L-01 · NIS2-Beratung Österreich
Vom NISG-2026-Check bis zum prüffesten Nachweis
Das NISG 2026 setzt die NIS2-Richtlinie in Österreich um und gilt seit 1. Oktober 2026. SecTec klärt mit Ihnen, ob und wie Sie betroffen sind, setzt die Pflichten um und baut den Nachweis auf, den die Cybersicherheitsbehörde sehen will.
§ 24 und § 25 NISG 2026
Bin ich betroffen? Sektor mal Größe.
Betroffen ist, wer in einem Sektor der Anlage 1 oder 2 zum NISG 2026 tätig ist und mindestens als mittleres Unternehmen gilt. Daraus ergibt sich die Klasse: wesentliche oder wichtige Einrichtung. Für einige Bereiche gilt das Gesetz unabhängig von der Größe, etwa für Anbieter öffentlicher Kommunikationsnetze, Vertrauensdienste und Teile der öffentlichen Verwaltung.
Kleinunternehmen fallen grundsätzlich nicht direkt unter das Gesetz. Als Zulieferer bekommen sie die Anforderungen trotzdem: Betroffene Einrichtungen müssen die Sicherheit ihrer unmittelbaren Anbieter berücksichtigen (§ 32 Abs. 4 lit. d) und geben das über Verträge und Audits weiter. Wie Sie Ihre Einstufung Schritt für Schritt prüfen, steht im Ratgeber NIS2-Betroffenheit prüfen.
Wesentlich oder wichtig: die zwei Klassen
- 2 %
- 1,4 %
| Kriterium | Wesentliche Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Wer | große Unternehmen in einem Sektor der Anlage 1, dazu gesetzliche Sonderfälle | mittlere Unternehmen in Sektoren der Anlage 1, mittlere und große in Sektoren der Anlage 2 |
| Größe | ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme | ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme |
| Aufsicht | laufend, proaktiv | anlassbezogen |
| Strafrahmen | bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Anlage 1, 11 Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste (B2B), öffentliche Verwaltung, Weltraum.
Anlage 2, 7 Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel (industrielle Produktion, Verarbeitung und Großhandel), verarbeitendes Gewerbe (nur bestimmte Branchen wie Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau und Fahrzeugbau), digitale Dienste, Forschung.
Quelle: NISG 2026, BGBl. I Nr. 94/2025, § 24, § 25 sowie Anlagen 1 und 2. Partnerunternehmen werden nach § 25 Abs. 4 unter Umständen nicht hinzugerechnet. Ob Sie als Konzerngesellschaft oder Beteiligung betroffen sind, klären wir im Einzelfall.
Fristen
Das Gesetz gilt. Zwei Termine stehen noch aus.
12/2025
Kundmachung im Bundesgesetzblatt
BGBl. I Nr. 94/2025
01.10.2026
Das NISG 2026 gilt, das NISG 2018 ist außer Kraft
§ 51 Abs. 2
31.12.2026
Registrierung. Spätere Änderungen binnen zwei Wochen bzw. drei Monaten melden
§ 29 Abs. 3 und 4
ca. 30.09.2027
Selbstdeklaration: binnen zwölf Monaten ab Eintritt der Registrierungspflicht
§ 33 Abs. 1
ab 10/2028
Die Behörde kann einen Prüfnachweis durch eine unabhängige Stelle verlangen
§ 33 Abs. 2
§ 34 NISG 2026 · Meldepflicht
Wenn es passiert, zählt jede Stunde.
Erhebliche Cybersicherheitsvorfälle melden Sie dem für Ihren Sektor zuständigen CSIRT, ersatzweise dem nationalen CSIRT. Es leitet die Meldung an die Cybersicherheitsbehörde weiter und antwortet binnen 24 Stunden auf die Frühwarnung. Wer die Meldekette vorab baut und übt, braucht die Frist im Ernstfall nicht zu fürchten.
0 h
Vorfall erkannt
Ab hier läuft die Frist.
24 h
Frühwarnung
an das zuständige CSIRT
72 h
Vollständige Meldung
mit erster Bewertung
1 M
Abschlussbericht
einen Monat nach der Meldung
§ 31 · § 32 Abs. 4 NISG 2026
Zehn Mindestmaßnahmen, eine Verantwortung.
Die Leitungsorgane müssen die Maßnahmen sicherstellen und beaufsichtigen und selbst an Cybersicherheitsschulungen teilnehmen (§ 31). Wie weit jede Maßnahme gehen muss, richtet sich nach Risiko, Größe und Schwere möglicher Vorfälle (§ 32 Abs. 3).
Risikoanalyse und Sicherheitskonzepte
Konzepte für die Risikoanalyse und die Sicherheit der Informationssysteme
§ 32 Abs. 4 lit. a
Bewältigung von Vorfällen
Erkennen, bewerten, eindämmen, melden und nachbereiten
lit. b
Aufrechterhaltung des Betriebs
Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
lit. c
Sicherheit der Lieferkette
Anforderungen an unmittelbare Anbieter und Dienstleister
lit. d
Erwerb, Entwicklung und Wartung
Sichere Beschaffung und Entwicklung, Umgang mit Schwachstellen
lit. e
Wirksamkeit bewerten
Konzepte und Verfahren, mit denen Sie prüfen, ob die Maßnahmen wirken
lit. f
Cyberhygiene und Schulungen
Grundregeln für alle und regelmäßige Schulungen
lit. g
Kryptografie
Konzepte für Kryptografie und gegebenenfalls Verschlüsselung
lit. h
Personal, Zugriff und Anlagen
Personalsicherheit, Zugriffskontrolle und Management der Anlagen
lit. i
Authentifizierung und Kommunikation
Mehr-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
lit. j
Was Versäumnisse kosten können
- 2 %
- 1,4 %
Die Geldstrafen stehen in § 45 NISG 2026. Es gilt jeweils der höhere Betrag aus Fixbetrag und Anteil am weltweiten Jahresumsatz.
| Verstoß | Wesentliche Einrichtung | Wichtige Einrichtung | Fundstelle |
|---|---|---|---|
| Risikomaßnahmen, Schulung, Vorfallsmeldung | bis 10 Mio. € oder 2 % | bis 7 Mio. € oder 1,4 % | § 45 Abs. 1 bis 3 |
| Registrierung, Änderungsmeldung, Selbstdeklaration verspätet, Behinderung von Kontrollen | bis 50.000 €, im Wiederholungsfall bis 100.000 € | bis 50.000 €, im Wiederholungsfall bis 100.000 € | § 45 Abs. 4 |
Die Cybersicherheitsbehörde prüft und ordnet Maßnahmen an. Die Geldstrafen verhängt auf ihre Anzeige hin die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Bei der Bemessung zählen Schwere, Dauer, Verschulden und Ihre Zusammenarbeit. Eine unterlassene Meldung gilt immer als schwerer Verstoß. Mehr dazu im Ratgeber NIS2-Strafen.
Die Rolle der Geschäftsführung
Die Leitungsorgane müssen die Einhaltung der Maßnahmen sicherstellen und beaufsichtigen (§ 31 Abs. 1).
Delegieren lässt sich die Umsetzung, nicht die Verantwortung. Verletzt die Geschäftsführung ihre Sorgfaltspflichten, kann sie der Gesellschaft nach § 25 GmbHG auf Schadenersatz haften. Bei wesentlichen Einrichtungen kann die Behörde die Leitungstätigkeit vorübergehend untersagen (§ 39 Abs. 4 Z 2). Was das konkret heißt, lesen Sie im Ratgeber Geschäftsführerhaftung nach NIS2.
Unser Vorgehen
Kein Textbaustein-Gutachten, sondern ein Weg, den Ihr Team selbst weitergehen kann.
Betroffenheit.
Wir klären, ob und als welche Klasse Sie unter das NISG 2026 fallen, auch mit Blick auf Ihre Rolle als Zulieferer.
Gap-Analyse.
Wir vergleichen Ihren Ist-Stand mit den zehn Mindestmaßnahmen und benennen die kritischen Lücken.
Maßnahmenplan.
Priorisiert, mit Aufwand, Verantwortlichen und Terminen, abgestimmt auf Registrierung und Selbstdeklaration.
Managementsystem.
Ein ISMS nach ISO 27001 deckt die Pflichten strukturell ab und hält sie aktuell.
Schulung.
Schulung der Leitung nach § 31 Abs. 2 und Awareness für die Mitarbeitenden.
Meldekette.
Wir bauen die Meldewege nach § 34, üben sie mit Ihrem Team und stellen auf Wunsch einen externen CISO.
Weiterlesen
Ratgeber und verwandte Leistungen.
NISG 2026: alle Fristen
Registrierung, Selbstdeklaration und Prüfnachweis im Überblick
Ratgeber
NIS2-Meldepflicht
Wann ein Vorfall erheblich ist und wer was bis wann meldet
Ratgeber
Die zehn Mindestmaßnahmen
Was hinter den Maßnahmen nach § 32 Abs. 4 steckt
Ratgeber
NIS2 in der Lieferkette
Was betroffene Kunden von Zulieferern verlangen
Ratgeber
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
NIS2-Readiness-Check
Selbstbewertung mit 143 Prüfpunkten als Excel-Arbeitsmappe
Leistung · Werkzeug
RKEG-Beratung
Physischer Schutz und Resilienz kritischer Einrichtungen
Leistung · L-11
Häufige Fragen zu NIS2 und NISG 2026
Ab wann gilt NIS2 in Österreich?
Das NISG 2026 (BGBl. I Nr. 94/2025) gilt seit 1. Oktober 2026. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 registrieren und binnen zwölf Monaten ab Eintritt der Registrierungspflicht die Selbstdeklaration abgeben, für die meisten also bis etwa 30. September 2027.
Sind auch kleine Unternehmen betroffen?
Direkt erst ab mittlerer Größe: ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme (§ 25 Abs. 3). Ausnahmen gelten für einige Bereiche unabhängig von der Größe. Als Zulieferer kommen die Anforderungen über Verträge und Lieferanten-Audits trotzdem auf Sie zu.
Wie schnell muss ich einen Vorfall melden?
Einen erheblichen Cybersicherheitsvorfall melden Sie dem zuständigen sektorspezifischen CSIRT, ersatzweise dem nationalen CSIRT: Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2).
Reicht eine ISO-27001-Zertifizierung für NIS2?
Nein, aber sie hilft viel. ISO 27001 deckt einen großen Teil der Risikomaßnahmen ab, und gültige Zertifikate werden beim späteren Prüfnachweis für die operative und organisatorische Umsetzung anerkannt (§ 33 Abs. 2). Registrierung, Meldewege und Selbstdeklaration kommen zusätzlich dazu.
Was kann die Behörde ab 2028 verlangen?
Frühestens zwei Jahre nach Inkrafttreten, also ab Oktober 2028, kann die Cybersicherheitsbehörde einen Nachweis durch eine unabhängige Stelle verlangen. Dafür haben Einrichtungen zwei Jahre Zeit, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung binnen zwei Monaten nachweisen (§ 33 Abs. 2).
Muss ich neben NIS2 auch das RKEG beachten?
Wenn Ihre Einrichtung per Bescheid als kritische Einrichtung eingestuft ist, ja. Das NISG 2026 regelt die Cybersicherheit, das RKEG die Resilienz gegen alle Gefahren, auch physische. Wir denken beides zusammen, siehe RKEG-Beratung.
Klarheit in einem Gespräch.
Wir sagen Ihnen, ob und wie das NISG 2026 Sie betrifft und was als Nächstes zu tun ist.
- Telefon
- +43 1 3058463
- kontakt@sectec.at