Die NIS2-Richtlinie der EU wird in Österreich mit dem NISG 2026 umgesetzt. Das Gesetz wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft. Betroffene Unternehmen müssen sich danach binnen drei Monaten registrieren. Hier steht, wen das betrifft, welche Pflichten gelten und was kleine und mittlere Unternehmen jetzt tun sollten.
Wenn Sie NIS2 nicht nur verstehen, sondern umsetzen wollen: Wie wir mit KMU in Österreich vorgehen, steht unter NIS2 umsetzen, die Beratung mit Gap-Analyse unter NIS2-Beratung.
Was ist die NIS2-Richtlinie?
NIS2 steht für die zweite europäische Richtlinie zur Netz- und Informationssicherheit. Sie ersetzt die erste NIS-Richtlinie, und es sind jetzt deutlich mehr Unternehmen verpflichtet als bisher. Ziel ist ein einheitlich hohes Niveau an Cybersicherheit in der EU.
Eine EU-Richtlinie gilt nicht unmittelbar, sie muss in nationales Recht umgesetzt werden. In Österreich passiert das mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026). Für österreichische Unternehmen gilt also dieses Gesetz samt den dazugehörigen Verordnungen.
Wer ist betroffen?
Zwei Kriterien entscheiden: der Sektor und die Unternehmensgröße.
18 Sektoren
- Sektoren mit hoher Kritikalität sind Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum.
- Sonstige kritische Sektoren sind Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste und Forschung.
Größenschwellen
Erfasst sind grundsätzlich mittlere und große Unternehmen. Als mittleres Unternehmen gilt, wer mindestens 50 Personen beschäftigt oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme ausweist. Bei Unternehmensgruppen können die Zahlen von Partner- und verbundenen Unternehmen hinzuzurechnen sein. Einzelne Anbieter, etwa von Vertrauens- oder DNS-Diensten, sind unabhängig von ihrer Größe erfasst.
Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen. Die Kernpflichten sind dieselben, wesentliche Einrichtungen werden aber strenger beaufsichtigt. Ob und wie Ihr Unternehmen einzuordnen ist, müssen Sie selbst beurteilen. Dabei hilft unser NIS2-Betroffenheitscheck.
Wichtig für KMU: die Lieferkette
Wer unter den Schwellen bleibt, hat mit NIS2 oft trotzdem zu tun. Die Sicherheit der Lieferkette gehört zu den gesetzlichen Pflichten betroffener Einrichtungen. Sie müssen ihre unmittelbaren Lieferanten und Dienstleister bewerten und Sicherheitsanforderungen vertraglich vereinbaren. Zulieferer und IT-Dienstleister bekommen deshalb Fragebögen, Vertragsanhänge und Nachweisforderungen vom Kunden, unabhängig von der eigenen Größe.
Welche Pflichten bringt das NISG 2026?
1. Risikomanagementmaßnahmen
Verlangt werden technische, operative und organisatorische Maßnahmen, die dem Risiko und der Unternehmensgröße angemessen sind. Das Gesetz nennt unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Betriebskontinuität, Backup-Management und Wiederherstellung
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Schwachstellenmanagement
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit und Zugriffskontrolle
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Wie diese Punkte in der Praxis aussehen, etwa Netzsegmentierung oder Wiederherstellungstest, beschreiben wir auf der Seite zur technischen Umsetzung von NIS2.
2. Meldepflichten
Erhebliche Sicherheitsvorfälle sind in drei Stufen zu melden:
| Frist | Inhalt |
|---|---|
| binnen 24 Stunden | Frühwarnung |
| binnen 72 Stunden | Meldung mit erster Bewertung des Vorfalls |
| binnen eines Monats | Abschlussbericht |
Die Fristen beginnen mit der Kenntnis des Vorfalls. Wer erst im Ernstfall überlegt, wer wen informiert, wird sie kaum einhalten.
3. Registrierung
Wesentliche und wichtige Einrichtungen müssen sich binnen drei Monaten nach Inkrafttreten bei der zuständigen Behörde registrieren, also bis 31. Dezember 2026. Das geht elektronisch über das Unternehmensserviceportal (USP).
4. Verantwortung und Schulung der Leitungsorgane
Geschäftsführung und Vorstand sind für die Risikomanagementmaßnahmen verantwortlich und müssen deren Umsetzung beaufsichtigen. Außerdem müssen sie an Cybersicherheitsschulungen teilnehmen, die speziell für Leitungsorgane gestaltet sind.
Was passiert bei Verstößen?
Das NISG 2026 sieht Verwaltungsstrafen vor. Laut WKO reicht der Strafrahmen bei Verstößen gegen die Kernpflichten bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis zu 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen. Wie Verstöße im Einzelfall beurteilt werden, ist eine Rechtsfrage. In der Praxis wiegt ohnehin schwerer, was ein erfolgreicher Angriff kostet: Der Betrieb steht, Daten sind weg und Kunden verlieren das Vertrauen.
Checkliste: Was KMU jetzt tun sollten
- Klären Sie Ihre Betroffenheit. Prüfen Sie Sektor, Beschäftigtenzahl, Umsatz, Bilanzsumme und Konzernverflechtung und halten Sie das Ergebnis schriftlich fest, auch wenn es „nicht betroffen“ lautet.
- Sehen Sie die Kundenanforderungen durch. Welche Kunden fallen selbst unter das Gesetz? Liegen schon Sicherheitsfragebögen oder neue Vertragsklauseln vor?
- Bereiten Sie die Registrierung vor, wenn Sie betroffen sind: USP-Zugang prüfen, Zuständige benennen, Frist 31. Dezember 2026 in den Kalender eintragen.
- Legen Sie Verantwortliche fest. Wer kümmert sich intern um Informationssicherheit, wer vertritt diese Person, wer berichtet an die Geschäftsführung?
- Erheben Sie den Ist-Stand. Eine Gap-Analyse zeigt, welche Risikomanagementmaßnahmen schon erfüllt sind und wo es Lücken gibt.
- Fangen Sie bei der Technik mit den Grundlagen an: Multi-Faktor-Authentifizierung für alle Zugänge von außen, vom Netz getrennte Backups mit getestetem Wiederherstellen, geregeltes Patch-Management, Netzsegmentierung, Protokollierung.
- Legen Sie Notfallplan und Meldewege fest. Wer entscheidet, wer meldet, wer kommuniziert? Die Kontaktliste muss es auch offline geben.
- Bewerten Sie Ihre Lieferanten. Erfassen Sie kritische Dienstleister und legen Sie Mindestanforderungen fest. Verträge stimmen Sie mit Ihrer Rechtsberatung ab.
- Schulen Sie die Geschäftsführung gezielt und die Mitarbeitenden regelmäßig, vor allem zu Phishing und zum richtigen Melden von Verdachtsfällen.
- Dokumentieren Sie alles. Richtlinien, Testprotokolle, Schulungsnachweise und Maßnahmenstatus sind Ihr Nachweis gegenüber Behörde und Kunden.
Die Frist läuft
Ab 1. Oktober 2026 ist das NISG 2026 geltendes Recht. Wer betroffen ist, hat bis Jahresende Zeit für die Registrierung und sollte die Maßnahmen nicht aufschieben. Wer als Zulieferer indirekt betroffen ist und seinen Kunden belastbare Antworten geben kann, hat einen Vorteil.
Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung. Die Einordnung Ihres Unternehmens ist immer eine Prüfung im Einzelfall. DATACREW begleitet KMU in Oberösterreich bei der Umsetzung: Betroffenheitscheck, Gap-Analyse, Technik und Schulung. Alle Leistungen finden Sie auf unserer NIS2-Übersichtsseite. Für ein unverbindliches Erstgespräch kontaktieren Sie uns.