich gelebten Organisation übereinstimmen.

Welche praktischen Schritte sollten Unternehmen jetzt setzen?

Unternehmen sollten die verbleibende Zeit für ein priorisiertes NISG-2026-Programm nutzen. Der sinnvollste Startpunkt ist eine rechtliche Betroffenheitsanalyse, gefolgt von einer dokumentierten Lückenanalyse und einem realistischen Umsetzungsplan.

• Betroffenheit und Einordnung klären. Prüfen, ob das Unternehmen in einen der 18 Sektoren fällt und als wesentliche oder wichtige Einrichtung einzuordnen ist.
• Verantwortung auf Leitungsebene verankern. Sponsor, Projektleitung, Berichtslinien und Entscheidungsbefugnisse festlegen.
• Ist-Stand und Lücken analysieren. Bestehende technische, operative und organisatorische Maßnahmen den NISG-2026-Anforderungen gegenüberstellen.
• Maßnahmen priorisieren. Risiken, Fristen, Ressourcen, Abhängigkeiten und Nachweise in einer umsetzbaren Roadmap zusammenführen.
• Meldeprozess etablieren. 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussbericht organisatorisch und technisch vorbereiten.
• Lieferkettenrisiken bewerten. Kritische Dienstleister und Abhängigkeiten erfassen und erforderliche Kontroll- oder Vertragsmaßnahmen ableiten.
• Registrierung und Selbstdeklaration vorbereiten. Verantwortliche, benötigte Angaben und interne Freigaben rechtzeitig festlegen.
• Prüfungsfähigkeit herstellen. Dokumentation konsolidieren, Managemententscheidungen nachweisbar machen und Abläufe testen.

Wie arbeiten rechtliche Compliance und technische Umsetzung zusammen?

Eine wirksame NISG-2026-Umsetzung braucht beide Perspektiven: Die rechtliche Analyse klärt Anwendbarkeit, Pflichten, Zuständigkeiten und Nachweise; die technische Umsetzung reduziert konkrete Cyberrisiken in Systemen und Prozessen. Beides sollte über eine gemeinsame Roadmap, abgestimmte Prioritäten und ein einheitliches Reporting verbunden werden.

Technische Umsetzung mit starken Partnern

KINDL.trusted begleitet die Umsetzung aus rechtlicher und Compliance-Sicht und arbeitet für die technische Umsetzung auf IT-Ebene mit starken Partnern zusammen. So greifen regulatorische Anforderungen und praktische Cybersicherheit sinnvoll ineinander.

Warum lohnt sich frühzeitige NISG-2026-Compliance?

Frühzeitige Vorbereitung reduziert nicht nur das Risiko von Fristversäumnissen und Sanktionen. Sie stärkt auch die betriebliche Resilienz, schützt kritische Geschäftsprozesse und schafft Vertrauen bei Kunden, Geschäftspartnern, Mitarbeitenden und Behörden. Gut aufgesetzte Cybersicherheits-Governance wird damit zu einem Bestandteil nachhaltiger Unternehmensführung.

Fazit: NISG 2026 rechtzeitig und prüfungsfest umsetzen

Das NISG 2026 macht Cybersicherheit seit 1. Oktober 2026 für deutlich mehr österreichische Unternehmen zur verbindlichen Managementaufgabe. Wer Betroffenheit, Governance, Risikomanagement, Meldeprozesse und Nachweise jetzt strukturiert vorbereitet, schafft eine belastbare Grundlage für Registrierung, Selbstdeklaration und behördliche Prüfungen.

KINDL.trusted unterstützt Sie bei der rechtlichen Anwendbarkeitsprüfung, der Einordnung Ihrer konkreten Pflichten, der Compliance-seitigen Umsetzung sowie bei Prüfungen und im Austausch mit der Behörde. Gemeinsam mit starken IT-Partnern kann auch die technische Umsetzung sinnvoll angebunden werden.

Sprechen Sie mit uns über den konkreten Handlungsbedarf in Ihrem Unternehmen.

Ansprechpersonen

Ihre Ansprechpersonen aus unserem Servicebereich KINDL.Legal Defense: