NISG 2026 in Kraft: Registrierung und die nächsten Schritte

Aus der Richtlinie wird geltendes Recht

Seit 1. Oktober 2026 ist das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) in Kraft. Damit setzt Österreich die europäische NIS-2-Richtlinie um, gleichzeitig tritt das bisherige NISG 2018 außer Kraft. Zuständig ist das neue Bundesamt für Cybersicherheit im Innenministerium.

Über die Grundlagen von NIS-2 haben wir bereits geschrieben – etwa in NIS-2-Richtlinie: Sind Sie betroffen?. In diesem Beitrag geht es um das, was jetzt konkret gilt: die Registrierung, die nächsten Fristen und die Pflichten, die ab sofort laufen.

Wer ist betroffen?

Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen. Entscheidend sind zwei Fragen: In welchem Sektor ist Ihr Unternehmen tätig, und wie groß ist es?

• Sektoren: Anhang 1 nennt elf Sektoren mit hoher Kritikalität, darunter Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten (B2B). Anhang 2 nennt sieben weitere, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung (WKO).
• Größe: Grundsätzlich erfasst sind Unternehmen ab mittlerer Größe – also ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme. Als groß gilt ein Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme. Verbundene Unternehmen und Partnerunternehmen werden in der Regel mitgerechnet.
• Ausnahmen von der Größe: Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa DNS-Diensteanbieter, TLD-Register oder Vertrauensdiensteanbieter.

Die WKO rechnet mit rund 4.000 direkt betroffenen Unternehmen und Einrichtungen. Wichtig: Die Behörde stuft niemanden ein. Jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt (WKO-FAQ). Ob Sie betroffen sind, klären Sie im Zweifel mit Ihrer Rechtsberatung oder Ihrer Kammer.

Die Registrierung: jetzt über das USP

Betroffene Einrichtungen müssen sich beim Bundesamt für Cybersicherheit registrieren – elektronisch über das Unternehmensserviceportal (USP). Die Registrierung ist seit 1. Oktober 2026 möglich und muss bis spätestens Ende 2026 abgeschlossen sein.

Beim genauen Stichtag sind sich die Quellen nicht ganz einig: Die WKO und KPMG nennen den 31. Dezember 2026. Die Analyse von Schönherr in der ecolex rechnet die dreimonatige Frist ab Inkrafttreten bis 1. Jänner 2027. Planen Sie sicherheitshalber mit dem früheren Termin. Wer erst später in den Anwendungsbereich fällt, hat drei Monate ab Erfüllen der Voraussetzungen Zeit.

Eine versäumte oder unrichtige Registrierung kann laut Gesetz mit bis zu 50.000 Euro bestraft werden, im Wiederholungsfall mit bis zu 100.000 Euro.

Was nach der Registrierung kommt

Risikomanagement nach § 32

Das Gesetz verlangt angemessene technische, operative und organisatorische Maßnahmen. Dazu zählen unter anderem (WKO-FAQ):

• Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen, inklusive Umgang mit Schwachstellen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen
• Multi-Faktor-Authentifizierung

Selbstdeklaration bis Herbst 2027

Innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht ist der Behörde eine strukturierte Selbstdeklaration zu übermitteln – je nach Quelle bis 30. September bzw. 1. Oktober 2027. Sie umfasst die umgesetzten Maßnahmen, die eingesetzten Systeme, die Lieferkettensicherheit und die Ergebnisse der Risikoanalyse. Einen externen Nachweis durch eine unabhängige Stelle kann die Behörde laut Schönherr frühestens zwei Jahre nach Inkrafttreten verlangen.

Meldepflichten gelten bereits

Erhebliche Sicherheitsvorfälle sind seit 1. Oktober 2026 meldepflichtig, und zwar gestuft:

Wer diese Fristen einhalten will, braucht schon heute klare Zuständigkeiten, ein funktionierendes Monitoring und einen Ablauf, der auch am Wochenende greift.

Geschäftsführung in der Verantwortung

Die Leitungsorgane müssen die Risikomanagementmaßnahmen sicherstellen und überwachen. Jede Geschäftsführerin und jeder Geschäftsführer muss an einer Cybersicherheitsschulung für Führungskräfte teilnehmen; auch den Beschäftigten sind regelmäßige Schulungen anzubieten. Eigene Verwaltungsstrafen für Geschäftsführer sieht das NISG 2026 laut WKO nicht vor, eine Haftung über Schadenersatz ist bei Fahrlässigkeit aber möglich. Für die Einrichtungen selbst reichen die Strafrahmen bis 10 Mio. Euro oder 2 % des weltweiten Umsatzes (wesentliche) bzw. 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen).

Auch Zulieferer und Dienstleister spüren das Gesetz

Kleinere Unternehmen fallen meist nicht direkt unter das NISG 2026 – indirekt aber sehr wohl. Betroffene Einrichtungen müssen ihre Lieferkette absichern und Sicherheitsanforderungen vertraglich weitergeben: Meldepflichten bei Vorfällen, Prüfrechte, Vorgaben zum Schwachstellenmanagement. Ein allgemeiner Verweis auf das Gesetz in den Einkaufsbedingungen genügt laut WKO nicht. Wer Kunden aus Energie, Gesundheit, Produktion oder IT beliefert, sollte also mit Fragebögen und neuen Vertragsklauseln rechnen.

Checkliste für die nächsten Wochen

• Betroffenheit prüfen: Sektor, Größe, verbundene Unternehmen – Ergebnis dokumentieren
• USP-Zugang klären und Registrierung vor Jahresende abschließen
• Meldeweg für Sicherheitsvorfälle festlegen (wer meldet, wie, innerhalb von 24 Stunden)
• Schulung der Geschäftsführung einplanen und nachweisbar dokumentieren
• Risikoanalyse starten und Lücken bei den zehn Maßnahmenbereichen erfassen
• Backup, Wiederherstellung und Multi-Faktor-Authentifizierung prüfen
• Lieferanten und Dienstleister erfassen, Verträge auf Sicherheitsanforderungen prüfen
• Zeitplan für die Selbstdeklaration bis Herbst 2027 aufsetzen

Wie IT United unterstützt

Wir helfen Ihnen, die technische Seite des NISG 2026 geordnet anzugehen: Bestandsaufnahme, Risikoanalyse aus IT-Sicht, Umsetzung von Maßnahmen wie Multi-Faktor-Authentifizierung, Monitoring und Notfallplanung sowie die Dokumentation für die Selbstdeklaration. Mehr dazu finden Sie unter IT-Security und Backup. Die rechtliche Einstufung bleibt Sache Ihrer Rechtsberatung – wir arbeiten gern mit ihr zusammen.

Sie möchten wissen, wo Ihr Unternehmen steht? Vereinbaren Sie ein kostenloses Erstgespräch – wir gehen die Punkte gemeinsam durch.