NIS2 in Österreich: Was das NISG 2026 seit 1. Oktober 2026 verlangt
Ein Kunststoffverarbeiter in Oberösterreich mit 140 Beschäftigten liefert Teile an einen Autohersteller in Bayern. Im September kommt der jährliche Lieferantenfragebogen aus dem deutschen Einkauf. Eine Frage ist neu: „Fallen Sie unter NIS2? Wenn ja, bestätigen Sie bitte Ihre Registrierung bei der zuständigen Behörde.“ Der Geschäftsführer fragt die IT, ob sich das Unternehmen irgendwo registrieren muss.
Bis zum 30. September 2026 lautete die Antwort zu NIS2 in Österreich „noch nicht“. Seit dem 1. Oktober 2026 gilt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), mit dem Österreich die EU-Richtlinie NIS2 umsetzt. Die Wirtschaftskammer rechnet mit rund 4.000 betroffenen Unternehmen und Einrichtungen, viele davon zum ersten Mal. Die erste harte Frist ist die Registrierung bis Ende 2026.
Das Wichtigste in Kürze
- Das NISG 2026 gilt seit dem 1. Oktober 2026. Es löst das NISG 2018 ab, das am 30. September 2026 außer Kraft getreten ist.
- Die Registrierung ist innerhalb von drei Monaten fällig, also bis Ende 2026, über die NIS2-Anwendung im Unternehmensserviceportal (USP).
- Ob Sie betroffen sind, hängt von Sektor und Größe ab. Als Faustregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in einem der genannten Sektoren.
- Erhebliche Sicherheitsvorfälle müssen binnen 24 Stunden, 72 Stunden und eines Monats gemeldet werden.
- Eine Selbstdeklaration der Sicherheitsmaßnahmen ist bis 30. September 2027 fällig. Ab Oktober 2028 kann die Behörde Nachweise verlangen.
- Die Strafen reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für wesentliche und bis 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
Wie es zum NISG 2026 kam
NIS2, die Richtlinie (EU) 2022/2555, hätte bis Oktober 2024 umgesetzt sein müssen. Der erste österreichische Anlauf scheiterte 2024, weil der Entwurf im Nationalrat die nötige Zweidrittelmehrheit verfehlte. Ein neuer Entwurf wurde am 12. Dezember 2025 beschlossen und am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht. Danach blieb den Unternehmen ein Vorlauf: In Kraft trat das Gesetz erst am 1. Oktober 2026.
Auch die Aufsicht ist neu. Die Cybersicherheitsbehörde ist ein Bundesamt für Cybersicherheit, das dem Bundesminister für Inneres untersteht, aber außerhalb der Generaldirektion für die öffentliche Sicherheit eingerichtet ist. Vorfallmeldungen gehen an ein CSIRT, das sie an die Behörde weitergibt.
Wer ist von NIS2 in Österreich betroffen?
Das NISG 2026 verbindet zwei Prüfungen. Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des Gesetzes tätig? Und ist es mindestens ein mittleres Unternehmen? In der Regel führt erst beides zusammen in den Anwendungsbereich.
Anlage 1 umfasst Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Geschäftskunden, öffentliche Verwaltung und Weltraum. Anlage 2 umfasst sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (darunter Medizinprodukte, Elektronik, Maschinen und Fahrzeuge), Anbieter digitaler Dienste wie Online-Marktplätze und Suchmaschinen sowie Forschung.
Zwei Punkte gehen leicht unter. Erstens werden die Schwellenwerte auf Konzernebene berechnet. Eine Tochter mit 40 Beschäftigten in einer Gruppe mit 400 ist kein kleines Unternehmen. Zweitens unterliegt jede Gesellschaft dem Recht des Mitgliedstaats, in dem sie niedergelassen ist: eine österreichische Tochter dem NISG 2026, eine deutsche dem deutschen Recht. Nur bestimmte digitale Anbieter, etwa Cloud- und Rechenzentrumsdienste, Managed Service Provider und Online-Marktplätze, folgen dem Hauptniederlassungsprinzip. Jede betroffene Gesellschaft registriert sich selbst.
Unser Kunststoffverarbeiter gehört zum verarbeitenden Gewerbe, einem Sektor aus Anlage 2, und hat mehr als 50 Beschäftigte. Er ist eine wichtige Einrichtung.
Registrierung: die erste Frist
Wesentliche und wichtige Einrichtungen müssen sich innerhalb von drei Monaten nach Inkrafttreten registrieren. Die Frist endet damit Ende 2026. Die Registrierung läuft elektronisch über die NIS2-Anwendung im Unternehmensserviceportal. Wer sie durchführt, braucht eine ID Austria und eine USP-Rolle für die NIS-Registrierung, die der USP-Administrator des Unternehmens vergibt.
Das Gesetz verlangt sieben Angaben:
- den Namen der Einrichtung,
- Anschrift und aktuelle Kontaktdaten, ohne Niederlassung in der EU auch einen Vertreter,
- Sektor, Teilsektor und Art der Einrichtung,
- die EU-Mitgliedstaaten, in denen Sie Dienste erbringen,
- Ihre öffentlichen IP-Adressbereiche, soweit vorhanden,
- die Anschriften der Hauptniederlassung und weiterer Niederlassungen in der EU,
- die Angaben zu den Schwellenwerten und Ihre Einstufung als wesentlich oder wichtig.
Dazu kommt eine Kontaktstelle, die mindestens per Telefon und E-Mail erreichbar ist. Änderungen bei Namen, Kontaktdaten, Sektoren, Mitgliedstaaten oder IP-Bereichen sind binnen zwei Wochen zu melden, Änderungen bei Niederlassungen, Schwellenwerten oder Einstufung binnen drei Monaten. Eine verspätete oder falsche Registrierung kann bis zu 50.000 Euro kosten, im Wiederholungsfall bis zu 100.000 Euro.
Die Registrierung selbst dauert einen Nachmittag, wenn die Daten bereitliegen. Sie über mehrere Gesellschaften hinweg zu sammeln, mit IP-Bereichen und Niederlassungen, dauert oft Wochen. Fangen Sie bei den Daten an.
Was das Gesetz verlangt
Kern des NISG 2026 ist § 32: geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen, um die Risiken für Ihre Netz- und Informationssysteme zu beherrschen. Das Gesetz nennt zehn Bereiche:
- Risikoanalyse und Sicherheitskonzepte für Informationssysteme,
- Bewältigung von Sicherheitsvorfällen,
- Betriebskontinuität mit Backup-Management, Wiederherstellung und Krisenmanagement,
- Sicherheit der Lieferkette, einschließlich direkter Lieferanten und Dienstleister,
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen,
- Verfahren zur Bewertung der Wirksamkeit der Maßnahmen,
- grundlegende Cyberhygiene und Schulungen,
- Kryptografie und, wo sinnvoll, Verschlüsselung,
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen,
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Für bestimmte Anbieter digitaler Dienste ergeben sich die Details aus der Durchführungsverordnung (EU) 2024/2690. Für alle anderen Sektoren legt die Behörde die Anforderungen per Verordnung fest. Wer bereits ein ISMS nach ISO 27001 betreibt oder ein TISAX®-Label hat, deckt die meisten Bereiche inhaltlich ab. Neu sind Registrierung, Meldefristen, Selbstdeklaration und die Pflichten der Geschäftsleitung.
Melden: 24 Stunden, 72 Stunden, ein Monat
Ein erheblicher Sicherheitsvorfall ist dem CSIRT in drei Stufen zu melden:
- Frühwarnung unverzüglich, spätestens 24 Stunden nachdem Sie vom Vorfall erfahren haben.
- Meldung innerhalb von 72 Stunden, mit einer ersten Bewertung von Schwere und Auswirkungen.
- Abschlussbericht spätestens einen Monat nach der Meldung.
Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für Ihr Unternehmen verursacht hat oder verursachen kann, oder anderen erheblichen materiellen oder immateriellen Schaden zufügt. Gemeldet wird über die NIS2-Meldeplattform an das zuständige CSIRT. Sind personenbezogene Daten betroffen, kommt die 72-Stunden-Meldung an die Datenschutzbehörde nach DSGVO hinzu.
Die Fristen laufen ab dem Zeitpunkt, an dem Sie vom Vorfall erfahren, auch wenn die Analyse noch läuft. Deshalb gehört der Meldeschritt direkt in den Vorfallprozess, mit einem benannten Entscheider und einer Vertretung, die auch an einem Samstag entscheiden kann.
Selbstdeklaration und Nachweis
Österreich setzt bei der Aufsicht auf Stufen. Bis 30. September 2027, zwölf Monate nach Beginn der Registrierungspflicht, reicht jede Einrichtung eine Selbstdeklaration zu den umgesetzten Maßnahmen ein. Ab dem 1. Oktober 2028 kann die Behörde Nachweise verlangen.
- Wesentliche Einrichtungen haben zwei Monate für den organisatorischen und operativen Nachweis (frühestens 30. November 2028) und zwei Jahre für den technischen (frühestens 30. September 2030).
- Wichtige Einrichtungen haben zwei Jahre ab Aufforderung und werden nur bei begründeten Hinweisen auf einen Verstoß geprüft.
Als Nachweis dient eine Prüfung durch eine unabhängige Stelle, die höchstens zwei Jahre alt ist. Zertifikate wie ISO 27001 können für die organisatorische und operative Umsetzung zählen. Ob sie für die technische Umsetzung reichen, ist in der Praxis umstritten. Planen Sie deshalb eine Prüfung ein, die auch die technischen Maßnahmen ansieht.
Was die Geschäftsleitung tun muss
Das Leitungsorgan, also die Geschäftsführung einer GmbH oder der Vorstand einer AG, ist dafür verantwortlich, die Maßnahmen zu genehmigen und ihre Umsetzung zu überwachen. Die Mitglieder müssen an eigenen Cybersicherheitsschulungen teilnehmen, und auch den Mitarbeitern sollen regelmäßig Schulungen angeboten werden.
Hier unterscheidet sich Österreich von Deutschland. Das deutsche BSI-Gesetz regelt die Haftung der Geschäftsleitung ausdrücklich. Das NISG 2026 regelt sie nicht selbst, es gelten die allgemeinen Regeln des Gesellschaftsrechts. Verwaltungsstrafen treffen die Einrichtung selbst. Leichter wird die Pflicht dadurch nicht: Wer eine bekannte Lücke ignoriert, trägt nach allgemeinem Gesellschaftsrecht trotzdem ein persönliches Risiko.
Österreich und Deutschland im Vergleich
Für Gruppen mit Gesellschaften in beiden Ländern zählen vor allem die Unterschiede:
- Inkrafttreten: Deutschland seit 6. Dezember 2025, ohne Übergangsfrist. Österreich seit 1. Oktober 2026.
- Registrierung: Deutschland beim BSI, für Unternehmen, die vom ersten Tag an betroffen waren, bis 6. März 2026. Österreich über das USP bis Ende 2026.
- Behörde: in Deutschland das BSI, in Österreich das neue Bundesamt für Cybersicherheit.
- Nachweis: in Österreich zuerst eine Selbstdeklaration, Prüfungen ab Oktober 2028.
- Meldestufen: in beiden Ländern gleich, 24 Stunden, 72 Stunden und ein Monat.
Die Maßnahmen selbst stammen aus derselben Richtlinie. Ein Control Set kann beide Gesetze abdecken, wenn Registrierung, Meldewege und Nachweise je Land getrennt geführt werden. Wie das geht, zeigt unser Leitfaden zum Control-Mapping über mehrere Frameworks.
Der Plan bis Ende 2026
- Betroffenheit für jede Gesellschaft prüfen, nach Sektor und nach Größe auf Konzernebene.
- Registrierungsdaten sammeln, inklusive IP-Bereichen und Niederlassungen, und die USP-Rollen einrichten.
- Bis Ende 2026 registrieren und festlegen, wer die Daten aktuell hält.
- Gap Audit durchführen gegen die zehn Bereiche, ausgehend von den Controls, die Sie nach ISO 27001 oder TISAX® schon haben.
- Die Meldestufen in den Vorfallprozess aufnehmen, mit Entscheider, Vertretung und vorbereiteten Meldevorlagen.
- Beschluss der Geschäftsleitung zu den Maßnahmen einholen und die Schulung terminieren.
- Kritische Lieferanten prüfen, inklusive ihrer Verträge.
- Laufend dokumentieren, damit die Selbstdeklaration 2027 nur noch zusammenfasst, was schon da ist.
Typische Stolperfallen beim NISG 2026
Nur das eigene Unternehmen zählen. Die Schwellenwerte gelten auf Konzernebene. Kleine Töchter größerer Gruppen sind oft betroffen.
Annehmen, dass ISO 27001 alles erledigt. Ein Zertifikat deckt viel von § 32 ab, aber weder die Registrierung noch die Meldefristen noch die Pflichten der Geschäftsleitung.
Die Registrierung auf die letzte Dezemberwoche schieben. USP-Rollen, ID Austria und die Daten mehrerer Standorte brauchen länger als das Formular.
Ein Meldeweg für zwei Länder. Deutsche und österreichische Gesellschaften melden an unterschiedliche Stellen. Der Ablauf braucht beide Wege.
Häufige Fragen zu NIS2 in Österreich
Bis wann muss man sich nach dem NISG 2026 registrieren?
Bis 31. Dezember 2026, drei Monate nach Inkrafttreten. Die Registrierung läuft über die NIS2-Anwendung im USP.
Reicht ISO 27001 für NIS2 in Österreich?
Die Norm deckt einen großen Teil der Risikomanagementmaßnahmen ab. Registrierung, das gestufte Meldeverfahren, die Selbstdeklaration und die Pflichten der Geschäftsleitung sind eigene Pflichten nach dem NISG 2026.
Welches Recht gilt für unsere deutsche Tochter?
In der Regel das Recht des Mitgliedstaats, in dem die Gesellschaft niedergelassen ist: für die deutsche Gesellschaft deutsches Recht, für die österreichische das NISG 2026. Bestimmte digitale Anbieter folgen stattdessen dem Hauptniederlassungsprinzip.
