⏱ Lesezeit: ca. 13 Minuten
Rund zwei Wochen. So viel Zeit bleibt noch, bevor das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) vollständig in Kraft tritt. Und nein, das ist keine Ankündigung, die man einfach aussitzen kann: Ab 1. Oktober gelten die neuen Cybersicherheitspflichten für rund 4.000 österreichische Unternehmen, gegenüber bisher etwa 100. Wer jetzt denkt „betrifft uns eh nicht“, liegt damit überraschend oft falsch.
Was am 1. Oktober tatsächlich zu funktionieren hat, was noch Zeit hat und warum sogar Unternehmen betroffen sein können, die selbst gar nicht direkt unter das Gesetz fallen: Genau darum geht es in diesem Beitrag. Ohne Panikmache, aber mit allem, was Sie jetzt wirklich wissen müssen.
Nicht jede NISG-Frist endet am 1. Oktober. Aber die eigentlichen Sicherheits- und Meldepflichten lassen sich nicht bis zur späteren Registrierung aufschieben. Eine allgemeine Übergangsfrist dafür gibt es nicht.
Von NIS2 zur österreichischen Realität
Mit dem NISG 2026 setzt Österreich die europäische NIS2-Richtlinie um und löst das bisherige, deutlich kleinere NISG 2018 ab. Neu ist vor allem der Umfang: Das Gesetz erfasst künftig rund 4.000 Unternehmen aus 18 Sektoren, von Energie und Gesundheit bis zu IT-Dienstleistungen, Lebensmittelwirtschaft und Teilen des verarbeitenden Gewerbes.
Eine zweite Neuerung betrifft den Umfang selbst: Erfasst wird künftig grundsätzlich das gesamte Unternehmen, nicht mehr nur jener einzelne Dienst, aufgrund dessen ein Unternehmen als sogenannte wesentliche oder wichtige Einrichtung eingestuft wird. Diese Einstufung hängt im Kern von Sektor und Unternehmensgröße ab und wird später vor allem bei möglichen Sanktionen noch wichtig.
Betrifft uns das überhaupt?
- 🔍Sie sind in einem der 18 NIS-Sektoren tätig und erreichen mindestens mittlere Unternehmensgröße (grob: ab 50 Mitarbeitenden bzw. ab 10 Mio. Euro Jahresumsatz oder Jahresbilanz).
- 🔍Achtung Konzernstrukturen: Jede juristische Person wird zwar einzeln geprüft, aber für die Größenermittlung zählen verbundene und bestimmte Partnerunternehmen mit.
- 🔍Manche Bereiche der digitalen Infrastruktur gelten unabhängig von ihrer Größe als betroffen.
- 🔍Nutzen Sie zur Ersteinschätzung den WKO-Betroffenheitscheck. Das USP warnt selbst ausdrücklich vor im Netz kursierenden „NISG-Betroffenheitsanalysen“, bei denen sensible Unternehmensdaten abgefragt werden.
Eine Frist ist nicht die andere: der Fahrplan bis 2030
Rund um NIS2 kursieren viele Termine, und das erweckt leicht den falschen Eindruck, es bliebe nach dem 1. Oktober zumindest in Österreich noch Luft. Tatsächlich lässt sich das ziemlich klar auseinanderhalten:
Der Punkt, den viele übersehen: Eine spätere Registrierung ist keine verlängerte Umsetzungsfrist. Wer sich erst im Dezember registriert, muss die seit Oktober geltenden inhaltlichen Anforderungen trotzdem schon erfüllen.
Neu und ziemlich konkret: NIS2 Services im USP
Erst seit wenigen Tagen ist klar, wie Registrierung und Vorfallsmeldung technisch ablaufen: Ab 1. Oktober startet im Unternehmensserviceportal die neue Anwendung „NIS2 Services“. Vorbereiten lässt sich schon jetzt einiges: ein bestehender USP-Zugang, ID Austria für die zuständigen Personen, interne Rollen wie „NIS Gesamt“, „NIS Registrierung“ und „NIS Meldung“ sowie gegebenenfalls Vollmachten für externe Beraterinnen und Berater.
Warum das keine Formalie ist: Bei einem ernsten Vorfall kann die erste Meldefrist bereits nach 24 Stunden enden. Wer dann erst klären muss, wer überhaupt Zugang zum Meldesystem hat, verliert kostbare Zeit.
NISG 2026 ist kein IT-Alleingang
Cybersicherheit klingt nach einer Aufgabe für die IT-Abteilung. Das NISG 2026 sieht das anders: Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Umsetzung der Risikomanagementmaßnahmen selbst sicherstellen und beaufsichtigen, inklusive eigener, für Führungskräfte gestalteter Cybersicherheitsschulungen. Mitarbeitenden sind regelmäßig eigene Schulungen anzubieten.
Genau hier zeigt sich, wie viele Bereiche beim NISG 2026 tatsächlich zusammenspielen:
IT
Datenschutz
Compliance
Risikomanagement
Einkauf
Vertragsmanagement
HR
Incident Response
Diese Bereiche arbeiten hier nicht nebeneinander her, sondern ineinander. Die meisten davon tauchen weiter unten bei den zehn Pflichtbereichen als Zuständigkeit wieder auf, Datenschutz kommt spätestens beim Thema Vorfallsmeldung mit ins Spiel. Wer sie als getrennte Baustellen behandelt, verliert im Ernstfall genau dort Zeit, wo es auf Tempo ankommt.
„Darum kümmert sich unsere IT“ reicht nicht. Verantwortlich für Risikomanagement und Aufsicht ist die Geschäftsleitung. Das lässt sich nicht wegdelegieren.
Was es für Unternehmen bedeutet, wenn regulatorische Anforderungen weiterhin getrennt statt ganzheitlich betrachtet werden, zeigt ein Blick über den NISG-Tellerrand:
Die zehn Pflichtbereiche und wer sie im Haus verantwortet
§ 32 NISG 2026 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Klingt abstrakt, wird aber sofort konkreter, wenn man sich ansieht, wer im Unternehmen jeweils gefragt ist:
Grundlage für alle weiteren Maßnahmen.
IT + Risikomanagement
Erkennen, eindämmen, dokumentieren.
IT + Incident Response
Backup, Wiederherstellung, Krisenmanagement.
IT + Geschäftsleitung
Anbieter und Dienstleister im Blick behalten.
Einkauf + Vertragsmanagement
Beschaffung, Entwicklung, Wartung, Schwachstellenmanagement.
IT
Funktionieren die Maßnahmen auch wirklich?
Compliance + IT
Für Leitungsorgane verpflichtend, für alle anderen empfohlen.
Geschäftsleitung + HR
Daten schützen, wo es darauf ankommt.
IT
Wer darf worauf zugreifen und warum.
IT + HR
Mehr-Faktor- bzw. kontinuierliche Authentifizierung.
IT
Wichtig dabei: Der Ansatz ist risikobasiert, nicht als Einheitspaket gedacht. Was ein Unternehmen konkret braucht, hängt von Größe, Systemlandschaft und möglichen Auswirkungen eines Vorfalls ab. Für einen Teil der digitalen Infrastruktur gibt es dazu bereits die Durchführungsverordnung (EU) 2024/2690. Für alle übrigen Sektoren fehlt die nationale Detailverordnung mit Stand 16. September 2026 noch, bis dahin empfiehlt die WKO/BMI-FAQ, sich an genau dieser EU-Verordnung zu orientieren. Das ändert aber nichts daran, dass § 32 selbst schon ab 1. Oktober gilt.
„Wir sind ISO-27001-zertifiziert, reicht das?“
Nicht automatisch. Eine Zertifizierung kann eine sehr gute Basis sein, ersetzt laut WKO/BMI aber nicht sämtliche NISG-Pflichten. Entscheidend sind unter anderem der genaue Scope der Zertifizierung und Themen wie die gesetzlichen Meldepflichten, die ein ISMS (Informationssicherheits-Managementsystem) allein nicht abdeckt. Die bessere Frage lautet:
Was deckt unser System bereits ab, und wo bleiben Lücken?
Die Lieferkette: Warum das NISG deutlich mehr Unternehmen betrifft, als es zunächst scheint
Betroffene Einrichtungen müssen auch die Sicherheit ihrer unmittelbaren Anbieter und Dienstleister berücksichtigen, deren Schwachstellen, Sicherheitspraktiken, sogar deren Entwicklungsprozesse. Das reicht laut WKO überraschend weit: Als Beispiel wird sogar die Klimaanlagentechnik eines Serverraums genannt.
Die praktische Folge: Ein Unternehmen kann selbst weit unterhalb der NISG-Größenschwelle liegen und trotzdem plötzlich neue Vertrags-, Nachweis- oder Auditanforderungen von einem NISG-pflichtigen Kunden auf dem Tisch haben. Denkbar ist das etwa bei einem kleinen IT-Dienstleister, der die Serverwartung für ein NISG-pflichtiges Krankenhaus übernimmt, bei einer Reinigungsfirma mit Zugang zum Serverraum eines Energieversorgers oder bei einer Softwareentwicklerin, die eine Anwendung für eine Bank betreut.
Wie sich das im eigenen Unternehmen sauber absichern lässt, haben wir in einem eigenen Beitrag aufgearbeitet:
IT ausgelagert? Die Verantwortung bleibt bei Ihnen
Auch wenn ein externer Dienstleister die komplette IT betreibt: Die wesentliche oder wichtige Einrichtung bleibt selbst verantwortlich. Sie muss kontrollieren, dass der Dienstleister die nötigen Vorgaben umsetzt, und sicherstellen, dass Vorfälle ordnungsgemäß gemeldet werden können.
Outsourcing verschiebt die Pflicht, nicht die Verantwortung.
Risikoanalyse beginnt vor dem ersten Alarm
Der erste der zehn Pflichtbereiche, Risikoanalyse und Sicherheitskonzepte, klingt nach Innenperspektive: eigene Systeme, eigene Prozesse, eigene Schwachstellen. Ein wirksames Risikomanagement hört an dieser Grenze aber nicht auf. Vieles, was ein Unternehmen über sich selbst preisgibt, liegt längst im offenen Internet, oft ohne dass jemand im Haus davon weiß.
Wer nie von außen auf das eigene Unternehmen geschaut hat, kennt seine tatsächliche Angriffsfläche schlicht nicht vollständig, und genau das lässt sich mit vertretbarem Aufwand ändern.
Wenn es passiert: Die Uhr läuft ab Kenntnis
Bei einem erheblichen Cybersicherheitsvorfall gilt ein enges, mehrstufiges Meldeverfahren:
Die 24-Stunden-Frist läuft auch am Wochenende. Und führt der Vorfall zugleich zu einer Verletzung des Schutzes personenbezogener Daten, können zusätzlich die Melde- und Benachrichtigungspflichten der DSGVO greifen.
Ein Vorfall betrifft selten nur die IT. NISG- und DSGVO-Meldepflichten können parallel laufen, deshalb gehören Datenschutz, Compliance und Geschäftsleitung von Anfang an mit an den Tisch, nicht erst im Ernstfall.
Aufsicht heißt nicht nur Bußgeld
Bei NIS2 wird zuerst über Strafen gesprochen. Sie gehören dazu, sind aber nur ein Teil des Bilds:
(bei Wiederholung)
Das sind gesetzliche Höchstgrenzen, keine Pauschalstrafen, bei den ersten beiden zählt jeweils der höhere Betrag. Bei organisatorischen Pflichten wie einer fehlenden Registrierung beträgt die Höchstgrenze zunächst bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
Genauso wichtig: Die Cybersicherheitsbehörde kann Unternehmen zunächst mit Fristsetzung zu konkreten Abhilfemaßnahmen verpflichten, bevor es überhaupt um Geld geht. Die eigentlich entscheidende Frage lautet deshalb weniger „Wie hoch könnte die Strafe sein?“, sondern: Können wir zeigen, dass wir unsere Risiken kennen und angemessen darauf reagieren?
Sonderfall Finanzsektor: Wo DORA vorgeht
Für DORA-pflichtige Finanzunternehmen hat die FMA klargestellt: DORA gilt in bestimmten Bereichen als sektorspezifisches Recht und geht den entsprechenden NISG-Regelungen vor, etwa bei Governance, Risikomanagement und Berichtspflichten. Die Registrierungspflicht bleibt aber grundsätzlich relevant. IKT-Drittdienstleister sind dagegen nicht automatisch DORA-Finanzunternehmen. Für sie gilt das NISG 2026 in der Regel vollständig.
Blick über die Grenze: Deutschland ist schon einen Schritt weiter
Deutschland hat seine NIS2-Umsetzung bereits am 6. Dezember 2025 in Kraft gesetzt, Registrierung und Meldung laufen dort über das BSI-Portal. Fachlich sind sich beide Länder sehr ähnlich, auch Deutschland verpflichtet besonders wichtige Einrichtungen zu vergleichbaren Lieferkettenanforderungen. Ein Unterschied liegt vor allem in der Begrifflichkeit: Wo Österreich von „wesentlichen und wichtigen Einrichtungen“ spricht, heißt es in Deutschland „wichtige und besonders wichtige Einrichtungen“.
Für österreichische Zulieferer deutscher Kunden ist das mehr als eine Fußnote: Wer heute schon an ein deutsches, NIS2-pflichtiges Unternehmen liefert, kann schon jetzt mit entsprechenden Sicherheitsanforderungen konfrontiert sein, unabhängig davon, ob das eigene NISG-Pflichtjahr erst am 1. Oktober beginnt.
Und während Österreich startet, denkt die EU schon weiter
Der 1. Oktober ist nicht das Ende der Entwicklung. Die EU-Kommission hat im Jänner 2026 gezielte Vereinfachungen der NIS2-Richtlinie vorgeschlagen, unter anderem bei Anwendungsbereich, Definitionen und der Aufsicht über grenzüberschreitend tätige Unternehmen. Der Vorschlag befindet sich mit Stand September 2026 weiterhin im EU-Gesetzgebungsverfahren und ist noch nicht beschlossen. Für die Pflichten, die ab 1. Oktober 2026 in Österreich gelten, ändert das vorerst nichts: Die materiellen NISG-Anforderungen sind ab diesem Tag gesetzlich verpflichtend umzusetzen, unabhängig vom Ausgang der EU-Verhandlungen. Nur bei Details wie Anwendungsbereich oder Meldewegen kann sich in den kommenden Jahren noch etwas verschieben.
Was jetzt noch zu tun ist
In den letzten zwei Wochen vor dem Stichtag geht es nicht darum, hektisch Tools einzukaufen, sondern Klarheit zu schaffen, und zwar mit Blick nicht nur auf den 1. Oktober, sondern gleich mit auf die Registrierung im Dezember:
- ✓ Betroffenheit abschließend klären, inklusive Konzernstrukturen
- ✓ Verantwortlichkeiten festlegen: wer entscheidet, wer meldet, wer dokumentiert
- ✓ Die für Sie relevanten Pflichtbereiche gegen bestehende Maßnahmen abgleichen
- ✓ Lieferanten und relevante Verträge einbeziehen
- ✓ Schulungen für Geschäftsleitung und Mitarbeitende organisieren
- ✓ Incident-Response-Prozess inklusive 24-/72-Stunden-Meldung testen
- ✓ USP-Zugang, ID Austria und interne Rollen rechtzeitig für die nächste Frist im Dezember vorbereiten
MeineBerater-Fazit
Der 1. Oktober ist ein Startpunkt, kein Endpunkt, und schon gar keine isolierte IT-Deadline. Bis dahin braucht es Klarheit über die eigene Betroffenheit und ein Grundgerüst an Risikomanagement, Governance und Meldeprozessen, der Rest der Timeline baut Schritt für Schritt darauf auf.
Wer diese Etappen als eine zusammenhängende Entwicklung begreift statt als lose Aneinanderreihung einzelner Fristen, gewinnt vor allem eines: Zeit, die Themen dort zu verankern, wo sie hingehören, verteilt über mehrere Abteilungen hinweg statt gebündelt in einer einzigen. Genau das unterscheidet Unternehmen, die das NISG 2026 als Systemaufgabe verstehen, von jenen, die es Jahr für Jahr aufs Neue als isoliertes Einzelprojekt behandeln. Bußgelder will davon abgesehen ohnehin niemand riskieren.
Machen Sie unsere Kompetenzen zu Ihren Stärken: Wir verhindern Strafen 😉
Risikomanagement-Reinfall zum Reinhören
Ganz frisch erschienen: Folge 45 unseres Podcasts DSGVOMG – Mein Datenschutztheater nimmt sich genau so einen Fall vor, mit gewohntem Biss und einem Augenzwinkern.
So unterstützt Sie MeineBerater
Bei NISG 2026 hängt vieles zusammen: IT, Recht, Organisation und Menschen. Niemand muss deshalb allein den Überblick behalten. Wir schauen gemeinsam mit Ihnen, wo Ihr Unternehmen heute steht, und begleiten Sie zur richtigen Zeit durch alle anstehenden To-dos, von der Registrierung bis zur Selbstdeklaration, damit Risikomanagement, Lieferkette und Meldeprozesse zusammenpassen statt nur nebeneinander zu existieren.
