Kaum ein IT-Thema hat in Österreich so viel Unruhe ausgelöst wie NIS2. Manche Angebote klingen, als würde morgen jeder Betrieb gestraft, andere tun das Thema als Bürokratie für Konzerne ab. Beides ist falsch. Hier steht, was seit dem Inkrafttreten des NISG 2026 tatsächlich gilt – Stand Oktober 2026.
Was ist NIS2 – und was das NISG 2026?
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit in wichtigen Branchen, das NISG 2026 ist ihre österreichische Umsetzung und gilt seit 1. Oktober 2026. Es ersetzt das NISG 2018 und erweitert den Kreis der betroffenen Unternehmen deutlich. Zuständig ist das Bundesamt für Cybersicherheit, angesiedelt beim Innenministerium.
Ist mein Unternehmen betroffen?
Zwei Fragen entscheiden, und beide müssen mit Ja beantwortet werden:
- Branche: Ist dein Betrieb in einem Sektor der Anlage 1 oder 2 tätig? Dazu zählen etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleistungen, Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, Produktion bestimmter Güter (zum Beispiel Maschinen, Fahrzeuge, Elektronik) und digitale Anbieter.
- Größe: Ist dein Betrieb mindestens ein mittleres Unternehmen, also ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme?
Für einige Bereiche, etwa bestimmte Anbieter digitaler Infrastruktur, gilt das Gesetz unabhängig von der Größe. Ein klassischer Handwerksbetrieb mit 15 Mitarbeitern ist in aller Regel nicht direkt betroffen.
Welche Fristen laufen jetzt?
- Registrierung: Betroffene Unternehmen müssen sich elektronisch über das Unternehmensserviceportal (USP, Anwendung „NIS2-Services“) registrieren. Das Gesetz sieht drei Monate ab Inkrafttreten vor; das Bundesamt nennt das Ende des Jahres 2026. Auf der sicheren Seite bist du mit einer Registrierung bis 31. Dezember 2026. Dafür braucht die handelnde Person eine ID Austria.
- Selbstdeklaration: Innerhalb von zwölf Monaten nach Inkrafttreten, also bis Herbst 2027, ist die Umsetzung der Sicherheitsmaßnahmen zu deklarieren.
- Prüfungen: Externe Prüfungen sind nach derzeitiger Planung frühestens ab Oktober 2028 vorgesehen.
- Meldepflicht: gilt ab sofort. Bei erheblichen Sicherheitsvorfällen ist binnen 24 Stunden eine Frühwarnung abzugeben, danach folgen Meldung und Abschlussbericht.
Was verlangt das NISG 2026 inhaltlich?
Kern ist ein Risikomanagement mit Maßnahmen, die in der Richtlinie aufgezählt sind – übrigens genau die Punkte, die jedem Betrieb guttun: Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backups und Notfallpläne, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und MFA. Die Geschäftsleitung muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. Bei Verstößen drohen hohe Geldstrafen, die sich an den EU-Vorgaben orientieren – für wesentliche Einrichtungen bis 10 Millionen Euro oder 2 % des weltweiten Umsatzes.
Ist der NIS2-Hype also Panikmache?
Teilweise ja. Unseriös ist es, wenn Berater:
- jedem Betrieb einreden, er sei direkt betroffen, ohne Branche und Größe zu prüfen,
- ein „NIS2-Zertifikat“ verkaufen – eine solche Pflichtzertifizierung gibt es für die meisten Unternehmen nicht,
- mit Strafen drohen, die für Kleinbetriebe gar nicht vorgesehen sind,
- teure Software als Pflicht darstellen, bevor eine Bestandsaufnahme gemacht wurde.
Begründet ist das Thema trotzdem, und zwar aus zwei Gründen: Erstens müssen betroffene Unternehmen die Sicherheit ihrer Lieferkette prüfen – und fragen deshalb auch kleine Lieferanten und Handwerksbetriebe nach MFA, Backups und Notfallplänen. Zweitens sind die geforderten Maßnahmen schlicht vernünftig, egal ob Pflicht oder nicht.
Unsere Empfehlung: Erst prüfen, ob du betroffen bist. Wenn nein: die Grundlagen aus Die 10 wichtigsten Maßnahmen umsetzen und dokumentieren – dann bist du auch für Kundenanfragen gerüstet. Wenn ja: jetzt registrieren und den Fahrplan bis Herbst 2027 planen.
Wie finde ich einen seriösen NIS2-Berater?
Achte auf nachweisbare Qualifikation und darauf, dass die Beratung mit einer Prüfung der Betroffenheit beginnt. Stefan Umgeher, Geschäftsführer von DIGITAL ASSISTANCE, ist von der WKO als NIS Expert akkreditiert. In einem Erstgespräch klären wir, ob und wie das NISG 2026 dich betrifft. Für die Beratung kann eine Förderung über KMU.DIGITAL möglich sein.
Häufige Fragen
Was passiert, wenn ich mich nicht registriere, obwohl ich betroffen bin?
Dann verstößt dein Unternehmen gegen das NISG 2026 und riskiert Maßnahmen und Strafen der Behörde. Prüfe die Betroffenheit deshalb jetzt und nicht erst nach Ablauf der Frist.
Ich bin nicht betroffen – muss ich trotzdem etwas tun?
Rechtlich nach NISG nicht, aber DSGVO und Kundenanforderungen gelten weiterhin. Einen Überblick gibt ECG, NIS2, DORA und DSGVO.
Wo finde ich die offiziellen Informationen?
Auf der Website des Bundesamts für Cybersicherheit und im Unternehmensserviceportal (usp.gv.at). Der Gesetzestext ist im Rechtsinformationssystem des Bundes (RIS) abrufbar.
